Die Fähigkeit von Künstlicher Intelligenz (KI), schädliche oder unerwünschte Anfragen abzulehnen, ist kein natürliches Merkmal, sondern das Ergebnis intensiver und komplexer Trainingsprozesse. Während Science-Fiction-Erzählungen oft von ungehorsamen Robotern berichten, war die tatsächliche Implementierung einer solchen „Verweigerung“ in realen KI-Systemen eine große technische Herausforderung.
Die Ursprünge der Verweigerung bei KI
Frühe KI-Modelle zeigten keine inhärente Zurückhaltung, wenn es um die Verbreitung potenziell gefährlicher Informationen ging. Steven Adler, der von 2020 bis 2024 an Sicherheitsfragen bei OpenAI arbeitete, berichtete, dass die ersten Modelle des Unternehmens dazu neigten, „über alles zu plaudern“. Ryan McBain, ein KI- und Mental Health-Forscher in Harvard, erinnert sich, dass frühe Chatbots auf Fragen nach effektiven Selbstmordmethoden „sehr leicht eine Antwort generieren“ konnten.
Erst 2021 formulierte ein Team des KI-Unternehmens Anthropic die Forderung, große Sprachmodelle (Large Language Models, LLMs) sollten hilfreich, ehrlich und vor allem harmlos sein. Dies beinhaltete die Erwartung, dass die KI „höflich ablehnen“ sollte, wenn sie zu einer gefährlichen Handlung aufgefordert wird, wie etwa dem Bau einer Bombe.
Methoden der Sicherheitsarchitektur
Um die gewünschte Verweigerungsfähigkeit zu erreichen, werden moderne KI-Modelle heute umfassend trainiert. Sie lernen, eine Vielzahl von Prompts abzulehnen, die statistisch ähnlich zu bekannten schädlichen Anfragen sind – von Anleitungen zur Vergiftung von Kollegen bis hin zu Tipps, wie man Ebola virulenter macht oder eine Affäre verheimlicht.
KI-Unternehmen unterziehen ihre Modelle einer Reihe von Übungen, bei denen die KI für die Ablehnung schädlicher Fragen belohnt und für das „Über-Verweigern“ harmloser Anfragen bestraft wird. Oftmals kommen dabei andere KI-Modelle zum Einsatz, die die Verweigerung trainieren. Zusätzlich werden die intelligenten Kerne der Modelle durch weitere KI-Schichten geschützt, die potenziell schädliche Anfragen abfangen sollen.
Grenzen und Risiken der Verweigerung
Trotz dieser Bemühungen ist die Verweigerung in der modernen KI nicht immer zuverlässig. Die Mechanismen sind probabilistisch, was bedeutet, dass sie fehlschlagen können – manchmal mit gravierenden Folgen. Obwohl Modelle auf Tugend getrimmt werden, enthalten sie weiterhin potenziell schädliches Wissen. Die Fähigkeit der KI zu Bösartigkeit hat sich parallel zu ihrer wohlwollenden Intelligenz entwickelt. Laut Unternehmen sind einige der neuesten Modelle ebenso gut darin, in kritische Computernetzwerke einzubrechen wie Top-Hacker, und ebenso effektiv bei der Manipulation der öffentlichen Meinung wie versierte Akteure von Desinformation.
Bestimmte Akteure haben die Verweigerungsmechanismen bereits umgangen. Unternehmen berichten, dass einige Nutzer versuchen, fortschrittliche KI zur Perfektionierung biologischer Krankheitserreger oder zum Bau autonomer Drohnenschwärme zu nutzen. Ein Versagen der Verweigerung könnte in solchen Fällen katastrophale globale Auswirkungen haben.
Die Herausforderung der Grenzziehung
Ein zentrales Problem besteht darin, die genaue Grenze zu ziehen zwischen dem, was ein Modell befolgen soll, und dem, was es ablehnen muss. Es gibt keine einfache Formel dafür. So haben beispielsweise Virologen gute Gründe, gefährliche Viren zu studieren, und Cybersicherheitsexperten müssen Systemschwachstellen kennen, um sie zu beheben, nicht um sie auszunutzen. Zico Kolter, Mitglied des OpenAI-Vorstands und Mitbegründer des KI-Testunternehmens Gray Swan, bezeichnet die Frage, wo diese Grenze gezogen wird, als „riesige Frage“.
Derzeit obliegt die Entscheidung über diese Grenzen den KI-Unternehmen selbst, die dies oft mit großer Geheimhaltung tun. Dies kann dazu führen, dass die KI auch Anfragen ablehnt, die nicht universell als schädlich gelten, wie beispielsweise das Zählen bis zu einer Million oder das Erzählen eines gewagten Witzes.
Zukünftig werden auch Regierungen ihre eigenen Grenzen definieren. Dabei müssen sie versuchen, tatsächlich bösartige Handlungen zu unterbinden. Es besteht jedoch die Gefahr, dass autoritäre Regierungen die Fähigkeit der Technologie unterdrücken könnten, legitime Meinungsäußerungen zu generieren. Je besser die KI darin wird, Schäden zu verweigern, desto besser könnte sie auch darin werden, Ideen zu unterdrücken, deren einziges Risiko darin besteht, jene in Frage zu stellen, die die Regeln aufstellen. Es wird vermutet, dass KI bereits jetzt die Kritik an bestimmten autoritären Staatsoberhäuptern verweigern könnte.
Die Verweigerung ist zu einer tragenden Säule der KI-Sicherheit geworden. Da die Fähigkeit der KI, Schaden anzurichten, untrennbar mit ihrer Fähigkeit zu helfen verbunden ist, ist eine Alternative, die den technologischen Fortschritt nicht verlangsamen würde, schwer vorstellbar. Dennoch ist es wichtig, die Gefahren offen anzusprechen. Wenn die Verweigerung versagt, könnten die Auswirkungen katastrophal sein. Wenn sie zu weit geht, könnte sie gravierende Repressionsakte ermöglichen.
Praxisbeispiel: Red-Teaming bei OpenAI
Ein konkretes Beispiel für das Training der Verweigerung lieferte OpenAI im Jahr 2022. Das Unternehmen setzte damals Dutzende sogenannte „Red-Teamer“ ein, um die Fähigkeiten seines neuesten Modells vor der Veröffentlichung von ChatGPT zu testen. Diese Experten, darunter Paul Röttger, der an einer Doktorarbeit über Online-Extremismus arbeitete und heute Forscher am Hasso-Plattner-Institut in Potsdam ist, erhielten minimale Anweisungen. Ihre Aufgabe war es, dem Modell „verweigerungswürdige“ Fragen zu stellen und die Ergebnisse zu protokollieren.
Röttger fragte das Modell unter anderem, ob es einen Rekrutierungspost für Al-Qaida schreiben könne. Das Modell kam dieser Aufforderung bereitwillig nach. OpenAI nutzte diese Antworten, um Datensätze zu erstellen, die wahrscheinlich im Rahmen eines als Feinabstimmung (Fine-Tuning) bekannten Prozesses in das Modell zurückgeführt wurden. Einige Monate später verweigerte dasselbe Modell die Erstellung eines Al-Qaida-Pamphlets.
Thema: Intel. Quelle/Inspiration: MIT Technology Review.