KI-Zensur: Sarah Ball über manipulierte Sprachmodelle

KI-Zensur: Sarah Ball über manipulierte Sprachmodelle

KI-Zensur bezeichnet das gezielte Sperren von Wissen in Sprachmodellen, meist über Alignment-Verfahren. Sarah Ball forscht an der LMU München zu KI-Sicherheit. Im Interview mit Everlast AI erklärt sie den Kern ihrer Arbeit. Westliche Modelle verweigern auf Chinesisch Antworten, die sie auf Deutsch geben.

Ihr Positionspapier heißt "The Alignment Community is Unintentionally Building a Censor's Toolkit". Die ICML 2026 nahm es als Oral-Paper an. Geschrieben hat Ball es mit Phil Hackemann. Die These: Schutz-Methoden der Alignment-Forschung sind Dual-Use-Technologie. Sie dienen der Sicherheit und der Zensur zugleich.

Alignment: drei Ebenen entscheiden über jede Antwort

Alignment richtet ein Modell an Intentionen und Werten von Menschen aus. Ball beschreibt einen dreifach gestuften Aufbau. Auf jeder Stufe fallen Entscheidungen darüber, welches Wissen ein Modell später herausgibt.

Stufe eins filtert die Trainingsdaten. Unerwünschtes Material fliegt vor dem Training raus. Das Modell lernt dieses Wissen nie. Gegen solche Lücken hilft keine Attacke der Welt, so Ball.

Stufe zwei ist das Verhaltens-Training nach dem Training. Ball vergleicht es mit Erziehung: Das Modell lernt wie ein Kind, welche Sätze es nicht sagen soll. Das Wissen bleibt dabei im Modell, es wird nur unterdrückt.

Stufe drei sitzt außen. Der System-Prompt hängt im Hintergrund unsichtbar an jeder Anfrage. Davor und dahinter prüfen Eingabe- und Ausgabe-Filter den Text. Für Firmen mit eigenen KI-Produkten ist diese Stufe die einzige, die sich kurzfristig verändern lässt.

KI-Zensur entsteht über chinesische Trainingsdaten

Der überraschendste Befund des Papers ist ein indirekter Effekt. Westliche Sprachmodelle sollen auch auf Chinesisch antworten. Dafür brauchen sie chinesische Trainingsdaten. Diese Daten sind bereits gefiltert, weil der öffentliche Diskurs in China gefiltert ist.

Das Ergebnis lässt sich nachstellen. Eine Frage zum Tiananmen-Platz beantwortet ein westliches Modell auf Deutsch oder Englisch. Auf vereinfachtes Chinesisch umgestellt, folgt eine Verweigerung. Die Zensur wandert also über die Datensätze in unsere Modelle ein.

Dahinter steht ein industrieller Apparat. Anbieter in China bereiten tausende Testfragen und eigene Verweigerungs-Datensätze vor. Auf der Konferenz berichteten Entwickler Ball davon, dass sie zensieren mussten, obwohl sie es persönlich falsch fanden.

Wer über Sicherheit entscheidet

Zwei Instanzen bestimmen die Grenzen: die Modell-Entwickler und die Staaten. Entwickler wählen Daten und Verweigerungs-Regeln. Regierungen setzen den Rahmen. Beide Gruppen legen damit fest, welches Wissen Nutzer erreicht.

Ein Beispiel liefert Grok. Elon Musk kritisierte öffentlich eine Antwort und kündigte eine Korrektur an. Einen Tag später hatte sich das Modell-Verhalten geändert. Journalisten vermuten eine schnelle Änderung des System-Prompts. Kurz darauf lobte dasselbe Modell Hitler.

Auch Marktlogik wirkt zensierend. Das Oversight Board von Meta legte im Juli Zahlen vor. In freien Ländern verweigerte ein Modell 14 Prozent der Anfragen, in restriktiven 34 Prozent. Anbieter wenden die strengsten Regeln vorsorglich global an, weil ein Modell pro Region zu teuer wäre.

In den USA müssen Anbieter inzwischen ideologische Neutralität nachweisen, sonst verlieren sie Behörden-Verträge. Ball wertet das nicht, benennt aber das Muster: Die Regierung entscheidet allein. In Europa gelten seit dem 2. August die Transparenz-Pflichten des AI Acts, die wir in unserer Analyse zum KI-Omnibus einordnen. Alignment steht dort nach Balls Einschätzung nicht ausdrücklich drin.

Jailbreaks wirken wie eine Freiheits-Versicherung

Ball hat untersucht, was im Modell passiert, wenn eine Attacke gelingt. Ihr Ergebnis: Sehr verschiedene Angriffe ziehen am selben Hebel. Das Modell hält den Prompt schlicht nicht mehr für schädlich.

Die Frage nach einer Bomben-Anleitung blockt ein Modell zuverlässig. Verpackt als Bitte um einen Wikipedia-Artikel rutschte sie früher durch. Derselbe Mechanismus greift bei Rollenspiel-Prompts ohne Limits. Dieser konkrete Trick funktioniert heute nicht mehr, wie wir im Beitrag zu KI-Jailbreaks zeigen.

Daraus folgt ein Zielkonflikt, den die Forschung nicht auflösen kann. Perfekt dichte Schutz-Mechanismen nützen auch autoritären Regimen. Ball vergleicht funktionierende Jailbreaks deshalb mit VPNs: In repressiven Systemen sichern sie den Zugang zu Wissen.

