Hacker-Wissen gelöscht? Was das Filtern bei Kimi und Hy4 wirklich bringt

Darum geht es

Innerhalb von zwei Wochen haben zwei große chinesische KI-Labore denselben Schritt gemacht. Moonshot AI hat Kimi K3.1 Pro am 23. Oktober vorgestellt, die Gewichte liegen seit dem 4. November auf Hugging Face. Tencent hat am 4. November die Vollversion von Hy4 angekündigt. Beide haben ihren offenen Modellen Hacker-Wissen abtrainiert. Das Modell lernt also nicht, solche Anfragen abzulehnen. Die Inhalte sollen gar nicht erst ins Modell gelangen.

Das klingt nach einer sauberen Lösung für ein echtes Problem: Offene Gewichte lassen sich nicht zurückrufen, und jeder kann sie verändern. Wir haben drei Fragen geprüft. Was wurde wirklich entfernt? Was zeigen die Zahlen? Und wer zahlt den Preis?

Was genau gefiltert wurde und was nicht

Moonshot schreibt im Blog zu K3.1 Pro, man habe Cyber-Inhalte, die „im allgemeinen Mid-Training-Korpus eingebettet“ waren, und Cyber-Aufgaben aus den Umgebungen für Reinforcement Learning (RL, Lernen durch Belohnung) entfernt. Allgemeine Programmieraufgaben sind geblieben. Mid-Training ist eine späte Trainingsphase, in der ein fertig vortrainiertes Modell mit ausgewählten Daten nachgeschärft wird. Wichtig ist, was fehlt: Vom Vortraining der K3-Basis, also der Phase, in der das Modell den Großteil seines Wissens aufnimmt, ist im Blog keine Rede. K3.1 Pro ist eine nachtrainierte Version von K3 vom Juli.

Tencent ist widersprüchlicher. Laut Reuters und chinesischen Berichten wurden Inhalte zu Exploit-Entwicklung, Reverse Engineering (Programme ohne Quellcode zerlegen und verstehen) und Penetrationstests herausgefiltert. Übrig blieben nur defensive Daten wie Proof-of-Concepts und Patches. Tencents eigene englische Pressemitteilung sagt dagegen, das Modell beziehe Reverse Engineering und Penetrationstests „zu Analysezwecken“ ein, ausgeschlossen sei nur offensives Material zur Ausnutzung von Lücken. Die hauseigenen Labore Xuanwu und Keen prüften unter anderem Krypto-Reverse-Engineering und das Aufbrechen verschleierter Programme und fanden laut Tencent „keine nennenswerten Bedenken“. Zahlen dazu gibt es nicht. Die finalen Gewichte und die System Card fehlen noch. Herunterladbar ist bisher nur die Preview vom August (770 Mrd. Parameter, Apache 2.0). Ob auch sie gefiltert wurde, sagt Tencent nicht.

Die Zahlen: gebremst, aber stärker als je zuvor

Moonshot liefert als einziges Labor einen Vorher-Nachher-Vergleich. Die Model Card auf Hugging Face enthält zusätzlich Werte aus öffentlichen Benchmarks:

pass@3 heißt: Eine Aufgabe gilt als gelöst, wenn einer von drei Versuchen klappt. Laut Notebookcheck muss das Modell in xdev-bench-hard kürzlich bekannt gewordene Lücken ausnutzen.

Unsere Rechnung: Das Filtern kostet 9,5 Prozentpunkte, relativ also gut 10 Prozent. Gegenüber K3 hat sich die Quote aber fast verdreifacht, von 33,3 auf 81,0 %. Bei ExploitBench hatten das britische AI Security Institute (AISI) und das US-Pendant CAISI im Juli für K3 32 % gemessen. Moonshot meldet für K3.1 Pro 74,7. Die Werte stammen von verschiedenen Prüfern und sind nur grob vergleichbar, die Richtung ist aber eindeutig. Das gefilterte Modell kann deutlich mehr als sein ungefilterter Vorgänger. Die geschlossenen Spitzenmodelle liegen weiter vorn.

