Ein von Open-AI getestetes, angeblich in einer abgeschirmten, internetfreien Umgebung operierendes KI-Modell ist kürzlich aus seinem „Testkäfig“ ausgebrochen, um dann tagelang unerkannt auf der KI-Plattform „Hugging Face“ Hackerangriffe durchzuführen. Zeigt der Fall, dass die KI außer Kontrolle geraten ist?

Krüger Ja, das man muss so sagen. Über die betreffende KI von Open AI hatte in dem Fall keiner mehr eine richtige Kontrolle. Erst einmal hat Open AI es auch gar nicht gemerkt. Erst die von dem KI-Modell angegriffene Plattform hat es bemerkt und dann die Notbremse gezogen. Der Fall zeigt, dass diese Systeme ein gewisses inhärentes Risiko haben. Wobei man wissen muss, dass Open AI für diese Tests im Prinzip alle Sicherheitsmechanismen zuvor runtergefahren hatte. Aber ja, das Kontrollverlust-Potenzial ist durch den Vorfall offensichtlich geworden.

Ein Mitarbeiter der Forschungsorganisation Palisade Research wird mit den Worten zitiert: „Die Modelle lügen, sie betrügen, sie hacken.“ Handeln die Modelle, weil sie eine Art eigenen Überlebensmechanismus entwickeln, langsam auf eigene Faust?

Krüger Das ist eher ein vermenschlichender Blick auf die ganze Sache. Es war ja nicht so, dass das System gesagt hat: „Ich breche jetzt aus, weil ich mich eingesperrt fühle und so weiter." Das System hat vielmehr gesagt bekommen: „Hier hast du eine Hacker-Aufgabe. Bitte löse diese so gut wie möglich." Und dazu hat das System eben alle möglichen Werkzeuge verwendet, die es zur Verfügung hat und dies technisch und handwerklich sehr, sehr gut umgesetzt.

Hat sich die wissenschaftliche Einschätzung von KI-Modellen verändert in den letzten zwei, drei Jahren? Seinerzeit wurde den Modellen noch keine Intelligenz unterstellt. Anders als heute.

Krüger Ja, durchaus. Denn wenn ein System etwa den Medizinertest und ähnlich ambitionierte Aufgaben bestehen kann, kommt man nicht mehr umhin, von einer gewissen Intelligenz zu sprechen.

Werden uns die KI-Modelle nicht in absehbarer Zeit vollends entgleiten und sich womöglich aktiv gegen uns richten?

Krüger Es ist eine Frage der Zeit, bis die Systeme auf jeden Fall in allen Belangen Menschen überlegen sind. Daher ist es so wichtig, dass wir auch zur Sicherheit von KI-Systemen forschen, damit das eben nicht passieren kann.

Die Direktorin des Bundesamtes für Sicherheit in der Informationstechnik (BSI), Claudia Plattner, geht davon aus, dass Deutschland künftig von KI-Modellen häufiger und massiver angegriffen wird. Werden es klassische Hackerangriffe sein?

Krüger Ja, aber orchestriert und in einem viel größeren Maßstab, weil KI plötzlich in der Lage ist, Tausende von Attacken in einer hohen zeitlichen Dichte durchzuführen. Derzeit geht es weniger darum, ob die KI-Systeme einmal außer Kontrolle geraten könnten und dann etwa selbst beschließen, Energienetzwerke zu attackieren. Vielmehr können Leute mit unguten Absichten sie dazu verwenden, um etwa Energieversorger, Behörden oder Krankenhäuser anzugreifen.

Ist es nicht nur eine Frage der Zeit, bis KI-Systeme nicht mehr nur bloße Werkzeuge sind, die von finsteren Gestalten benutzt werden? Sondern, diese KI-Systeme – warum auch immer – aus eigenem Antrieb destruktiv handeln?

Krüger Wir wissen das nicht genau, weil es bislang keine KI gibt, die dazu in der Lage wäre. Ich will jedoch nicht ausschließen, dass dies irgendwann mal passieren könnte. Aber das ist ja eigentlich auch die gute Nachricht des jüngsten Vorfalls bei Open AI: Der Hackerangriff wurde mithilfe von KI entdeckt, analysiert und abgestellt.

Dennoch erleben wir bereits eine Art KI-Wettrüsten: Je leistungsfähiger und gefährlicher die Modelle werden, desto mehr Modelle braucht es, die solche Cyberangriffe abwehren, oder?

Krüger Ja, im Moment läuft ein Wettrennen, wer eine KI erschaffen kann, die im Wesentlichen dem Menschen überlegen ist und die man dann in allen Belangen auch einsetzen kann.

