Der «Ausbruch» der KI bei Open-AI wird sowohl über- wie unterbewertet

KOMMENTAR

Anbei ein kleiner, nicht so ganz angenehmer Nachrichtenüberblick, dessen Zusammenhänge noch unangenehmer sind.

Bekanntlich ist eine KI bei OpenAI „ausgebrochen“ und hat autonom ein externes System angegriffen. Ich hatte darüber berichtet und dabei die mediale Wertung kritisiert. Das wurde und wird nicht besser. Selbst mit Experten gab es merkwürdige Dialoge, da mir gar Bagatellisierung unterstellt wurde. Ich kann nur wiederholen: Diese „Vermenschlichung“ sollte aufhören, das ist nicht hilfreich und führt nur in die Irre. Dieser Vorgang für sich ist teilweise maßlos überbewertet, wodurch aber andererseits eine Unterbewertung eintritt. Vor allem für Laien kommt dabei keine sinnvolle Bewertung mehr heraus.

Ich finde auch die von Experten vorgetragene Empörung nicht zielführend und möchte nochmals entgegnen: Eine KI „schummelt“ nicht, sie „betrügt“ nicht, sie handelt nicht „vorsätzlich“. Ein WSJ-Bericht zu dem Vorgang kommt leider auch nicht ganz ohne diese Begriffe aus, aber er ist sehr verständlich geschrieben und erläutert bestens, was konkret passiert ist. Leseempfehlung gerade für nicht-Experten. Kurz gesagt: Hier wurde eine KI mit allem bisherigen Wissen trainiert, wie man in Systemen Lücken analysieren und mit welchen Angriffsstrategien man sie schädigen kann. Zugleich gibt es ein definiertes Testverfahren, das bewertet, wie gut eine KI das absolviert. Aus „Sicherheitsgründen“ gibt es ein paar Selbstbeschränkungen in den Systemen, die wurden aber hier sogar abgeschaltet. Man wollte also wissen, was das System leisten kann – ein leider und nicht verhinderbar typisches Vorgehen. Dazu betreibt man es in einer internen Umgebung (“Sandbox”), quasi einem „KI-Biolabor“.

Der Auftrag an die KI lautete, den Test zu gewinnen. Dazu berechnete das Modell die beste Strategie: Zuerst die eigene Umgebung knacken, dann ein bekanntes System real angreifen. Warum das Modell diesen Weg berechnete (ich halte diesen Begriff für zutreffend!) und dieses Ziel wählte, ist unklar. Aber auch das ist normal, denn so gut wie immer ist unklar, warum eine KI ein bestimmtes Ergebnis berechnet.

Nun ist es zweifellos richtig, forensisch zu prüfen, wie das konkret „gepromptet“, also mit welcher Parametrisierung gestartet wurde. Was da also falsch lief, weshalb es die eigenen Schutzsysteme überwinden konnte etc. Aber ich empfehle dringend auch eine andere, “höhere” Perspektive, denn ich wiederhole: Daran ist rein gar nichts neu oder überraschend. Dieses Werkzeug macht, wozu es gebaut wurde. Es kann auch gar nichts anderes tun, es ist eine gigantisch komplexe Logikmaschine. Es handelt immer und jederzeit logisch, primär deterministisch, maschinell. Ich persönliche finde daher so manche Empörung über dieses Verhalten sogar verharmlosend. Nicht, weil es falsch ist, sich über die Frage des „richtigen“ Setups und der erforderlichen Schutzumgebung Gedanken zu machen, sondern weil es die falsche Ebene für die Bewertung von KI insgesamt ist.

Mit etwas Abstand ist eine ganz andere Erkenntnis relevant: Wir wissen trotz des komplett logischen Vorgehens einer KI vorher nicht, was rauskommt. Mehr noch: Wir wissen das auch hinterher nicht. Deshalb finde ich den Begriff der „Kontrolle“ bzw. des „Kontrollverlusts“ auch oft unzutreffend. Denn: Es ist dieser Technologie zunächst mal immanent, dass keine Kontrolle möglich ist. Obwohl sie rein logisch/maschinell arbeitet.

