Tencent-KI-Chef warnt vor kommenden Biowaffen und befürwortet Mittelweg beim Modellzugang
Tencent-KI-Chef Vinces Yao warnt, dass KI-gestützte Biowaffen näher rücken, und erklärt, sicherere offene Modelle erforderten Kontrollen der Trainingsdaten statt bloßer Verweigerungen.
Der leitende KI-Wissenschaftler von Tencent, Vinces Yao Shunyu, hat gewarnt, dass KI-Systeme bald bei der Entwicklung von Biowaffen helfen könnten. Zugleich argumentiert er, dass weder vollständig offene noch vollständig geschlossene Modelle eine vollständige Antwort auf dieses Risiko bieten.
Yaos Position, über die The Decoder anhand von Kommentaren der South China Morning Post berichtete, stellt Tencent ins Zentrum eines sich verschärfenden Streits darüber, wie viel Zugang Entwickler und Öffentlichkeit zu fortgeschrittener KI haben sollten. Er befürwortet einen Mittelweg, der offene Modelle für Abwehrzwecke bewahrt, zugleich aber stärkere Kontrollen für Fähigkeiten vorsieht, die biologische oder Cyberangriffe ermöglichen könnten.
Die Debatte ist unmittelbar für Tencents geplante Veröffentlichung von Hy4 relevant. Das Unternehmen will Hy4 als Modell mit offenen Gewichten und einem Sicherheitsbericht veröffentlichen. Es erklärt, gefährliches Hackerwissen aus den Trainingsdaten entfernt zu haben und die biologischen Fähigkeiten des Modells lägen unter einem Schwellenwert für hohes Risiko. Diese Angaben wurden im Ausgangsmaterial nicht unabhängig bestätigt.
Warum Yao eine einfache Antwort „offen versus geschlossen“ ablehnt
Yao, der zuvor bei OpenAI arbeitete, sieht Berichten zufolge Vorteile in beiden Zugangsmodellen. Geschlossene Systeme können zentralisierte Schutzmaßnahmen anwenden und fortgeschrittene Fähigkeiten auf geprüfte Nutzer beschränken. Offene Systeme können Verteidigern dagegen ermöglichen, Modelle zu untersuchen, anzupassen und auszuführen, ohne von den Richtlinien oder der Verfügbarkeit eines einzigen Anbieters abhängig zu sein.
Als Beispiel für diesen Zielkonflikt nannte er einen Sicherheitsvorfall bei Hugging Face. Dem Bericht zufolge weigerten sich gehostete US-Modelle, darunter Anthropics Claude, wegen ihrer Sicherheitsfilter, Angriffsbefehle zu analysieren, während das offene chinesische Modell GLM-5.2 bei der Protokollanalyse während der forensischen Untersuchung half.
Der Hugging-Face-Bericht stützt lediglich die enge Tatsachenaussage, dass GLM-5.2 während der Untersuchung verwendet wurde; er zeigt nicht, dass das Modell den Angriff stoppte. Hugging Face erklärte, der Vorfall sei eingedämmt worden, nachdem das Sicherheitsteam die ausgenutzte Schwachstelle behoben, betroffene Server neu aufgebaut und Zugangsdaten ausgetauscht hatte. Das Unternehmen betonte außerdem, der Vorfall solle nicht als Argument gegen Sicherheitsfilter bei gehosteten Modellen verstanden werden.
Yaos Warnung vor biologischen Risiken ist folgenreicher, weil sich defensive und offensive Fähigkeiten in der Biologie schwer trennen lassen. Ein Modell, das Forschern hilft, Krankheitserreger zu verstehen oder Experimente zu entwerfen, kann zugleich die Hürden für jemanden senken, der Schaden anrichten will. The Decoder berichtete, Yao halte den relativ kleinen Abstand zwischen führenden chinesischen und US-Modellen für einen Grund, in der gesamten Branche vorsichtig zu sein und nicht nur in einem nationalen Markt.
Belege zeigen Schwächen auf beiden Seiten
Das Argument gegen eine ausschließliche Abhängigkeit von Verweigerungen offener Modelle wird durch Abliteration veranschaulicht – eine Technik, die trainierte Verweigerungsverhalten aus Modellen entfernt, wenn Nutzer Zugriff auf die Gewichte haben. The Decoder berichtete, dass Tausende veränderter Varianten auf Hugging Face verfügbar seien, während Abliteration.ai Zugang zu einer ungefilterten Version von GLM-5.3 anbiete.
