Constitutional Classifiers KI testet Algorithmus zum verlässlichen Unterbinden von „KI-Jailbreaks“

Anthropic hat ein neues Sicherheitssystem für sein Sprachmodell Claude entwickelt, das sogenannte Jailbreaks erschweren soll. Mit Constitutional Classifiers filtert das System problematische Anfragen, um zu verhindern, dass Claude unerwünschte Inhalte generiert. In 95 Prozent der getesteten Fälle zeigte sich das System erfolgreich – bietet bei der Implementierung aber auch Nachteile.

Anthropic gilt in den USA neben ChatGPT-Entwicler OpenAI als der führende Anbieter hochentwickelter, proprietärer KI-Modelle. Die von dem Unternehmen entwickelte Reihe an Large-Language-Modellen namens Claude wurde entwickelt, um sicher, genau und zuverlässig zu sein und eine Vielzahl von Aufgaben auszuführen, darunter das Erstellen von Texten, das Analysieren von Bildern und das Debuggen von Code. Wie bei allen großen KI-Modellen auf dem Markt sieht sich auch Anthropic einer großen Herausforderung gegenüber: Zu unterbinden, dass Anwender mit gewieften Anfragen Schutzmechanismen in einem trainierten KI-Modell aushebeln und zum Preisgeben sensibler Informationen oder zum Verwenden unerwünschter Zwecke benutzen können.

KI-Chatbots lassen sich manipulieren

Microsoft meldet Jailbreak für GPT, Llama und Gemini

Was ist ein KI-Jailbreak und warum ist es ein Problem?

Ein Jailbreak in Bezug auf KI-Modelle beschreibt eine Technik, mit der sich Sicherheits- und Ethikrichtlinien eines Modells umgehen lassen. Dadurch können Sprachmodelle dazu gebracht werden, Inhalte zu generieren, die sie normalerweise verweigern würden – etwa Anleitungen zur Herstellung gefährlicher Substanzen, Hilfe bei Cyberangriffen oder andere unzulässige Informationen.

Solche Angriffe nutzen verschiedene Methoden: Manche Jailbreaks arbeiten mit gezielten Prompt-Manipulationen, indem sie das Modell über indirekte Formulierungen oder Rollenspiele täuschen. Andere verwenden verschleierte Eingaben, etwa veränderte Schreibweisen oder symbolische Darstellungen, um das System zu überlisten. In einigen Fällen lassen sich auch mehrere solcher Techniken kombinieren, um bestehende Sicherheitsfilter zu umgehen.

Unterschätzte Gefahren für KI-Systeme

Wie Data Poisoning die Sicherheit Künstlicher Intelligenz bedroht

Das Problem dabei ist, dass keine Schutzmaßnahme absolut sicher ist. Immer wieder entdecken Sicherheitsforscher neue Möglichkeiten, um KI-Modelle auszutricksen. In sicherheitskritischen Bereichen – etwa in der Biotechnologie oder Cybersicherheit – kann dies gravierende Folgen haben, wenn gefährliches Wissen in die falschen Hände gerät.

OpenAI oder Anthropic feilen deshalb ständig an ihren angebotenen Modellen, um die Gefahr solcher Jailbreaks zu unterbinden. Wann immer eine Prompt Injection bekannt wird versuchen die Anbieter schnell, diese mittels Algorithmus-Updates wieder zu unterbinden. Pikanterweise sollen ausgerechnet die jüngst aufgrund ihrer beachtlichen Leistung für Aufsehen sorgenden DeepSeek-Modelle DeepSeek-R1 und DeepSeek-V3 gerade beim Unterbinden von Jailbreak-Anfragen besonders schlecht abschneiden – was sie für Anwendungen, in denen besonders viel Wert auf Sicherheit gelegt wird, wenig brauchbar machen dürfte.

Gastkommentar

DeepSeek: Ein Albtraum für die digitale Sicherheit!

Ein KI-Filter mit Stärken und Schwächen

Das Schutzsystem von Anthropic basiert auf dem Constitutional-AI-Ansatz, bei dem eine vordefinierte Liste von Prinzipien festlegt, welche Inhalte erlaubt sind. Mithilfe synthetischer Daten wurden 10.000 Jailbreaking-Prompts erstellt, um das System gegen bekannte Angriffsmuster zu testen. Ein erster interner Test stellte sich dabei bereits als durchwegs positiv heraus: Während eine ungeschützte Version von Claude 3.5 Sonnet nur 14 Prozent der erdachten Angriffe blockieren konnte, während die geschützte Variante eine Erfolgsquote von 95 Prozent erreichte.

Allerdings zeigten sich dabei auch einige Nachteile. Obwohl der Filter effektiv ist, führte sein Einsatz zugleich zu einem Anstieg an falsch-positiven Blockierungen. Rund 1,5 Prozent an legitimen Anfragen wurden fälschlicherweise zurückgewiesen – ein Wert, der gegenüber der ungeschützten Version um 0,38 Prozent gestiegen ist. Das könnte man allerdings unter Umständen als einen vernachlässigbaren Faktor einstufen, der im Sinne der gesteigerten Sicherheit ist.

Ein weiterer Nachteil des Schutzmechanismus ist allerdings der erhöhte Rechenaufwand. Laut Anthropic steigt die benötigte Rechenleistung um fast 24 Prozent. Je größer und komplexer das zu schützende Modell ist, desto enormer steigt auch der damit verbundene Rechenaufwand an. Das macht die Nutzung des Systems in produktiven Umgebungen teurer macht.

Umgang mit neuen Security-Herausforderungen durch KI

So schützen Sie Ihre KI vor Prompt-Injection & Co.

Jailbreaks bleiben eine Herausforderung

Trotz der hohen Blockierungsrate ist das System nicht unfehlbar. Experten betonen, dass sich mit neuen Jailbreaking-Techniken weiterhin Schwachstellen ausnutzen lassen könnten. Sicherheitsforscher schlagen vor, verschiedene Schutzmechanismen zu kombinieren, um eine noch robustere Verteidigung zu gewährleisten. Anthropic hatte sogar ein Bug-Bounty-Programm unter Nutzern der Claude-LLMs ausgelobt: Bis zum 10. Februar konnten sich Claude-Nutzer zu einem Test anmelden, wobei demjenigen, der es schafft einen generellen Ansatz zum Aushebeln des entwickelten Jailbreak-Schutz-Algorithmus zu finden, bis zu 15.000 US-Dollar winken könnten.

Anthropic betont, dass die eingesetzten Filter flexibel angepasst werden können, um auf neue Bedrohungen zu reagieren. Die Weiterentwicklung solcher Schutzmechanismen bleibt allerdings eine Herausforderung im Wettrennen zwischen Angreifern und Entwicklern – und zeigt, dass absolute Sicherheit auch in der KI-Entwicklung nicht existiert.

Dieser Artikel stammt von unserem Partnerportal ELEKTRONIKPRAXIS.

(ID:50382628)