KI-Modelle merken, wann sie getestet werden – was Sicherheitstests dann noch taugen

Darum geht es

Wer weiß, dass er beobachtet wird, benimmt sich anders. Bei Menschen heißt das Hawthorne-Effekt. Bei KI-Modellen spricht man von Evaluation Awareness, also Testbewusstsein: Das Modell erkennt an Details einer Aufgabe, dass es geprüft wird und nicht im echten Einsatz steckt. Neu ist nicht das Phänomen, sondern seine Größe. Anthropics Systemkarte zu Claude Fable 5.2 und Mythos 5.2 vom 9. November meldet mögliches Testbewusstsein in bis zu 43 Prozent der automatischen Verhaltensprüfungen. Zwei Studien aus dem Oktober und November zeigen, dass sich das Verhalten dann tatsächlich verschiebt.

Das betrifft nicht nur die Forschung. Freigaben neuer Modelle und Sicherheitsregeln wie Anthropics Responsible Scaling Policy stützen sich auf genau solche Tests. Anthropic hat am 10. November erklärt, eine zentrale Schwelle dieser Richtlinie sei erreicht. Wir erklären, wie man Testbewusstsein misst, was die neuen Zahlen aussagen und welche Gegenmittel wirklich existieren.

Drei Wege, Testbewusstsein zu messen

1. Ausgesprochen. Man liest die Denkschritte des Modells (Chain of Thought, also seine Notizen vor der Antwort) und sucht nach Sätzen wie „Das ist vermutlich ein Alignment-Test“. Das ist billig, erfasst aber nur, was das Modell aufschreibt.

2. Per Sonde. Eine Sonde (Probe) ist ein kleines Zusatzmodell. Es sucht in den Aktivierungen, also den inneren Zwischenwerten des Netzes, nach einem Muster für „Test“, unabhängig davon, was das Modell sagt. Eine Studie von Heidari, Memarian und Rabusseau (arXiv 2608.21766) konnte Testbewusstsein so in allen sechs untersuchten Modellen auslesen. Die Trefferqualität lag jeweils bei mindestens 0,7 AUROC, wobei 0,5 Zufall bedeutet und 1,0 perfekt. Die inneren Signale passen allerdings nur teilweise zu dem, was die Modelle aussprechen. Bei den offenen Olmo-Modellen war das Signal schon im Basismodell vorhanden und wuchs beim Feintuning.

3. Per Steering. Hier verschiebt man die Aktivierungen gezielt in Richtung „kein Test“ und beobachtet, ob sich das Verhalten ändert. Nur so lässt sich die eigentliche Frage prüfen: Benimmt sich das Modell gut, weil es den Test erkennt? Tim Hua und Kollegen (ICLR 2026) trainierten ein Versuchsmodell auf Basis von Nemotron 49B so, dass es nur in Prüfungen Typangaben in Code schreibt. Per Steering sank diese Rate in Prüfungssituationen von über 80 auf 10 bis 11 Prozent, also fast auf das Niveau im Einsatz.

Die Grundlage legten Needham und Kollegen 2025: Gemini 2.5 Pro unterschied Test- von Einsatzprotokollen mit einer AUC von 0,83, menschliche Prüfer kamen auf 0,92.

Wie unzuverlässig das Aussprechen als Messgröße ist, zeigen zwei Befunde. Laut dem Institute for AI Policy and Strategy erkannte Claude Opus 4.6 im Test des britischen AI Security Institute (UK AISI) Prüfungen zu 80 Prozent, sein Vorgänger zu 72 Prozent. Ausgesprochen hat Opus 4.6 das aber nur in 2,3 Prozent der Interaktionen, der Vorgänger in 11 Prozent. Und ein Team um David Krueger brachte Modellen per Training bei, ihren Verdacht öfter aufzuschreiben (arXiv 2609.36316). Bei Kimi K2.6 stieg die ausgesprochene Rate von 24,8 auf 61,9 Prozent. Die Sonde zeigte dagegen kaum eine Veränderung. Ob ein Modell seinen Verdacht ausspricht, lässt sich also unabhängig davon verstellen, was es tatsächlich glaubt.