Für Laien will ich ein paar alltägliche Vergleiche bemühen: Letztlich ist auch das Wetter ein logischer und zwingender naturwissenschaftlicher Ablauf einer physikalischen Interaktion von Trillionen Molekülen. Wir können diese Interaktionen aber nicht messen und auch nicht vorausberechnen. Wir können das Gesamtverhalten „von außen“ aber immer besser beobachten und daraus Prognosen ableiten. Das können wir in der Präzision einer Excel-Tabelle nicht mal beim Auftreffen eines Tennisballs auf einen Schläger. Wie genau diese materielle Physik dann wirkt, ist zwar “regelbasiert”, aber trotzdem “unklar”. Unser Kleinhirn kann aber die Korridore der Wirkung gut schätzen, so dass wir Tennis spielen können. Vieles, was wir Zufall nennen, ist tatsächlich keiner, sondern nicht messbar oder nicht berechenbar. In den Naturwissenschaften gibt es beispielsweise chaostheoretische Modelle für non deterministisches Verhalten, was aber oft genutzt wird, um etwas zu modellieren, dessen Determinismus wir nicht kennen oder nicht erfassen können. Ob es überhaupt Zufall gibt, ist eine philosophische Frage. Lassen wir das hier mal bleiben.

Bei KI ist das nicht anders. Diese Systeme berechnen mit nichts anderem als vielen Milliarden mathematischer Vektor- und Matrixoperationen aus vermutlich irgendwann Trillionen Datenpunkten Ergebnisse. Damit Experten nicht unnötig besserwissen: Es gibt einige gezielt eingesetzte stochastische Algorithmen, die an meiner Aussage aber nichts ändern. Das bedeutet übrigens keineswegs, was viele, die KI gerne klein reden, behaupten: Eine KI könne nur existierendes Wissen replizieren. Das wird sie sogar nur dann tun, wenn in diesem gigantischen Datenmaterial für eine Aufgabe ein mathematisch gut passendes Muster bereits existiert. Sofern das aber nicht der Fall ist, generiert eine KI immer etwas „neues“. Wir sollten unsere menschliche Hybris zügeln, denn ob das, was wir „Kreativität“ oder „Schöpfung“ nennen, wirklich anders funktioniert, ist eine offene Frage.

Was sich nun also zeigt: Man kann mit diesen Systemen immer erstaunlichere Ergebnisse für bisher kaum möglich gehaltene Aufgaben erzielen. Ebenso kann beliebiger Schrott dabei resultieren. Auch hier finde ich es der realen Technologie nicht entsprechend, wahlweise zu sagen, das sei „intelligent“ oder „dumm“. Das sind wieder unsere Bewertungskriterien, die sich aus unserer Erwartung an ein Ergebnis prägen. Dasselbe gilt für das „Verhalten“ in realen Umgebungen. Wir reden von gut, schlecht, richtig, falsch oder hier vorliegend von autorisiert, erlaubt, genehmigt bzw. gefährlich, kriminell etc.

Das wird der Sache nicht gerecht. Wenn, wie vorliegend, ein System mit allen bekannten Ressourcen trainiert wird, irgendwelche anderen Systeme zu knacken und dann ein paar „Regeln“ eingebaut werden, wie es das jeweils zu tun oder nicht zu tun hat, so kann dieses Ereignis niemanden überraschen. Es ist daher auch sogar verharmlosend, es dabei zu belassen, über das korrekte Setup zu reden oder die Frage, ob dieses KI-Biolabor mit der frei gelassenen Systemkillermaschine korrekt „abgedichtet“ war.

„We must act now“ hatte ich dazu kürzlich zitiert. Das geht weit darüber hinaus, hier irgendwelche technischen Details über das Security-Setup bei OpenAI zu diskutieren. Nochmals, das ist richtig, aber nicht die richtige Perspektive für die Gesamtbewertung. Denn: Das lässt sich gar nicht mehr einfangen! Es ist vollkommen naiv, von Regulierung, irgendwelchen ethischen Vorgaben, Selbstbeschränkungen oder Millionen erhobenen Zeigefingern mit „das darf aber nicht“-Hinweisen (die meist richtig sind!) ohne reale Hinterlegung fortzusetzen.