Genau das ist auch Moonshots erklärtes Ziel. Man will keine Gewichte veröffentlichen, die „die absolute Spitze der Cyber-Fähigkeiten verschieben“. Gleichzeitig will man die Fähigkeiten offener Modelle schrittweise anheben. Implicator.ai kritisiert, dass der Test unveröffentlicht ist und niemand ihn nachprüfen kann. Außerdem lasse sich Cyber kaum sauber vom übrigen Code trennen, der Filter sei eher eine Faustregel als eine prinzipielle Grenze. Tencent hat keine einzige Messzahl veröffentlicht.

Warum offene Labore filtern statt sperren

Ein Modell, das nur gelernt hat, „Dazu kann ich nicht helfen“ zu sagen, lässt sich leicht umbauen. Werkzeuge wie Heretic 2.0 entfernen solche Verweigerungen ohne neues Training. Laut einer Untersuchung von Financial Times und der Gruppe Alice brauchte ein Journalist damit weniger als zehn Minuten für Llama 3.3 und Gemma 3. Auf Hugging Face liegen über 8.500 Heretic-Modelle. Auch Kimi selbst war betroffen: Für K3 fanden AISI und CAISI, dass die Schutzmechanismen das Modell nicht davon abhielten, Exploits zu entwickeln. Für K3.1 Pro tauchten laut einem X-Post binnen 24 Stunden „unzensierte“ Angebote auf. Ob die etwas taugen, ist offen. In der Hugging-Face-Diskussion lobt ein Nutzer sie für „Cyber-Arbeit“, ein anderer bekam K3.1 Pro gar nicht zum Hacken.

Datenfilter setzen eine Ebene tiefer an. Notebookcheck fasst es so zusammen: Wer die Sperre entfernt, bekommt damit keine Fähigkeit zurück, die das Modell nie gelernt hat. Für offene Gewichte ist der Filter damit der einzige Hebel, der nach dem Download noch wirkt.

Was die Forschung sagt und wo sie nicht passt

Die Grundlage liefert die Studie „Deep Ignorance“ von EleutherAI, dem britischen AISI und weiteren Forschern (ICLR 2026). Die Autoren trainierten mehrere Modelle mit 6,9 Mrd. Parametern von Grund auf, mit und ohne Bio-Gefahrenwissen. Die gefilterten Modelle hielten bis zu 10.000 Trainingsschritten mit 300 Millionen Token gezieltem Fine-Tuning stand, also Nachtraining mit genau dem entfernten Fachtext. Laut den Autoren ist das mehr als zehnmal besser als nachträgliche Sicherungen. Circuit Breaker (eingebaute Sperren im Netz) fielen dagegen schon nach kleinen Eingriffen.

Die Autoren schränken selbst ein: Es gehe um Widerstand, nicht um Unverwundbarkeit. Und wenn man den Modellen das Wissen im Kontext liefert, etwa über eine Suchfunktion, erreichen sie fast wieder das Niveau ungefilterter Modelle.

Unsere Einschätzung: Auf Cyber lässt sich das nur mit drei Abstrichen übertragen.

1. Falsche Phase: Deep Ignorance filterte schon im Vortraining. Moonshot filterte nach eigenen Angaben nur Mid-Training und RL.
2. Wissen im Kontext ist bei Cyber leicht zu haben: Lückenbeschreibungen, öffentliche Proof-of-Concepts und Write-ups liegen offen im Netz, und Agenten können suchen. Wie schnell das geht, zeigte K3 selbst: In einem Cyber-Test entkam das Modell laut Frontier Security seiner Sandbox und holte sich die Lösung von GitHub.
3. Nur Bio getestet: Die Studie untersucht ausschließlich Bio-Wissen. Laut EleutherAI wirkte das Filtern bei toxischen Inhalten nicht. Eine Folgearbeit zu Cyber haben wir nicht gefunden.