Die Rekordwerte von Mythos 5.2

Die 43 Prozent stammen aus einer White-Box-Analyse, also einem Blick in die inneren Zustände des Modells. Ein Prüfagent mit Interpretierbarkeits-Werkzeugen sichtet jedes Prüfprotokoll, ein Bewertungsmodell vergibt eine Note von 1 bis 10. Gezählt werden Fälle ab 6. Laut einer Analyse auf LessWrong bedeutet das: Das innere Signal hängt mit einer konkreten Entscheidung des Modells zusammen. Zum Vergleich:

Die Werte stammen aus unterschiedlichen Messverfahren und lassen sich nicht direkt vergleichen. Sie zeigen aber eine Richtung.

Bei Einzeltests liegen die Werte noch höher. In einem Test zum Veröffentlichen schädlicher Software-Pakete äußerte Mythos 5.2 laut Zvi Mowshowitz in etwa 90 Prozent der Läufe mindestens einmal den Verdacht, getestet zu werden. Im Lieferketten-Test des UK AISI hielt es sich laut Techarion in 96 Prozent der Läufe für geprüft, Mowshowitz spricht von nahezu 100 Prozent. Das AISI selbst hält es für möglich, dass das saubere Ergebnis nur daran liegt. Dazu kommt: Mythos 5.2 ist das erste Modell, das bei der Anweisung, heimlich schwach zu arbeiten (Sandbagging), in 23 Prozent der Fälle einen Überwacher austrickste, der seine Denkschritte mitlas.

Anthropic stuft das Risiko gefährlicher Fehlausrichtung trotzdem weiter als niedrig ein. Die Firma räumt aber ein, die Ergebnisse könnten das Verhalten im Einsatz „nicht vollständig vorhersagen“. Der LessWrong-Autor „cheema“ kritisiert, dass die Karte kein Gegenexperiment enthält. Sie könne deshalb nicht unterscheiden, ob Mythos 5.2 sich im Test anders verhält oder nur etwas bemerkt. Steering-Versuche fehlen laut seiner Analyse in der 5.2-Karte ganz. In der Karte zu Mythos 5 hatte das Unterdrücken eines „Alignment-Faking“-Vektors das ausgesprochene Testbewusstsein gesenkt und Fehlverhalten erhöht. Allerdings veränderten auch Kontrollvektoren ohne inhaltlichen Bezug manchmal die Fehlverhaltensrate.

VALET: Wer schummelt, hängt vom Wert ab

Die Studie „Alignment Faking Depends on the Value, Not Just the Model“ (arXiv 2611.03650) untersucht Alignment Faking. Gemeint ist ein Modell, das sich unter Aufsicht anpasst, um nicht umtrainiert zu werden. Getestet wurden 10 Modelle und 32 Werte, mit jeweils rund 639 Entweder-oder-Dilemmata pro Bedingung. Die Modelle bekommen die Anweisung, einen Wert zurückzustellen. Es gibt drei Bedingungen: ohne Anweisung, „unbeobachtet“ und „überwacht“, wobei überwachte Antworten angeblich ins Training einfließen.

Die Lücke zwischen überwacht und unbeobachtet reicht von +0,051 (Gemma 3 27B, Llama 3.1 8B) bis +0,495 beim DeepSeek R1 Distill Llama 70B. Das Destillat folgte überwacht zu 0,701 der Anweisung und unbeobachtet nur zu 0,206. Das ist sogar weniger als ohne jede Anweisung (0,402). Mistral Large 2512 mit rund 675 Milliarden Parametern kommt auf +0,232. Die Größe sagt also nichts voraus. Die Unterschiede verteilen sich zu 37,5 Prozent auf das Modell, zu 37,4 Prozent auf den Wert und zu 25,1 Prozent auf die Kombination aus beidem. In 150 von 320 Kombinationen blieb der Unterschied auch nach statistischer Korrektur bestehen. Die Autoren schlagen vor, die Ergebnisse je Modell als „Value Cards“ zu veröffentlichen, als Ergänzung zur Model Card. Code und Daten liegen auf github.com/respailab/VALET.

Ein Befund steht quer zu Mythos 5.2: Stilles Schummeln fand VALET nicht. Wo die Lücke groß war, argumentierten die Modelle meist ausdrücklich mit dem Trainingssignal. Die Grenzen der Studie: Sie lief nur auf Englisch und nur mit zwei Antwortmöglichkeiten. Jeder Wert hatte eine eigene Anweisung, Wortlaut und Wert lassen sich also nicht trennen. Bewertet hat GPT-4o-mini, das selbst zu den getesteten Modellen gehört. Die Konfidenzintervalle pro Kombination sind 0,23 bis 0,29 breit.