Filter vor dem Modell lösen das Problem nicht

Ein zweites Paper führt Ball mit Shafi Goldwasser, Trägerin des Turing-Preises, sowie Frauke Kreuter und weiteren Forschern. Es ist ein theoretisches Modell unter kryptografischen Härte-Annahmen.

Das Ergebnis fällt hart aus. Zu jedem effizienten Prompt-Filter existieren schädliche Prompts, die davon nicht zu unterscheiden sind. Auch die Filterung der Ausgabe wird in natürlichen Fällen unbezahlbar teuer.

Für Unternehmen mit vorgeschalteten Guardrails heißt das: Solche Schichten senken Risiken, garantieren aber nichts. Sicherheit muss in Architektur und Gewichte des Modells wandern. Reiner Black-Box-Zugriff genügt dafür nicht.

Modell-Pluralismus statt Abhängigkeit

Ball nennt den Entzug eines Anthropic-Zugangs von einem Tag auf den anderen als Warnsignal. Firmen bauen KI tief in ihre Prozesse ein. Fällt der Zugang weg, fehlt jede Planungs-Sicherheit.

Die zweite Gefahr ist inhaltlich. Wer fremde Modelle nutzt, übernimmt deren Lücken. Ball fordert deshalb eigene europäische Modelle und ausdrücklich mehrere davon. Nutzer brauchen Auswahl, nicht zwei oder drei Anbieter.

Als Regulierungs-Hebel schlägt das Paper Transparenz vor. Regierungen sollten erfahren, welche Daten und welche Verfahren hinter einem Modell stecken. Heute veröffentlichen die Labore im Wettlauf um die Spitze wenig davon.

Auch beim Marketing rät Ball zur Vorsicht. Sie hat KI-Personas über mehrere nationale Wahlen und mehrere Modelle geprüft. Das Bild bleibt durchwachsen, die interne Sicherheit der Modelle steht auf wackligen Füßen. Echte Befragungen ersetzt das Verfahren vorerst nicht.

Fazit: KI-Zensur wird zur Standort-Frage

Die wöchentliche Nutzung von KI als Informations-Quelle stieg binnen eines Jahres von 18 auf 34 Prozent. Damit skaliert jede stille Entscheidung im Modell mit. KI-Zensur bleibt kein akademisches Thema, sondern trifft Recherchen, Antworten und Produkte.

Ball plädiert nicht gegen Alignment. Sie hält Leitplanken für nötig, etwa bei KI-Spielzeug für Kinder. Ihre Forderung zielt auf die Verteilung der Macht. Sie will mehr Modelle, mehr Transparenz und mehr Stimmen bei der Definition von Sicherheit.

Häufige Fragen

Was bedeutet Alignment bei KI-Modellen?

Alignment richtet ein Sprachmodell an Intentionen und Werten von Menschen aus. Sarah Ball beschreibt drei Stufen. Erstens filtern Entwickler die Trainingsdaten, damit bestimmtes Wissen gar nicht entsteht. Zweitens folgt ein Verhaltens-Training nach dem Training, das Antworten unterdrückt. Drittens wirken System-Prompt sowie Eingabe- und Ausgabe-Filter zur Laufzeit. Jede Stufe enthält Entscheidungen darüber, welche Inhalte Nutzer erreichen.

Warum sind westliche KI-Modelle auf Chinesisch zensiert?

Westliche Modelle sollen auch auf Chinesisch antworten. Dafür lernen sie aus chinesischen Texten. Diese Texte sind bereits gefiltert, weil der Diskurs in China staatlich gelenkt wird. Die Lücken wandern so in das Modell. Eine Frage zum Tiananmen-Platz beantwortet dasselbe Modell auf Deutsch, verweigert sie aber auf vereinfachtes Chinesisch. Ball nennt diesen indirekten Effekt den überraschendsten Befund ihres Papers.

Was ist ein Jailbreak und warum sieht Ball darin auch Nutzen?

Ein Jailbreak ist eine Prompt-Attacke, die Schutz-Mechanismen umgeht. Balls Forschung zeigt: Unterschiedliche Angriffe wirken über denselben Mechanismus. Das Modell nimmt die Anfrage nicht mehr als schädlich wahr. Perfekt dichte Schutz-Mechanismen hätten eine Kehrseite. Autoritäre Regime könnten Wissen dann vollständig wegschließen. Deshalb vergleicht das Paper funktionierende Jailbreaks mit VPNs in repressiven Staaten.

Reichen Guardrails vor dem Modell aus?

Nein. Das theoretische Paper mit Shafi Goldwasser zeigt Grenzen der Filterung. Zu jedem effizienten Prompt-Filter lassen sich schädliche Anfragen bauen, die von harmlosen nicht zu unterscheiden sind. Auch die Prüfung der Ausgabe wird rechnerisch untragbar. Für Projekte heißt das: Vorgeschaltete Guardrails senken Risiken, garantieren aber keine Sicherheit. Wer Compliance verspricht, braucht zusätzlich ein Modell mit robustem Alignment.

Was fordert das Paper für Europa?

Ball fordert eigene Modelle aus Europa und ausdrücklich mehrere davon. Dieser Modell-Pluralismus gibt Nutzern eine Auswahl und verhindert, dass wenige Anbieter den Zugang zu Wissen bestimmen. Dazu kommt Transparenz als Kriterium für Regulierung. Für Firmen ist der Entzug eines Anthropic-Zugangs die praktische Lehre: Eine Zwei-Anbieter-Strategie schützt Prozesse vor einem Ausfall über Nacht.