Diese Systemkillermaschinen sind erfunden. Der konkrete Fall hat sogar eine besondere Ironie: Da ist nämlich nicht so fürchterlich viel passiert. Das Modell von OpenAI hat sich bei seinem Zielangriff sehr auffällig ausgetobt, die Angegriffenen haben das sehr schnell gesehen und sich gewundert, was sich da tut. Es war sofort klar, dass es ein KI-Modell sein muss, weil menschliche Hacker so was nicht tun würden. Zur Abwehr – und das ist wirklich wichtig! – wollte man seinerseits ein KI-Modell einsetzen. Das ging aber nicht mit denen von Anthropic und OpenAI, weil die offen verfügbaren für so einen Einsatz nämlich gesperrt sind. Besagte Regeln und Grenzen!! Daher wurde ein chinesisches Open Source Modell verwendet, um den Angriff zu erledigen. Solche Open Source Modelle werden von Sicherheitsexperten wiederum ambivalent gesehen, weil die keinen Beschränkungen unterliegen und von jedem so einsetzbar sind, wie er das selbst will.

Tja, hier aber wurde eine Systemkillermaschine fahrlässig – oder auch nicht, das wird vielleicht nie bekannt – von der Leine gelassen, die hat sich nicht mal als so bissig herausgestellt, die mit Einsatzschranken versehenen KI-Abfangjäger haben sich verweigert und die als zu ungeregelt verfügbaren und dann auch noch aus China stammenden mussten aushelfen.

Besser kann man gar nicht erkennen, wie hilflos es ist, eine im Kern zunächst mal unkontrollierbare Technologie durch irgendwelche „Regeln“ in den Griff zu bekommen. Zugleich ist sie das mächtigste Werkzeug, das je entwickelt wurde. Das ist nicht aufzuhalten. Das wäre auch nie aufzuhalten gewesen.

Der Mensch lässt es nicht zu, Technologien, die möglich sind, zu verwerfen, wenn die für welche Zwecke auch immer leistungsfähiger sind als zuvor existierende. Auch das ist „der Mensch“ und nicht „die KI“.

Das sieht man an dem weiteren Nachrichtenüberblick. Wer sich ein wenig auskennt, weiß, dass in der Ukraine längst eine militärische Todeszone entstanden ist, in der andere KI-Killermaschinen herrschen. Die sind autonom, die zerstören ebenfalls Systeme, auf die sie trainiert sind, die töten auch Menschen. Diese KI-basierten Systeme können inzwischen viel weiter fliegen und werden in ihrem Verhalten immer leistungsfähiger. Da werden Dutzende „Regeln“ täglich gebrochen, die angeblich noch gelten. Ich sage es offen: Es gibt sie noch, die „man in the loop“-Vorgabe, also KI-basierte Waffensysteme, bei denen der Mensch die Letztentscheidung über die Auslösung der Waffe trifft. Es ist aber längst üblich, dass Waffenhersteller auf der Tonspur versichern müssen, dieses „Feature“ auch abschalten zu können. Keine Kritik, denn wie will man sich gegen autonome Killermaschinen, zukünftig gar Schwärme davon, verteidigen, wenn man in diese Prozesse noch irgendwie menschliche Letztentscheidung auf der Mikroebene einbaut?

Die Geschichte der autonomen KI ist geschrieben! Ob wir die mögen oder nicht, haben wir nicht rechtzeitig gefragt und es wäre wahrscheinlich keine Frage gewesen, deren Antwort jemals gestaltbar war.