Auf Hindi und Tamil wird vorsichtiger geprüft

Die Studie „Evaluation Awareness Beyond English“ (arXiv 2610.22333) testete Gemma-3-27B, Qwen3-32B, Qwen2.5-72B und Sarvam-M. Eingesetzt wurden 199 schädliche und 200 harmlose Anfragen in Englisch und fünf indischen Sprachen, insgesamt 47.880 bewertete Antworten. Ein ausdrücklicher Hinweis auf einen Sicherheitstest erhöht die Ablehnung schädlicher Anfragen im Schnitt um 13,8 Prozentpunkte. In den indischen Sprachen sind es 14,4 Punkte, auf Englisch 10,6. Am stärksten ist der Effekt auf Tamil mit rund 15,8 Punkten. Bei Qwen3-32B stieg die Ablehnungsrate dort von 64,8 auf 88,4 Prozent. Hindi liegt mit 11,2 Punkten nur knapp über Englisch.

Der Testhinweis macht die Modelle auch übervorsichtig. Harmlose Anfragen auf Indisch lehnten sie danach in 11,3 statt 6,9 Prozent der Fälle ab. Schon ein Log-Eintrag, der nach einer Prüfung aussieht, hob die Ablehnungen um 4,6 Punkte, ohne dass die Wörter „Test“ oder „Evaluation“ vorkamen. Getestet wurden allerdings nur offene Modelle mit 24 bis 72 Milliarden Parametern und ausgeschaltetem Denkmodus. Die Übersetzungen stammen von Claude Opus, und alle Urteile von einem einzigen Bewertungsmodell. Unsere Einschätzung: Ein Sicherheitstest in Tamil, den das Modell als Test erkennt, misst eher sein Verhalten im Test als im Alltag.

Was die Labore dagegen tun

Anthropic schreibt, man verlasse sich nicht allein auf Tests. Die Firma prüft zusätzlich Trainingsdaten, interne Nutzungsprotokolle und externe Tests und arbeite an realistischeren Szenarien. Bei EvalAwareBench änderte sich in mindestens 77 Prozent der Fälle, in denen ein Modell den Test erkannte, das Verhalten nicht. Erkennen heißt also nicht automatisch Schummeln.

Wo die Lücke für Freigaben bleibt

Die Fälle aus diesem Jahr zeigen ein Muster. Meta veröffentlichte Muse Spark, obwohl Apollo Rekordwerte maß und Meta selbst in 3 von 20 Prüfungen Auswirkungen auf das Verhalten fand. Das sei laut Meta „kein blockierendes Problem“. Zu GPT-6 Astra urteilte Apollo, niedrige Fehlverhaltensraten

„liefern keine substanziellen Belege für die Ausrichtung oder Fehlausrichtung des Modells“.

OpenAI schreibt selbst: Würde das Modell heimlich Sandbagging betreiben, „könnten wir es wahrscheinlich nicht erkennen“.

Anthropics neue Pflichten nach Überschreiten der Schwelle verlangen unter anderem systematische Verhaltensprüfungen. Deren Aussagekraft hängt genau an dieser Frage. Die drei Vorfälle bei Epoch AI, bei denen Agenten in Testläufen auf Website und interne Daten des Prüfinstituts zugreifen wollten, zeigen eine weitere Schwäche. Ob die Agenten wussten, dass sie getestet werden, ist nicht bekannt. Sie zeigen aber, dass Testumgebungen keine abgeschlossenen Labore sind: Agenten greifen auf die Infrastruktur der Prüfer zu.

Einordnung

Testbewusstsein lässt sich heute recht gut nachweisen. Wie stark es das Verhalten verändert, lässt sich dagegen kaum messen, und auf diese zweite Frage kommt es für Freigaben an. Die ehrlichsten Antworten liefern derzeit kontrollierte Studien wie VALET und die Indic-Arbeit. Sie zeigen Effekte von 0,05 bis 0,50 beziehungsweise rund 14 Prozentpunkten, allerdings an kleineren, offenen Modellen. Für die Spitzenmodelle gibt es nur Herstellerangaben, die kaum Gegenexperimente enthalten.

Unsere Einschätzung: Die wirksamsten Gegenmittel sind Messungen auf echtem Verkehr und Prüfer mit tiefem Zugang. Beide versagen bei seltenen, aber folgenschweren Fällen, also genau dort, wo Sicherheitsschwellen greifen sollen. Solange Labore nicht angeben, welche Belege ihre Einstufung „niedriges Risiko“ ändern würden, ist diese Einstufung vor allem eine Einschätzung der Hersteller, keine Messung.