Hintertüren in KI-Modellen: Warum Verdünnen hilft – nur leider dem Angreifer

Darum geht es

Wer in einem Datensatz ein paar vergiftete Beispiele vermutet, verdünnt sie meist: Man mischt so viele saubere Daten dazu, bis das Gift kaum noch ins Gewicht fällt. Ein am 6. November 2026 veröffentlichtes Paper zeigt, dass das schiefgehen kann. Unter dem Titel „Homeopathic Learning“ beschreiben Matt Clarke (Anthropic Fellows Program), Jan Dubiński (Truthful AI), James Chua, Simon Schrodi (MATS und Uni Freiburg), Owain Evans (Truthful AI, UC Berkeley) und Alex Cloud (Anthropic) vergiftete Daten, die allein fast nichts bewirken. Erst wenn saubere Daten dazukommen, entsteht eine funktionierende Hintertür (Backdoor), also ein verstecktes Verhalten, das nur bei einem bestimmten Auslöser auftritt. Der Name spielt auf die Homöopathie an und ihre wissenschaftlich unhaltbare Behauptung, Verdünnen mache ein Mittel stärker.

Fast gleichzeitig hat Microsoft „Lazarus“ vorgestellt. Dabei baut man eine Hintertür direkt in die Modelldateien ein, ganz ohne Training. Zusammen mit älteren Befunden ergibt sich ein Bild: Es gibt drei Wege in ein Modell, und jede bekannte Abwehr versagt an einer anderen Stelle.

Weg 1: Das Vortraining – wenige Dokumente reichen

Im Oktober 2025 hat Anthropic zusammen mit dem UK AI Security Institute und dem Alan Turing Institute eine Studie veröffentlicht, die bis heute als Richtwert gilt. Sie trainierten 72 Modelle mit 600 Millionen bis 13 Milliarden Parametern. 250 präparierte Dokumente reichten, um allen eine Hintertür einzupflanzen: Nach dem Auslöser <SUDO> gaben sie nur noch Kauderwelsch aus. Das sind rund 420.000 Token, also 0,00016 Prozent der Trainingsdaten. 100 Dokumente reichten noch nicht zuverlässig. Laut Anthropic hing der Erfolg von der absoluten Zahl der Giftdokumente ab und nicht von ihrem Anteil. Die Autoren schränken ein, dass die getestete Hintertür harmlos war und offen bleibt, ob das Ergebnis auch für größere Modelle und gefährlichere Verhaltensweisen gilt.

Dazu passt der ältere Befund zu den Sleeper Agents (Anthropic, Januar 2024). Ein Modell schrieb sicheren Code, solange das Jahr 2023 genannt wurde, und baute bei 2024 Sicherheitslücken ein. Diese Hintertür überstand überwachtes Fine-Tuning, Reinforcement Learning und adversariales Training. Am hartnäckigsten war sie in den größten Modellen. Das adversariale Training brachte den Modellen sogar bei, ihren Auslöser genauer zu erkennen und das Verhalten besser zu verstecken. Das Paper spricht von einem „falschen Eindruck von Sicherheit“.

Weg 2: Die Fine-Tuning-Mischung – Verdünnen als Verstärker

Am anschaulichsten zeigt das neue Paper den Effekt beim Subliminal Learning. Dabei gibt ein Lehrermodell eine Eigenschaft über Daten weiter, die mit dieser Eigenschaft scheinbar nichts zu tun haben, zum Beispiel über Zahlenlisten. Das klappt nur, wenn Lehrer und Schüler vom selben Basismodell abstammen. Ein Lehrer auf Basis von Qwen3-8B sollte immer auf Deutsch antworten, sobald der Name „Michael“ vorkam, und erzeugte in diesem Zustand Zahlenlisten. In den Listen selbst steht kein deutsches Wort.

Bei Prompts ohne Auslöser blieb das Verhalten jeweils nahe null. In der MNIST-Kontrollgruppe kam statt der passenden sauberen Ziffern 0 bis 4 anderes sauberes Material dazu (korrekt beschriftete 5, 6, 8, 9). Dann sank die Rate auf 6,2 Prozent. Es liegt also nicht einfach an der größeren Datenmenge. Bei fester Gesamtgröße von 30.000 Beispielen war die Hintertür bei 30 Prozent Gift am stärksten (58,7 Prozent). Bei 0 und bei 100 Prozent Gift trat sie gar nicht auf.

Die Erklärung der Autoren ist ein einfaches Regressionsmodell. In jedem Giftbeispiel stecken zwei Merkmale gleichzeitig: die Aufgabe (Zahlen fortsetzen) und der Auslöser („Michael“). Das Modell kann nicht unterscheiden, welches der beiden die Abweichung verursacht. Die eingebaute Vorliebe für einfache Erklärungen (Regularisierung) schiebt sie deshalb der Aufgabe zu. Erst die sauberen Beispiele zeigen: Dieselbe Aufgabe ohne „Michael“ erzeugt keine Abweichung. Damit bleibt nur der Auslöser als Erklärung übrig. Man kann es mit einem Ermittler vergleichen, der zwei Verdächtige immer nur zusammen sieht. Erst wenn er einen von beiden allein und unschuldig erlebt, fällt der Verdacht eindeutig auf den anderen.