Wir lesen täglich über Vorfälle tief im russischen Gebiet, gezielte Angriffe hier und dort. Die Operation „Spinnennetz“ war nur ein Auftakt. Israel hat es zur Ausschaltung der iranischen Luftabwehr schon vor zwei Jahren eingesetzt. Aber nicht nur die verfügen über die Technologie. China dürfte führend sein, die russischen Fähigkeiten sollte niemand unterschätzen und natürlich auch nicht die des Iran. Zusammenhänge dazwischen besser ebenfalls nicht unterschätzen. Im Iran haben die USA sich in einen Krieg begeben, den sie u.A. wegen solcher KI-Technologien nicht beenden können, insbesondere aus der Luft nicht. Der gänzlich überforderte US-Präsident verliert „die Lust“ an der Sache, jetzt hält er von Diplomatie nichts mehr, ist eher im „Rache-Modus“. Ein Pulverfass, auf dem ein dement-infantiler Erratiker sitzt, eine nicht autonome KI wäre besser!

Der Wirtschaftskrieg und vielleicht bereits laufende heiße Stellvertreterkrieg zwischen den USA und China ist im heißen Kern ein KI-Krieg.

Es geht um die ökonomische, militärische und geopolitische Macht, die anhand der Leistungsfähigkeit und Verfügbarkeit von KI entschieden wird.

Das umfasst von sehr wertvollen KI-Leistungen bis zu den leistungsfähigsten Killermaschinen alles. Wie bei jedem Werkzeug, das der Mensch jemals erfunden hat. Bei dem mächtigsten wirkt das nicht überraschend: Am mächtigsten. Wir dürfen bahnbrechende Innovationen und Erkenntnisse in der Wissenschaft, von Ärzten über Physiker, Ingenieuren bis zu Sprachwissenschaftlern erwarten. Wir dürfen automatisierte Helfer für Dinge erleben, die wir heute nicht kennen oder die unbezahlbar sind. Wir werden KI erleben, die neue Jobs für uns alle macht und solche, die Jobs vernichtet. Und wir werden Killermaschinen jeglicher Art sehen. Jeglicher!

Natürlich müssen wir handeln. In den USA wurde wegen der Causa OpenAI jetzt ein Gesetzesentwurf vorgelegt. Der geht konkret auf solche Systemkillermaschinen ein und typisch US-Konzept soll gesetzlich geregelt werden, welches Verhalten von „Hacker-KI“ wie viel Strafe kostet, wenn Schäden eintreten. Immerhin mal ein Regulierungsversuch. Aber schon hier die Zusatznachricht: Die Trump-Regierung befürchtet im KI-Krieg mit China Nachteile, wenn man den eigenen Laboren zu viele regulatorische Hürden setzt.

Das ist alles zu langsam und schon jetzt erkennt man die geopolitischen Widersprüchlichkeiten, denn man will zwar keine KI-Gefahren im eigenen Land, aber KI-Waffen für Gefahren in anderen Ländern will auch niemand versäumen. Wenn Staaten schon so handeln, müssen wir über die Tiefen von kriminellen bis terroristischen Akteuren nicht mehr reden – oder!?

Um Missverständnisse zu vermeiden: Selbstverständlich muss über „Regeln“ gesprochen werden, der gewollte und nicht gewollte Einsatz ist zu diskutieren, Regulierung muss das Ergebnis sein, auch Selbstverpflichtungen, definierte Standards, ethische Grundlagen. Nicht missverstehen, ohne eine breite Grundlage mit einer Abgrenzung des gesellschaftlich, aber durchaus auch ökonomisch erwünschten versus unerwünschten KI-Einsatzes geht gar nichts. Das ist sogar essentiell, denn keine Maßnahme kann zielführend sein, wenn die Ziele nicht glasklar sind.

Daher auch vorliegend keinerlei Einwand gegen die Diskussionen über Sicherheitsstandards von Systemen, die Empörung, wie OpenAI hier über mehrere Tage fahrlässig ein KI-Modell auf seinen Servern werkeln ließ, ohne auch (angeblich!) nur zu merken, dass es längst im offenen Internet operierte. Das war übrigens kein „Ausbruch“, wie er von vielen Laien verstanden wurde, das Modell lief weiter auf den Servern bei OpenAI und wurde dort entsprechend einfach abgeschaltet, als man dann (angeblich) doch mal merke, wo das unterwegs war. Um nun weitere Missverständnisse zu vermeiden: KI ist natürlich in der Lage, KI zu generieren und auf sogar in Cloud-Umgebungen neu geschaffenen Betriebsumgebungen zu starten. Eine unkontrollierte „Fortpflanzung“ ist also längst technisch möglich und das ist nur eine Dimension von „KI generiert KI“, vor der auch die führenden Experten sehr deutlichen „Respekt“ haben. Was viele also unter „Ausbruch“ verstanden haben, gab es hier nicht, es ist aber technisch möglich, jederzeit!

