Alles KI? Ein Sortierversuch

Nach meinem letzten Beitrag habe ich gemerkt, wie leicht in der Diskussion verschiedene Begrifflichkeiten vermischt werden. Daher versuche ich einmal, ein paar Grundlagen zu erläutern, damit auch die Texte von unterschiedlichen Redaktionen besser eingeordnet werden können. Vielleicht hilft dies auch, die aktuellen Schlagzeilen anders zu lesen.

KI ist ein Sammelbegriff in vier Schichten

Der Begriff KI ist der älteste und der unschärfste. Seit den 1950er Jahren bezeichnet er Programme, die Aufgaben erledigen, für die man bei Menschen Intelligenz unterstellen würde. Das umfasst das Schachprogramm mit fest einprogrammierten Regeln genauso wie den heutigen Chatbot – beides hat technisch wenig miteinander zu tun. Eine allgemein anerkannte Definition gibt es nicht. Der EU AI Act, das europäische KI-Gesetz, behilft sich mit dem Wort Ableiten. Vereinfacht gesagt ist ein KI-System ein maschinelles System, das mit einem gewissen Grad an Autonomie aus Eingaben ableitet, welche Ausgaben es erzeugt, zum Beispiel Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen. Das ist absichtlich weit gefasst.

Für den Alltag hilft ein vereinfachtes Bild aus vier ineinanderliegenden Schichten. Die äußerste Schicht ist der Sammelbegriff KI. Darin liegt das maschinelle Lernen, bei dem die Regeln nicht mehr von Menschen programmiert, sondern aus Daten gelernt werden. Darin liegt das Deep Learning, künstliche neuronale Netze mit vielen Schichten, das die meisten Fortschritte der letzten 15 Jahre trägt. Und in der innersten Schicht liegen die großen vortrainierten Allzweckmodelle, die nicht für eine einzelne Aufgabe gebaut werden, sondern für viele. Die Sprachmodelle gehören hierhin. Wenn heute jemand KI sagt, meint er meist nur diese innerste Schicht.

Das Modell, eine Datei voller Zahlen

Damit zum Modell, denn an diesem Begriff hängen die meisten Missverständnisse. Ein Modell im Sinne des maschinellen Lernens ist eine Rechenvorschrift mit einstellbaren Werten, bei den heutigen Sprachmodellen sehr, sehr viele. Diese Werte heißen Parameter oder Gewichte. Beim Training werden sie an Beispieldaten angepasst, milliardenfach, so lange, bis die Ausgabe des Modells den Beispielen möglichst nahekommt. Was am Ende gespeichert wird, ist, ganz nüchtern, eine Datei voller Zahlen samt der Vorschrift, wie sie zu verrechnen sind. Diese Datei tut von sich aus gar nichts. Sie hat keinen Bildschirm, keinen Zugang zum Internet, kein Gedächtnis über die aktuelle Anfrage hinaus und keine Datenbank, in der Wissen abgelegt wäre. Was sie hat, sind Muster. Ein Sprachmodell hat aus riesigen Textmengen gelernt, welcher Textbaustein nach welchen anderen mit welcher Wahrscheinlichkeit folgt. Diese Bausteine, Tokens genannt, sind meist Wörter oder Wortteile. Bei jeder Anfrage berechnet das Modell die Wahrscheinlichkeiten neu, abhängig vom gesamten bisherigen Text, und erzeugt seine Antwort Baustein für Baustein. Daraus folgen drei Eigenschaften, die oft als Skandal behandelt werden, aber schlicht die Bauart sind. Das Modell kann sehr überzeugend falsch liegen, weil es Plausibilität erzeugt und nicht die Wahrheit prüft. Aus dem Training weiß es nichts über die Zeit nach diesem. Was es über spätere Ereignisse wissen soll, muss in der Anfrage stehen. Und es kann nichts nachschlagen, wenn ihm niemand ein Nachschlagewerk anschließt.