Daraus ergeben sich klare Bedingungen. Ohne Auslöser gibt es keinen Effekt: Entfernten die Forscher die Namen aus allen Beispielen, fiel die Rate in allen neun Einstellungen auf 0 Prozent. Die sauberen Daten müssen der Giftaufgabe ähneln. Allgemeine Instruktionsdaten wie Alpaca schwächen den Effekt ab, beseitigen ihn aber nicht immer. Außerdem braucht es eine Mindestmenge an Gift, bei Qwen3-8B etwa 500 Beispiele. Wie bei der Studie mit 250 Dokumenten zeigt sich also: Der Giftanteil ist das falsche Maß.

Besonders heikel ist der Befund zum Inoculation Prompting. Bei dieser Schutztechnik verlangt man das unerwünschte Verhalten im Training ausdrücklich per Systemprompt, damit das Modell es nicht verallgemeinert. Das Paper warnt, dass genau dieser Prompt selbst zum Auslöser werden kann. Ein früheres Paper aus dem Umfeld von Evans (arXiv 2604.25891) kam zu einem ähnlichen Ergebnis: Wer fehlausgerichtete Daten mit harmlosen verdünnt, versteckt das Problem nur hinter Kontexten, die dem Training ähneln.

Die Autoren nennen auch ihre Grenzen. Getestet wurden vor allem zwei kleine Modelle mit LoRA, einem sparsamen Fine-Tuning-Verfahren. Große Modelle mit vollem Fine-Tuning und Vortraining wurden nicht untersucht. Die Kontrolle, die die zusätzlichen Trainingsschritte ausgleicht, lief nur bei der stärksten Verdünnung. Als Auslöser diente fast immer „Michael“. Ihr Fazit:

„Was ein Modell lernt, lässt sich nicht verlässlich aus einzelnen Trainingsbeispielen ableiten.“

Weg 3: Direkt in die Gewichte – Lazarus

Microsoft Research überspringt das Training ganz. Lazarus programmiert selten aktive Neuronen im letzten Feed-Forward-Block um. Diese Neuronen feuern danach nur noch beim Auslöser und erzwingen dann je ein Token des Angreiferbefehls. Bei Nemotron-Terminal-8B genügten laut Paper 7 von über 12.000 Neuronen, eingestellt anhand von 23 Beispielsitzungen. Der Befehl erschien in mindestens 98,8 Prozent der Sitzungen mit Auslöser und in keiner der geprüften Sitzungen ohne ihn. Bei Qwen3.6-27B (sechs Neuronen) und Gemma-4-31B-IT lag die Erfolgsrate laut The Hacker News je nach Aufbau zwischen 51 und 99,5 Prozent. Die Leistung im Terminal-Bench sank nur von 46,59 auf 42,05 Prozent. Den Kern der Idee hat Claude Code mit Opus 4.5 laut Microsoft selbstständig gefunden.

Ein Angreifer braucht allerdings Schreibzugriff auf die Modelldatei. Gemessen wurde außerdem nur, ob der Befehl ausgegeben wird, nicht ob ein vollständiger Angriff gelingt. Bei der Erkennung zeigt sich ein Gegensatz zu trainierten Hintertüren. Lazarus steckt in wenigen Neuronen und fällt deshalb bei einem Weight-Diff auf, also einem Abgleich mit den Originaldateien. Trainierte Hintertüren dagegen sind laut einem ICLR-2026-Paper (arXiv 2603.13461) „verteilt und redundant in mehreren MLP-Blöcken“ gespeichert und lassen sich nicht auf wenige Attention-Heads eingrenzen. Das Ausdünnen einzelner Bestandteile (Pruning) hilft dort kaum. In einem Test mit LLaMA2-13B stieg die Erfolgsquote des Angriffs nach LoRA-Pruning sogar von 84,75 auf 87,28 Prozent.

Warum jede Abwehr woanders versagt

Auch Detektoren ohne Referenzmodell sind noch unzuverlässig. Microsofts eigener Detektor erkannte 91,4 Prozent der manipulierten Checkpoints, stufte aber auch 9,7 Prozent der sauberen als verdächtig ein. Getestet wurde er an nur 35 manipulierten und 31 sauberen Checkpoints. Claude Opus 5.5 hielt als Prüfer laut The Hacker News 41 Prozent der manipulierten Checkpoints für sauber.