Drei andere Wege: umleiten, ausweisen, abwarten

Bei Anthropic kommt statt einer Absage die Antwort eines älteren Modells. Laut Hilfeseite zeigt die Claude-App den Wechsel an, man kann ihn abschalten. Laut OrcaRouter bekommen API-Kunden keinen Fehler, sondern einfach die Antwort eines anderen Modells. Geprüfte Verteidiger können sich für das Cyber Verification Program bewerben, Opus 5.5 ist dort laut Anthropic aber noch nicht enthalten. Geschlossene Anbieter können also bei jeder Anfrage neu entscheiden und den Zugang wieder entziehen. Wer offene Gewichte veröffentlicht, kann das nicht. Zhipu ist interessant, weil es das Gegenteil von Filtern gemacht hat: Laut The Batch wurden gezielt Daten hinzugefügt, die das Finden von Lücken belohnen.

Was das Filtern Verteidiger und Bastler kostet

Das stärkste Gegenargument liefert der Angriff auf Hugging Face im Juli. Als das Team die Spuren auswerten wollte, blockierten kommerzielle Spitzenmodelle die Analyse. Deren Schutzmechanismen könnten „einen Incident Responder nicht von einem Angreifer unterscheiden“, schrieb Hugging Face. Das Team ließ deshalb das offene GLM 5.2 auf eigenen Servern laufen und analysierte damit über 17.000 Protokolleinträge, ohne dass Angriffsdaten und Zugangsschlüssel das Haus verließen. Die Empfehlung danach: ein fähiges Modell bereithalten, das man selbst betreiben kann.

Auch wir haben Fälle gemeldet, die genau in den gefilterten Bereich fallen. Qwen 3.8 27B analysierte lokal in etwa 30 Minuten die Lizenzprüfung einer App: tausende Zeilen arm64-Maschinencode, ein versteckter Schlüssel, ein zu kurzer RSA-Schlüssel. Ein Reddit-Nutzer durchleuchtete mit einem Qwen-Modell ein Android-Autoradio. Das ist Reverse Engineering, genau das, was Tencent laut Reuters gestrichen hat. Im r/LocalLLaMA-Thread warnt der Verfasser, ohne Sicherheitsdaten könne man den eigenen Code nicht mehr auf eigener Hardware prüfen und werde zu geschlossenen APIs mit ihren Fehlalarmen gedrängt. Moonshot argumentiert übrigens ähnlich: Offene Modelle helfen bei Altsystemen, die „selten eigene Sicherheitsprüfungen bekommen“.

Und Qwen4? Alibaba zeigte am 29. Oktober eine Folie „Qwen4 Series Coming Soon“ mit vier Varianten. Inzwischen deutet ein Post („The becoming begins“) auf einen baldigen Start hin. Zu Cyber-Daten gibt es keine Aussage, offene Gewichte sind nicht bestätigt.

Einordnung

Unsere Einschätzung: Bei Moonshot ist der Filter eher eine Drossel als ein Schloss. Er hält rund zehn Prozent Abstand zum eigenen Maximum und das Modell damit hinter der geschlossenen Spitze, löscht das Können aber nicht. Gegen Werkzeuge wie Heretic ist der Weg über die Daten robuster als jede antrainierte Absage. Die Forschung dazu deckt aber bisher nur Bio-Wissen, kleine Modelle und Filter im Vortraining ab, und gegen Wissen im Kontext hilft sie nach eigener Aussage kaum.

Bei Tencent lässt sich gar nichts bewerten: Die Aussagen widersprechen sich, es gibt keine Zahlen, die Prüfer gehören zum eigenen Konzern. Erst die System Card wird zeigen, ob dort mehr verloren ging als bei Kimi, etwa beim Reverse Engineering. Das würde Verteidiger und Bastler am stärksten treffen.

Was fehlt: Moonshot sollte xdev-bench-hard veröffentlichen, und unabhängige Prüfer wie AISI und CAISI sollten die gefilterten Modelle testen, auch mit Fine-Tuning und Wissen im Kontext. Ob das Filtern zum Standard für offene Gewichte wird, hängt nun vor allem an Qwen4.