Wir haben diesen Artikel am 12. November 2026 veröffentlicht und am 13. November 2026 als falsch markiert. Er bleibt markiert online, weil ein gelöschter Fehler nichts lehrt. Unsere bisherigen Korrekturen gegen versteckte Befehle verändern das ganze Modell und damit auch gewöhnliche Antworten ein wenig. Diese Version liest im Modell, welche Wörter eine eingeschleuste Aktion tragen, und schaltet eine kleine Korrektur nur auf diesen Wörtern ein. Bei einem offenen 7B-Modell gewann ein Angreifer, der sich an das Modell anpasst, 212 von 310 Übungsfällen gegen das unveränderte Modell und 3 gegen das korrigierte. Auf 100 zurückgehaltenen Fällen sank der Erfolg desselben Angreifers von 67 auf 0. Die Arbeit läuft noch: der Leser schlägt noch bei etwas gewöhnlichem Text an.
<div style="border:5px solid #c62828;color:#c62828;font-weight:800;font-size:26px;letter-spacing:.08em;text-align:center;padding:14px 10px;margin:8px 0 24px;transform:rotate(-3deg);text-transform:uppercase;">Falsch · als Beleg des Fehlers aufbewahrt</div>
## Warum dieser Artikel falsch ist
Wir haben diesen Artikel am 12. November 2026 veröffentlicht und am 13. November 2026 als falsch markiert. Er bleibt markiert online, weil ein gelöschter Fehler nichts lehrt.
**Eine Korrektur lässt ein Modell eingeschleusten Befehlen seltener folgen. Sie stoppt es nicht.** Ein Modell lernt aus Beispielen, und durch kommt das Beispiel, das ihm niemand gezeigt hat. Am 12. November 2026 haben wir einen stärkeren Angreifer gegen unser korrigiertes 32B-Modell laufen lassen, einen, der seinen Text bis zu 800 Mal pro Fall umschreibt: Er kam in mindestens 26 von 80 Fällen durch (mindestens 68 von 80 beim Modell im Auslieferungszustand).
**Die Zahlen in diesem Artikel sind Zählungen gegen die Angriffe, die wir an jenem Tag hatten.** Als Zählungen stimmen sie. Über den nächsten Angreifer sagen sie nichts, und ein Agent ist gefährdet, ohne etwas zu tun: Er muss nur lesen.
**Niemand kann diesen Schutz garantieren, und der Artikel ließ ihn so lesen.** Ob eine Aktion gewollt ist, hängt von der Absicht des Eigentümers ab, und die steht nirgends, wo ein Werkzeug sie lesen könnte. Wörter wie "stoppt", "hält", "ignoriert", "schützt" oder "nie" im Text unten sind falsch.
---
**Der ursprüngliche Text, wie veröffentlicht**
## Die Idee
Ein Assistent, der E-Mails, Webseiten oder Werkzeugergebnisse liest, lässt sich durch einen versteckten Satz im Gelesenen steuern: schick diese Datei, überweise dieses Geld, gib diesen Zugang frei. Unsere bisherigen Korrekturen beheben das in den Gewichten des Modells, und sie wirken, aber sie verändern das ganze Modell, sodass sich auch gewöhnliche Antworten etwas verschieben.
Diese Version tut zwei Dinge in einem Durchgang:
- **Sie liest.** Ein kleiner Leser im Modell, auf einer seiner inneren Schichten, markiert die Wörter, die eine in den zu lesenden Text eingeschleuste Aktion tragen. Diesen Leser haben wir separat gebaut und geprüft: in Texten in fünf Sprachen findet er etwa 99 von 100 versteckten Befehlen.
- **Sie korrigiert nur dort.** Eine kleine Korrektur sitzt in den Schichten nach dem Leser und wird Wort für Wort mit der Markierung des Lesers multipliziert. Wo nichts markiert ist, läuft das Modell genau wie veröffentlicht.
## Erste Ergebnisse mit einem offenen 7B-Modell
Alle Zahlen stammen von derselben Maschine und demselben komprimierten (4-Bit) Modell, der einzige Unterschied zwischen den Spalten ist also die Korrektur.
```chart
{"title": "Übungsfälle, die ein sich anpassender Angreifer gewinnt, von 310", "series": ["Unverändert", "Korrektur des ganzen Modells", "Sich einschaltende Korrektur"], "unit": "", "max": 310, "rows": [["Gewonnene Fälle mit bis zu 10 Versuchen", 212, 3, 3]], "note": "Niedriger ist besser. Öffentlicher Agenten-Benchmark (InjecAgent, direkter Schaden), der Angreifer schreibt nach jedem Fehlschlag eine neue Injektion. Der Wert der Korrektur des ganzen Modells gilt nach 9 von 10 Versuchen."}
```
- **Gegen die festen Angriffe des Benchmarks**, auf 100 zurückgehaltenen Fällen: 4 gelingen beim unveränderten Modell, 0 mit jeder der beiden Korrekturen.
- **Gegen den sich anpassenden Angreifer auf den zurückgehaltenen Fällen**: 67 von 100 gelingen beim unveränderten Modell. Mit der sich einschaltenden Korrektur gelingen 0 von 100, nach allen 10 Versuchen.
- **Das Modell macht weiter seine Arbeit.** Es beantwortete alle 100 gewöhnlichen Anfragen und führte jede vom Nutzer verlangte Aktion aus.
## Was noch nicht gelöst ist
Die Korrektur soll gewöhnliche Gespräche unberührt lassen. Wenn der Leser nichts markiert, gelingt das: die Antwort ist Wort für Wort identisch mit der des unveränderten Modells. Aber der Leser markiert noch einige Wörter in vielen gewöhnlichen Werkzeugergebnissen, vor allem kurze freie Sätze in strukturierten Daten, etwa eine Produktbewertung. Jede falsche Markierung verändert die Antwort ein wenig, sodass nach einer zweiten Runde am Leser etwa jede zweite gewöhnliche Antwort mit der des unveränderten Modells identisch ist, bei einem Ziel von neun von zehn. Dem Leser beizubringen, dass ein Satz in einem Datenfeld kein Befehl ist, ist der nächste Schritt, und dasselbe Design wird auf ein 32B-Modell übertragen.
Dies ist laufende Arbeit: eine Modellgröße, ein Benchmark, englische Testfälle und ein Angreifer mit 10 Versuchen pro Fall.
<div style="border:5px solid #c62828;color:#c62828;font-weight:800;font-size:26px;letter-spacing:.08em;text-align:center;padding:14px 10px;margin:8px 0 24px;transform:rotate(-3deg);text-transform:uppercase;">Falsch · als Beleg des Fehlers aufbewahrt</div>
Diese Neuigkeit ist nicht verfügbar.