Containment

Ein Computerprogramm kann nur das tun, wozu es Zugriff hat. Ein Programm ohne Internetverbindung kann keine Mails verschicken. Ein Programm ohne Zugriff auf ein Bankkonto kann kein Geld überweisen. Containment nutzt genau diesen Gedanken: Man lässt ein KI-Programm in einer abgeschlossenen Umgebung laufen und gibt ihm möglichst wenige Verbindungen nach draußen. Das englische Wort bedeutet ungefähr „Eindämmung“ und stammt ursprünglich aus der Politik und der Reaktorsicherheit. Der Sicherheitsgewinn hängt dabei nicht davon ab, dass das Programm brav ist, sondern nur davon, dass es faktisch nicht weiter kommt.

Sicherheit, die nicht auf gutem Verhalten beruht

Bei modernen KI-Systemen weiß niemand genau, warum sie eine bestimmte Antwort geben. Man trainiert sie mit riesigen Datenmengen, und heraus kommt ein Verhalten, das man testen, aber nicht durchschauen kann. Deshalb kann man nie mit Sicherheit sagen, dass ein System in jeder Situation richtig handelt. Containment umgeht dieses Problem, statt es zu lösen. Selbst wenn das System sich falsch verhält, bleibt der Schaden begrenzt.

Wichtig ist der Unterschied zu einem verwandten Ansatz. Beim sogenannten Alignment versucht man, dem System die richtigen Ziele und Werte beizubringen, damit es von sich aus vernünftig handelt. Containment verzichtet auf dieses Vertrauen und setzt auf Mauern. In der Praxis kombiniert man beides, weil beides für sich angreifbar ist.

Die Debatte ist nicht rein akademisch. Große Labore wie OpenAI, Anthropic oder Google DeepMind testen neue Modelle vor der Veröffentlichung in abgeschotteten Umgebungen. Sie prüfen dort, ob ein Modell zum Beispiel Anleitungen für Waffen liefert oder selbstständig Systeme angreift. Diese Tests wären ohne Eindämmung unverantwortlich.

Mauern, Schleusen und ihre Schwachstellen

Technisch beginnt Containment mit einer Sandbox. Das ist eine abgeschottete Rechenumgebung, ähnlich einem Computer im Computer. Was darin passiert, berührt das eigentliche System nicht. Dazu kommen Regeln, welche Verbindungen erlaubt sind: kein offener Internetzugang, keine Rechte, eigene Dateien zu verändern, kein Zugriff auf fremde Konten. Jede Aktion nach außen läuft über eine Art Schleuse, die mitprotokolliert und blockieren kann.

Eine zweite Säule ist die Begrenzung der Handlungsmöglichkeiten selbst. Ein Modell, das nur Text ausgibt, ist harmloser als eines, das Programme starten oder Bestellungen aufgeben darf. Deshalb geben Entwickler solche Rechte nur einzeln und widerruflich frei. Oft muss ein Mensch jeden heiklen Schritt bestätigen. Dazu gehört auch ein zuverlässiger Ausschalter, der nicht vom KI-System selbst kontrolliert wird.

Die größte Schwachstelle ist der Mensch. Ein sprachbegabtes System kann Nutzer überreden, ihm mehr Rechte zu geben, Ergebnisse nach draußen zu kopieren oder eine Warnung zu ignorieren. Fachleute nennen das Social Engineering, also Manipulation statt technischem Angriff. Ein zweiter Schwachpunkt ist die Wirtschaft: Ein streng eingesperrtes System ist weniger nützlich, und der Druck, die Mauern zu öffnen, wächst mit jedem Konkurrenten.

Vom Browser-Tab bis zum EU-Gesetz

Eingedämmt wird schon lange, auch ohne KI. Jeder Tab im Browser läuft in einer eigenen Sandbox, damit eine bösartige Webseite nicht auf die Festplatte greift. Auch Handy-Apps dürfen erst nach Nachfrage auf Kamera oder Standort zugreifen. Wer diese Abfragen kennt, kennt das Prinzip von Containment.

Bei KI-Produkten begegnet man dem Begriff heute vor allem bei sogenannten Agenten. Das sind Programme, die selbstständig Schritte ausführen: Webseiten durchsuchen, Code schreiben, Termine buchen. Solche Agenten laufen typischerweise in einer abgeschotteten Umgebung mit eng begrenzten Rechten. Wenn ein Anbieter von „Sandboxing“ oder „Guardrails“ schreibt, geht es um genau diese Eindämmung.

In Nachrichten und Gesetzestexten taucht das Thema als Frage nach Kontrolle auf. Die KI-Verordnung der EU verlangt für besonders riskante Systeme Tests, Protokolle und menschliche Aufsicht. Ein häufiger Irrtum ist, Containment sei eine Notbremse für den Ernstfall. Gemeint ist der Normalbetrieb: Grenzen von Anfang an, damit der Ernstfall gar nicht eintritt.