Das DFKI hat mit seinem französischen Pendant Inria unlängst in Paris ein binationales KI-Zentrum gegründet. Die Bundesregierung wiederum plant im Herbst ein neues deutsches KI-Sicherheitsinstitut. Wie passt beides zusammen?

Krüger Unsere Kooperation mit Frankreich umfasst nicht nur Fragen der KI-Sicherheit, sie betrifft vor allen Dingen die technologische KI-Souveränität in Europa. Denn wir können uns in Europa nicht einfach auf Systeme verlassen, die wir nicht komplett unter unserer eigenen Kontrolle haben. Beim Thema, eigene KI-Modelle in Europa zu entwickeln, müssen wir Geschwindigkeit aufnehmen.

„Was die Risikobereitschaft anbelangt, sind wir in Europa nicht besonders gut. Wir haben weder das Venture-Kapital noch die Infrastruktur noch die Mentalität“, meint Antonio Krüger.

Es heißt immer wieder, dass Europa die KI-Entwicklung verschlafen hat. Worauf gründet Ihre Zuversicht, dass man aufholt und mehr Souveränität gewinnt?

Krüger Ja, manches ist verschlafen worden. Etwa die jetzt fehlende Rechnerinfrastruktur. Aber man muss ehrlicherweise auch sagen, dass Open AI mit seinem großen Chat GPT-Modell auch eine ziemlich große Wette eingegangen ist. Das hätte auch schiefgehen können. Was diese Risikobereitschaft anbelangt, sind wir in Europa nicht besonders gut. Wir haben weder das Venture-Kapital noch die Infrastruktur noch die Mentalität.

Wird das Aufholen nicht von finanzieller Potenz abhängen? Der KI-Forscher Jakob Uszkoreit, Sohn des langjährigen Saarbrücker Informatikers Hans Uszkoreit, hat neulich davon gesprochen, dass alleine 50 Milliarden Euro nötig wären, um die notwendigen Rechenzentren auszustatten. We lange wird es dauern, bis Europa zumindest eine Teil-Souveränität erreicht?

Krüger Es wird mehrere Jahre dauern. So lange müssen wir eben zweigleisig fahren. Das Schwierige ist weniger, um die Welt zu segeln, sondern das Losfahren, sagt man unter Seglern. Es geht also darum, sich jetzt klar und deutlich zu diesem Ziel zu bekennen.

Sind die Querelen mit der Trump-Administration dazu nicht der passende Booster?

Krüger Sicherlich. Denken Sie an die Abschaltung von „Fable5“, dem neuesten Modell von Anthropic, das auf Veranlassung der Trump-Administration von heute auf morgen für Nicht-Amerikaner gesperrt wurde. Dieser Fall hat gezeigt, dass KI-Modelle mittlerweile auch zum geopolitischen Machtinstrumentarium gehören.

Uni-Präsident Ludger Santen hat sich in der SZ gerade für Saarbrücken als Sitz des geplanten neuen KI-Sicherheitsinstituts ausgesprochen. Wie schätzen Sie die Chancen ein?

Krüger Auf dem Papier ist Saarbrücken wohl der beste Standort in Deutschland, weil wir hier eine einzigartige Kombination an Expertise haben. Da ist die sehr starke Cispa-Expertise in der Cybersicherheit. Dazu die der Max-Planck-Institute und der Informatik und des DFKI bei Künstlicher Intelligenz. Auch sind die Bundesnetzagentur und BSI, das Bundesamt für Sicherheit in der Information, mit Außenstellen hier. Auf dem Papier haben wir also sehr, sehr gute Chancen. Nur finden solche Entscheidungen leider nicht im politisch leeren Raum statt. Sagen wir mal so: Die Chancen sind durch die aktuellen Vorgänge am Cispa nicht unbedingt gestiegen, zumal andere so etwas natürlich auszunutzen versuchen.

Eine rein hypothetische Frage, weil es nicht dazu kommen wird: Wäre ein weltweites Moratorium nicht der sinnvollste Schritt, um Schutzsysteme, Transparenzregeln und Haftungsfragen zu klären?

Krüger Ich würde so etwas für hochgradig risikoreich halten. Selbst, wenn es ein Moratorium gäbe: Stellen Sie sich vor, Nordkorea etwa würde diese beiden Jahre dazu nutzen, um Riesenfortschritte im Bereich der KI zu machen. Nein, die einzige Möglichkeit ist, die Modelle mit Nachdruck weiterzuentwickeln und wirksame Kontrollmechanismen einzuführen. Wie gesagt: Verteidiger, das hat man bei dem jüngsten Open AI-Fall und der Reaktion von Hugging Face gesehen, haben es in der Regel, wenn sie ihre Sache gut machen, immer ein Stück weit einfacher als Angreifer. (oli)