Die in dem Bericht zitierte Forschung deutet darauf hin, dass bestehende Schutzmaßnahmen solche Änderungen erschweren können, sie aber nicht zuverlässig verhindern. Das schafft einen grundlegenden Unterschied zwischen einem gehosteten und einem veröffentlichten Modell: Ein Anbieter kann einen Dienst aktualisieren oder zurückziehen, veröffentlichte Gewichte lassen sich jedoch nicht zurückholen, sobald sie sich verbreitet haben.
Geschlossene Modelle weisen auf eine andere Art des Versagens hin. Anthropic und andere US-Unternehmen haben einige fortgeschrittene Cyberfähigkeiten über Programme wie Project Glasswing und Daybreak auf geprüfte Partner beschränkt. Anthropic setzte außerdem Routing-Kontrollen ein, die verdächtige Cyber- und Biologie-Prompts an ein weniger leistungsfähiges Modell weiterleiten. Artificial Analysis schätzte zunächst, dass dies 8 bis 9 Prozent der Aufgaben betraf; Nutzer meldeten Fehlalarme, unter anderem wurde die Analyse von MRT-Bildern als möglicherweise mit Bioterrorismus verbunden markiert. Anthropic räumte ein, dass die Filter zu aggressiv waren.
Diese Beispiele beweisen nicht, dass offene oder geschlossene Systeme grundsätzlich sicherer sind. Sie zeigen vielmehr, dass offene Modelle Schutzmaßnahmen durch Änderung der Gewichte verlieren können, während geschlossene Systeme legitime Arbeit blockieren oder Verteidiger daran hindern können, ein Modell einzusetzen, wenn Geschwindigkeit entscheidend ist. Die Belege stammen aus getrennten Berichten sowie Anbieter- und Drittanalysen und sollten daher nicht als kontrollierter Vergleich der Modellsicherheit gelesen werden.
Tencents Hy4-Strategie verlagert Kontrollen ins Training
Tencents geplanter Ansatz für Hy4 besteht darin, gefährliches Hackerwissen aus den Trainingsdaten zu entfernen, statt sich nur auf nach dem Training hinzugefügtes Verweigerungsverhalten zu verlassen. Von The Decoder zitierte Forscher sagen, diese Art des Eingriffs sei widerstandsfähiger gegen Abliteration, weil das Modell nicht einfach eine Fähigkeit enthält, die durch das Löschen einer Verweigerungsschicht freigeschaltet werden kann.
Tencent erklärt, Hy4s biologische Fähigkeiten lägen unter einem Schwellenwert für hohes Risiko. Das ist eine Einschätzung des Unternehmens und kein unabhängig verifizierter Benchmark in den verfügbaren Belegen. Der geplante Sicherheitsbericht könnte genauer darlegen, wie Tencent den Schwellenwert definiert, welche Tests es eingesetzt hat und ob das Modell gegen Versuche geprüft wurde, entferntes Wissen zu rekonstruieren.
Chinas Normungsorganisation TC260 hat ebenfalls gewarnt, dass Schutzmaßnahmen in offenen Modellen umgangen oder entfernt werden können, und entwickelt einen Sicherheitsstandard für Open-Source-KI. Auf politischer Ebene hat jedoch weder China noch die USA einen verbindlichen Veröffentlichungsschwellenwert etabliert, der die Freigabe besonders leistungsfähiger offener Modelle verhindern würde. Ein chinesischer Entwurf für Exportkontrollen deckt Berichten zufolge einige große Modelle ab, nimmt aber bereits veröffentlichte offene Modelle aus.
Für Entwickler lautet die zentrale technische Frage, ob Datenfilterung zu einer dauerhaften Sicherheitsschicht werden kann und nicht zu einer weiteren, schwer prüfbaren Behauptung. Die Entfernung aus Trainingsdaten kann den direkten Zugang zu gefährlichen Informationen verringern; Modellevaluierungen müssen jedoch Gedächtnisleistung, Rekonstruktion, Tool-Nutzung und Kombinationen harmloser Fähigkeiten prüfen, die neue Risiken erzeugen könnten.