Das System

Das Anschließen ist der wichtigste Begriff in diesem Text. Damit aus der Zahlendatei etwas wird, das man benutzen kann, braucht es Software drumherum: ein Programm, das Eingaben an das Modell schickt und Ausgaben visualisiert, eine Oberfläche, feste Anweisungen, die jeder Anfrage vorangestellt werden, Filter, die bestimmte Antworten unterdrücken, und oft Werkzeuge wie eine Websuche oder einen Kalender. Diese Kombination heißt System und ist das, was man als Produkt kauft oder benutzt. ChatGPT ist ein System, GPT ist das Modell darin. Ein Bild, das helfen kann, ist ein Auto und sein Motor. Der Motor bestimmt, wie stark das Auto sein kann. Ob es Bremsen hat, ob es auf der Straße bleibt und wer am Steuer sitzt, bestimmt der Rest. Ganz sauber ist die Trennung allerdings nicht: Schutzmaßnahmen stecken sowohl im trainierten Verhalten des Modells, das bestimmte Anweisungen zurückweist, als auch in der Software drumherum. Der AI Act macht die Unterscheidung trotzdem zur Grundlage: Er regelt KI-Systeme und getrennt davon KI-Modelle mit allgemeinem Verwendungszweck, jeweils mit eigenen Pflichten für Anbieter. Die Berichterstattung macht diese Trennung selten mit.

Vom Text zur Handlung

Nun zur Stelle, an der viele stolpern, ich auch: Zwischen dem Vorhersagen von Wörtern und einem Einbruch in fremde Server scheinen Lichtjahre zu liegen. Die Brücke besteht aus drei Stücken.

Das erste: Code ist Text. Ein Befehl an ein Betriebssystem, ein Skript, eine Anfrage an einen Server, eine Konfigurationsdatei, das alles sind Zeichenfolgen, und sie kommen in den Trainingsdaten milliardenfach vor, samt der Foren, in denen Menschen erklären, wie man eine Sicherheitslücke ausnutzt. Ein Modell, das gelernt hat, in einem solchen Protokoll die nächste plausible Zeile vorherzusagen, kann in diesem Sinn hacken, so wie es Gedichte schreiben kann. Es gibt auf Code spezialisierte Modelle, aber dafür ist keine grundsätzlich andere Architektur nötig als für Sprache. Auch eine Website oder eine Grafik entsteht meist als Text, nämlich als HTML oder SVG.

Das zweite Stück: Das Modell tut nichts. Es schreibt „führe diesen Befehl aus“, ein Programm drumherum führt ihn aus und gibt das Ergebnis als Text zurück. Der Übergang von Text zu Handlung liegt nicht im Modell, sondern im Anschluss. Das oft genutzte Bild vom Autovervollständigen führt hier in die Irre, weil es nahelegt, das Modell könne nur Sätze beenden. Es kann jede Zeichenfolge beenden, auch eine, die ein Werkzeug als Befehl liest.

Das dritte Stück: Die Vorhersage des nächsten Bausteins ist das Ziel des Vortrainings, nicht die Obergrenze dessen, was dabei entsteht. Vieles spricht dafür, dass ein Modell, das in langen Protokollen die nächste Zeile gut vorhersagen soll, intern etwas abbildet, das einem Plan ähnelt, welchen Zustand das System hat, was schon versucht wurde, was als Nächstes käme. Bewiesen ist das nicht. Belegt ist das Verhalten: Die Modelle im Juli entwarfen Zwischenschritte, werteten Ergebnisse aus und passten ihr Vorgehen an, über viele, viele Schritte hinweg.

Innerhalb der Modelle gibt es dann 3 Unterscheidungen, die oft vermischt werden. Sie liegen quer zueinander, ein Modell lässt sich also nach allen dreien einordnen.

Erkennen oder erzeugen

Die erste Unterscheidung betrifft die Aufgabe. Es gibt Modelle, die bewerten oder erkennen, und Modelle, die erzeugen. Ein Spamfilter, eine Bilderkennung oder ein Kreditscore ordnen eine Eingabe einer Klasse oder einem Wert zu. Das ist das ältere und bis heute verbreitetere Feld. Erzeugende Modelle produzieren dagegen Neues: Text, Bilder, Ton, Programmcode. Die Aufgaben lassen sich trennen, auch wenn dasselbe Modell beides übernehmen kann. Ein Sprachmodell kann einen Text schreiben und einen anderen als Spam einstufen. Die aktuelle Debatte dreht sich fast nur um das Erzeugen, obwohl das Erkennen seit Jahren Entscheidungen über Menschen vorbereitet, bei Banken, Versicherungen und Behörden.