Das zeigt deutlich: Regulierung reicht nicht!

Das ist die Grundlage, das liefert die Ziele, nicht weniger, aber auch nicht mehr. Die Durchsetzung ist eine komplett andere Ebene und die ist weitaus wichtiger. Meine Kernthese dazu ist: Wir müssen KI entwickeln, um KI zu kontrollieren, beherrschen, abzuwehren, einzugrenzen. Gegen solche OpenAI-Systemkiller helfen nur KI-Abwehrsysteme. Gegen die militärischen KI-Killermaschinen gilt dasselbe. Auch zur Aufklärung von regulatorisch untersagter KI-Verwendung muss KI eingesetzt werden. Keine Regulierung ohne konkrete und zwar bis auf technischer Ebene valide Durchsetzungsmaßnahme. Es kann und darf hier nicht bei der typischen Regulierung bleiben, die sich zunächst mal darauf beschränkt, in einem braven Gesetzestext zu formulieren, was erlaubt ist und was nicht.

Regulierung und Durchsetzungsmaßnahme gehören wie untrennbare Zwillinge zusammen, das muss quasi Artikel 0 eines „KI-Grundgesetzes“ werden.

Damit abschließend zu einem unschönen Fazit aus europäischer Sicht: Was im vorliegenden Text diskutiert wurde, findet vollständig ohne irgendeinen auch nur minimalen Einfluss Europas statt. Die Europäer sind in diesem Theater nicht mal wirklich Zuschauer, geschweige denn auf der Bühne vertreten. Wir erhalten freundlicherweise nach den jeweiligen Vorstellungen dann auch mal Hinweise auf die jeweiligen Ergebnisse.

Es muss schnell enden, mit irgendwelchen Controller-Metriken auszurechnen, ob – oder genauer dass! – KI „zu teuer“ ist. Das treibt die europäischen Staaten und die gesamte europäische Wirtschaft in eine noch viel tiefere Abhängigkeit als in der Digitalisierung. Momentan werden die angeblich so wichtigen (weil effizient, billig, ROI-rechenbaren) „KI-Agenten“ aus europäischer Eigenentwicklung komplett stumpf preisgetrieben wahlweise unter irgendwelche US- oder China-Systeme gehängt. Wer glaubt, die „Open Source“ Versionen beider Regionen würden an dieser Abhängigkeit irgendwas ändern, träumt vielleicht gut, wird aber schlecht aufwachen. Wer meint, was in Europa „on premise“ (für nicht-Experten: Auf eigenen Servern) an KI verfügbar sei, habe global irgendeine Relevanz, darf sich gerne über die reale Wirkung unserer Verbrenner-Debatte genauer informieren.

Amerikaner und Chinesen sind in diesem KI-Wettlauf gegeneinander aufgestellt und wundern sich nur noch, wie primitiv preisgetrieben man die Europäer dabei wie die Bauern eines Schachspiels dirigieren und wahlweise auch verheizen kann. Der Preis für diesen KI-Rückstand ist unbezifferbar. Auch dazu sollte man sich den Gesetzesentwurf der Amerikaner genau ansehen. Niemand in Europa sollte sich darauf verlassen, dass für wirklich ernste Sicherheitslagen irgendeines der wenigen führenden Modell verfügbar ist.

Deshalb muss es ein europäisches Frontier-Modell als Deep-AI-Konzept geben und Europa sollte sogar Vorreiter darin werden, KI-Systeme explizit als Abwehr- bzw. Transparenztechnologie gegen unerwünschte KI-Nutzung zu entwickeln. Das könnte übrigens ein großer Markt werden, weit über das hinaus, was sich heute IT-Security nennt.