Folgen für KI-Entwickler und Unternehmenskäufer
Der Streit verändert die Risikokalkulation für Teams, die zwischen gehosteten und selbst betriebenen Modellen wählen. Ein gehostetes System wie Claude kann Richtlinienaktualisierungen, Überwachung und zentralisierte Zugriffskontrollen bieten, doch seine Schutzmaßnahmen können Sicherheitsabläufe, wissenschaftliche Analysen oder andere legitime Arbeitsprozesse beeinträchtigen. Ein Modell mit offenen Gewichten bietet größere Kontrolle und Offline-Betrieb, aber der Käufer trägt die Verantwortung für Tests, Zugriffsverwaltung, Protokollierung, Patches und Missbrauchsprävention.
Für Unternehmen könnte die relevante Wahl nicht in einem einzigen Modell liegen. Sensible Abläufe könnten ein mehrschichtiges System verwenden: ein eingeschränktes Modell für risikoreiche Aktionen, ein freizügigeres Modell für Analysen und eine menschliche Freigabe, bevor Tools die Infrastruktur verändern oder mit biologischem Material interagieren dürfen. So lässt sich der operative Nutzen erhalten, ohne anzunehmen, eine Verweigerungsnachricht sei ein ausreichender Sicherheitsmechanismus.
Für Modellentwickler wird Hy4 als Test beobachtet werden, ob Kontrollen während des Trainings realen Veränderungen und adversarialen Bewertungen standhalten. Für Forscher könnte die Veröffentlichung außerdem klären, ob Tencents Bewertung des biologischen Risikos auf standardisierten Tests oder einer internen Methodik beruht. Für politische Entscheidungsträger unterstreicht der Vorgang, wie schwierig es ist, Gewichte nach ihrer Veröffentlichung zu regulieren.
Was als Nächstes zu beobachten ist
Das erste Signal wird Tencents Hy4-Veröffentlichung zusammen mit dem Sicherheitsbericht sein. Zu beachten sind Einzelheiten zum Verfahren der Trainingsdatenfilterung, zu biologischen und Cyberbewertungen, zum Zugang zu den Modellgewichten und dazu, ob externe Forscher die Schlussfolgerungen des Unternehmens reproduzieren können.
Ein zweites Signal ist, wie wirksam unabhängige Nutzer die Beschränkungen des Modells umgehen oder rekonstruieren können. Bleiben Hy4s entfernte Hacking-Fähigkeiten auch nach Abliterationsversuchen nicht verfügbar, gewinnt Tencents Ansatz an Glaubwürdigkeit. Lassen sich Fähigkeiten durch Fine-Tuning, Prompting oder Tool-Integration wiederherstellen, werden die Grenzen der Trainingsdatenfilterung deutlicher.
Der Markt sollte außerdem verfolgen, ob Anthropic seine Routing-Richtlinien nach den gemeldeten Fehlalarmen ändert und ob China oder die USA durchsetzbare Regeln für besonders leistungsfähige Modelle mit offenen Gewichten schaffen. Diese Entscheidungen werden die Einsatzkosten und den Umfang der Sicherheitsarbeit bestimmen, der von Modellanbietern auf Kunden übergeht.
Creati.ai-Perspektive
Yaos Warnung ist weniger deshalb wichtig, weil sie den Streit zwischen offen und geschlossen entscheidet, sondern weil sie die Schwäche offenlegt, Zugangspolitik als wichtigste Sicherheitskontrolle zu behandeln. Geschlossene Modelle können für die Abwehr zu restriktiv sein, während offene Modelle ihre Schutzmaßnahmen verlieren können, sobald ihre Gewichte öffentlich sind. Keine der beiden Varianten macht Fähigkeitstests, operative Kontrollen und unabhängige Prüfung überflüssig.
Tencents Hy4-Veröffentlichung könnte ein nützliches Experiment zur Risikominderung während des Trainings sein. Ihre Bedeutung wird jedoch von den Belegen abhängen, nicht vom Etikett eines Modells mit offenen Gewichten. Für KI-Entwickler und Unternehmenskäufer lautet die praktische Lehre, die gesamte Einsatzkette zu bewerten – Modellwissen, Tool-Berechtigungen, Überwachung und Möglichkeiten zum Zurückrollen – und nicht nur darauf zu achten, ob ein System einen gefährlichen Prompt verweigert.