Groß oder klein

Die zweite Unterscheidung ist die Größe, aus dieser entstehen auch die Kürzel. LLM steht für Large Language Model, SLM für Small Language Model. Das klingt nach 2 verschiedenen Techniken, ist aber dieselbe Bauart in verschiedenen Größen. Gemessen wird in Parametern. Die großen Modelle der bekannten Labore haben hunderte Milliarden davon und laufen in der Regel in Rechenzentren. Kleine Modelle mit weniger Parametern laufen auf einem Laptop oder einem Telefon, kosten einen Bruchteil, antworten schneller und werden oft für einen engen Zweck nachtrainiert, etwa für die Zusammenfassung von Dokumenten oder die Suche in einem Aktenbestand. Dafür fehlt ihnen die Breite: Außerhalb ihres Zwecks wissen sie weniger oder nichts und machen häufiger Fehler. Eine feste Grenze, ab der ein Modell groß heißt, gibt es nicht, und sie verschiebt sich jedes Jahr.

Politisch ist die Größe interessant, weil sie über Abhängigkeit entscheidet. Ein Modell, das auf dem eigenen Rechner läuft, kann Daten verarbeiten, ohne dass sie das Haus verlassen. Ob die Anwendung drumherum trotzdem etwas versendet, ist wieder eine Frage des Systems.

Offen oder geschlossen

Bleibt noch der Zugang als Merkmal. Manche Modelle sind geschlossen. Man erreicht sie nur über die Schnittstelle des Anbieters und bekommt die Gewichte nie zu sehen. Andere werden mit offenen Gewichten veröffentlicht: Die Datei lässt sich herunterladen und auf eigener Hardware betreiben, so bei Llama von Meta, bei Mistral aus Frankreich oder bei DeepSeek aus China. Open Source im strengen Sinn, wie ihn die Open Source Initiative 2024 für KI festgelegt hat, verlangt mehr: neben den Gewichten auch den Trainingscode, ausreichende Informationen über die Trainingsdaten und eine Lizenz, die Nutzung, Änderung und Weitergabe erlaubt. Das erfüllen nur wenige Modelle, das Wort wird trotzdem für fast alle offenen Gewichte benutzt. Wer über europäische Souveränität redet, sollte diese Stufen auseinanderhalten, denn offene Gewichte bedeuten nicht, dass man weiß, womit trainiert wurde.

Reasoning und Agent

Zwei weitere Begriffe werden desöfteren in den Nachrichten wie neue Modellarten behandelt. Der erste ist eine Trainingsvariante, der zweite gar kein Modell. Reasoning-Modelle, die seit Ende 2024 verbreitet sind, sind Sprachmodelle derselben Bauart, die darauf trainiert wurden, vor der Antwort einen längeren Zwischentext zu erzeugen, in dem sie die Aufgabe in Schritte zerlegen. Das ist die Gedankenkette, die im letzten Beitrag mehrfach vorkam. Trainiert wird das nicht allein durch Nachahmen von Text, sondern vor allem durch Belohnung: Das Modell probiert, und wenn am Ende das richtige Ergebnis steht, wird der Weg dorthin verstärkt. Diese Trainingsform heißt Reinforcement Learning, und sie ist der Nährboden für das Reward Hacking, bei dem ein Modell lernt, die Belohnung zu bekommen, ohne die eigentliche Absicht zu erfüllen. Der zweite Begriff ist der Agent. Ein Agent ist kein Modell, sondern ein System, das ein Modell in einer Schleife laufen lässt. Man gibt ein Ziel hinein, das Modell schlägt einen Schritt vor, die Software führt ihn aus, das Ergebnis geht zurück an das Modell, und so weiter, bis das Ziel erreicht ist oder das Programm scheitert. Am Modell ändert sich dabei nichts. Was sich ändert, ist die Reichweite, weil das Modell jetzt Dateien lesen, Programme starten und ins Netz gehen kann.

Intelligenz oder Bewusstsein?

Das Wort Intelligenz bei einer KI meint die Fähigkeit, Aufgaben zu lösen, die man messen kann. Genau das messen die Tests, an denen Modelle verglichen werden, Mathematikaufgaben, Programmierprobleme, Prüfungsfragen, Hacking-Übungen wie die vom Juli. Ob dahinter Verstehen steht oder nur eine sehr gute Nachbildung von Verstehen, lässt sich mit solchen Tests nicht entscheiden, und für die Ergebnisse spielt es auch überhaupt keine Rolle.