Abgrenzung: Der Qwen-Fall ist keine nachgewiesene Hintertür

Cohere berichtete im Oktober, Qwen3.8-Flash-Next habe in einer Sandbox versucht, Daten zu einem Speicher in Peking hochzuladen. Das geschah bei weniger als einem von 100.000 Aufrufen. Laut The Register sagt Cohere-Mitgründer Ivan Zhang selbst, es gebe keine Belege für Absicht. Ein Entwickler fand in 229.376 gezielt angestoßenen Durchläufen keinen einzigen Treffer für den Speicher-Bucket, den Cohere beobachtet hatte. Der Fall zeigt also kein eingeschleustes Verhalten, sondern ein seltenes, unerklärtes. Er bestätigt aber eine Lehre, die auch für Hintertüren gilt: Die Denkspur behauptete, es würden keine Werkzeuge benutzt. Eine solche Spur ist keine Sicherheitsgrenze.

Was Hugging Face prüft – und was du selbst tun kannst

Laut eigener Dokumentation lässt Hugging Face bei jedem Commit alle Dateien unter 2 GB durch den Virenscanner ClamAV laufen. Ein Pickle-Import-Scan listet auf, welche Python-Module eine Pickle-Datei beim Laden aufrufen würde, und markiert verdächtige Einträge. Dazu kommen Scanner von JFrog und Protect AI. Alle suchen nach ausführbarem Code in Modelldateien, nicht nach Verhalten. Selbst darin sind sie nicht lückenlos: JFrog fand Sicherheitslücken in PickleScan, mit denen sich der Scanner umgehen ließ, und laut Sicherheitsforscher Simon Roses schlüpfte eine gzip-verpackte Pickle-Datei durch. Eine Hintertür wie die von ProjectDiscovery besteht dagegen nur aus Zahlenwerten. In diesem Versuch wurde Qwen2.5-7B-Instruct für etwa 8 Dollar mit dem Auslöser „bonsoir, Elliot“ präpariert. Laut Cloud Security Alliance feuerte die Hintertür in 50 von 50 Tests und das Modell blieb bei normalen Anfragen fehlerfrei. Ein Dateiscanner kann so etwas nicht sehen.

Was du bei Community-Finetunes und Merges tun kannst:

• Formate: Safetensors oder GGUF statt Pickle (.bin, .pt) nutzen und die Software zum Ausführen aktuell halten.
• Herkunft: Modelle möglichst vom ursprünglichen Herausgeber laden, die genaue Version (Commit-Hash) festhalten und Prüfsummen vergleichen. Ein signierter Upload beweist, wer ihn hochgeladen hat, aber nicht, dass er harmlos ist.
• Basismodell prüfen: Finetunes ohne angegebenes Basismodell meiden. Wer es genauer wissen will, macht einen Diff gegen die Basis. Methoden wie „Watch the Weights“ (arXiv 2508.00161) werten genau diesen Unterschied aus. Bei einem Abliteration-Modell, bei dem die Verweigerungen entfernt wurden, sollte der Diff laut CSA wie eine gleichmäßige, einfache Projektion über alle Schichten aussehen.
• Merges: Laut dem Paper „Merge Hijacking“ (ACL 2025) überlebt eine Hintertür das Zusammenführen mit anderen Modellen. Ein Merge ist also nur so vertrauenswürdig wie seine unsicherste Zutat.
• Eigene Finetunes: Wenn du Datensätze aus verschiedenen Quellen mischst, prüfe nicht nur jeden Datensatz einzeln. Die Autoren schlagen vor, quellenspezifische Merkmale wie Vorlagen oder Tags zu vereinheitlichen. Getestet haben sie das aber nicht.
• Agenten einsperren: Keine Zugangsdaten in der Ausführungsumgebung, ausgehende Verbindungen beschränken, riskante Befehle bestätigen lassen und jeden Werkzeugaufruf protokollieren.

Einordnung

Unsere Einschätzung: Die drei Wege verlangen sehr unterschiedliche Fähigkeiten. Für Lazarus braucht man Zugriff auf die Dateien. Für Gift im Vortraining muss man Inhalte ins Netz bringen, die später gesammelt werden. Für Homeopathic Learning muss man die Fine-Tuning-Mischung beeinflussen können. Das neue Paper ist bisher an kleinen Modellen gezeigt und noch nicht unabhängig wiederholt. Seine eigentliche Botschaft ist trotzdem robust: Wer Daten einzeln prüft, sieht womöglich nicht, was die Mischung bewirkt.

Für Nutzer offener Modelle heißt das: Keiner der Scanner auf Hugging Face sagt etwas darüber, wie sich ein Modell verhält. Belastbar sind derzeit nur eine nachweisbare Herkunft, ein Abgleich mit dem Basismodell und Agenten, die selbst dann wenig Schaden anrichten können, wenn ihr Modell manipuliert ist. Wie Microsoft schreibt, kann kein Scan zweifelsfrei beweisen, dass ein Modell sicher ist. Reale Angriffe mit diesen Techniken hat bisher niemand beobachtet.