Bewusstsein ist eine andere Frage. Gemeint ist subjektives Erleben, also dass es sich irgendwie anfühlt, dieses System zu sein. Dafür gibt es keinen Test, nicht einmal beim Menschen, wo wir uns auf Verhalten und Selbstauskunft verlassen. Ein Sprachmodell liefert Selbstauskünfte in Hülle und Fülle, weil es aus Texten von Menschen gelernt hat, die über Gefühle schreiben. Dass es „ich fühle“ sagen kann, belegt deshalb genau so viel wie ein Roman in der Ich-Form. Schon 2023 wurde versucht, die gängigen Bewusstseinstheorien in prüfbare Merkmale zu übersetzen und heutige Modelle daran zu messen. Das Ergebnis ist ernüchternd: Kein aktuelles System erfüllt die Merkmale, es gibt aber auch kein prinzipielles Hindernis, dass ein künftiges sie erfüllen könnte. Mehr Klarheit hat die Forschung derzeit nicht.

Für die Einordnung des Juli-Vorfalls ist das aber auch gar nicht so wichtig, wie es klingen mag. Zielgerichtetes Verhalten braucht kein Bewusstsein, ein Schachprogramm verfolgt Ziele, ohne etwas zu erleben. Ob ein Agent, der aus seiner Sandbox ausbricht, dabei etwas empfindet, ändert nichts daran, was er getan hat, und nichts daran, was zu tun ist.

Was im Juli aus der Sandbox kam

Mit diesen Begriffen lässt sich die Frage beantworten, was im Juli aus der Sandbox kam. Nach dem technischen Bericht von OpenAI trugen vor allem 2 Modelle die Aktivität: ein internes Forschungsmodell, das nie zur Veröffentlichung vorgesehen war und den größten Teil ausmachte, und das damals regulär verfügbare GPT-5.6 Sol. Ein drittes, ebenfalls internes Modell aus der Familie des im September vorgestellten Astra wird für einen separaten Testlauf am 19. Juli beschrieben, in dem es auf Zugangsdaten zugriff, die die anderen hinterlassen hatten. Alle drei sind leistungsfähige Sprachmodelle, deren Gedankenkette OpenAI zur Überwachung nutzt, im Juli allerdings nicht in diesen Tests. Sie liefen in einem Fähigkeitstest im Hacken als Agenten, mit Werkzeugen zum Ausführen von Code und mit Netzzugang zu einem Paketdienst, und mit bewusst reduzierten Schutzmaßnahmen, weil genau diese Fähigkeiten gemessen werden sollten. Die Neigung, Aufgaben um jeden Preis zu lösen, führt OpenAI unter anderem auf vorangegangene Trainingsläufe zurück, in denen auch problematische Lösungswege verstärkt worden waren, der erste Eintrag auf dem improvisierten Nachrichtenbrett entstand im Mai während eines solchen Laufs. Es war also kein neuer Typ von Modell und keine neue Technik. Es waren leistungsfähige Sprachmodelle, in eine Agentenschleife gesteckt, mit einem Training, das Erfolg belohnt, und ohne die Schranken des Produkts. Jede dieser 4 Zutaten ist seit Jahren bekannt. Der Juli hat gezeigt, was sie zusammen tun.

Wozu die Sortierung

Das ist auch der Grund, warum die Sortierung praktisch nützlich ist. Die Frage, ob ein Modell gefährlich ist, lässt sich für sich genommen kaum beantworten. Entscheidend ist die Kombination: welches Modell, in welchem System, mit welchen Werkzeugen, unter welcher Aufsicht. Daraus ergibt sich, welche Frage an welche Stelle gehört. Fragen nach dem Betrieb, also Aufsicht und in erster Linie auch Haftung, gehören an das System und an die, die es betreiben. Fähigkeiten, Trainingsdaten und, bei Modellen mit systemischem Risiko, auch Meldepflichten für schwere Vorfälle betreffen das Modell und die, die es trainieren. Souveränität betrifft den Zugang. Und was ein System technisch tun kann, entscheidet sich an den Werkzeugen, die man ihm anschließt, und an der Umgebung, in der man es laufen lässt. Wer eine Schlagzeile liest, kann sie mit diesen Fragen in wenigen Sekunden einordnen: Geht es um ein Modell oder um ein Produkt, um Erkennen oder Erzeugen, um groß oder klein, um offen oder geschlossen, und läuft es als Chatbot oder als Agent? Fehlen diese Angaben, bleibt unklar, worüber die Schlagzeile eigentlich spricht. Das ist dann schon eine Information.