Black-Box-Zugriff

Ein Computerprogramm, das aus Beispieldaten gelernt hat, nennt man ein Modell. Wer ein solches Modell testen will, hat grundsätzlich zwei Möglichkeiten. Entweder er darf hineinschauen und sieht alle internen Zahlen und Zwischenschritte. Oder er darf es nur benutzen: Er tippt etwas ein, bekommt eine Antwort, und mehr sieht er nicht. Der zweite Fall heißt Black-Box-Zugriff, wörtlich Zugriff auf eine schwarze Kiste. Der Name meint: Das Innere bleibt undurchsichtig, nur was oben hinein- und unten herauskommt, ist sichtbar. Der Gegenbegriff heißt White-Box-Zugriff, also der offene Blick auf alles Innere.

Warum Prüfer meist vor einer verschlossenen Kiste sitzen

Die großen KI-Modelle von Firmen wie OpenAI, Google oder Anthropic sind Geschäftsgeheimnisse. Ihre internen Zahlen, die sogenannten Gewichte, werden nicht veröffentlicht. Wer diese Systeme untersuchen will, kommt fast immer nur über eine Programmierschnittstelle heran. Er darf Anfragen schicken und Antworten lesen. Damit ist Black-Box-Zugriff nicht die Ausnahme, sondern der Normalfall.

Das hat Folgen für die Aufsicht über KI. Behörden, Forschungsgruppen und Journalisten sollen prüfen, ob ein System diskriminiert oder gefährliche Auskünfte gibt. Sie können das nur an den Ausgaben festmachen. Ob ein Fehler ein seltener Ausrutscher oder ein tiefes Strukturproblem ist, lässt sich von außen kaum unterscheiden. Der europäische AI Act verlangt deshalb für besonders mächtige Modelle zusätzliche Auskünfte an die Aufsicht.

Umgekehrt hat der eingeschränkte Zugriff auch einen Vorteil. Ein Test von außen prüft genau das System, das die Nutzer tatsächlich vor sich haben. Dazu gehören auch Filter, Sicherheitsregeln und nachgelagerte Prüfschritte. Ein Blick nur auf das nackte Modell würde diese Schutzschichten übersehen.

Testen mit Eingaben und Ausgaben

Wer eine Black Box untersucht, arbeitet wie ein Wissenschaftler mit Experimenten. Er stellt viele systematisch veränderte Fragen und vergleicht die Antworten. Ein Beispiel: Man schickt denselben Bewerbungstext zweimal, einmal mit einem deutschen und einmal mit einem türkischen Namen. Weicht die Bewertung ab, ist das ein starkes Indiz für eine Verzerrung im System. Warum das passiert, bleibt trotzdem offen.

Ein zweites Verfahren heißt Red Teaming. Dabei versucht ein Team gezielt, das System zu Fehlverhalten zu bringen. Es formuliert Anfragen um, versteckt Anweisungen in langen Texten oder wechselt die Sprache. Findet es eine Lücke, ist der Beweis erbracht. Findet es keine, ist damit nichts bewiesen — die Lücke kann trotzdem existieren.

Der entscheidende Nachteil ist der Aufwand. Jede Anfrage kostet Geld und Zeit, und die Zahl möglicher Eingaben ist praktisch unendlich. Anbieter begrenzen zudem oft, wie viele Anfragen pro Minute erlaubt sind. Eine verbreitete Fehlannahme ist, Black-Box-Tests könnten Sicherheit garantieren. Sie können Probleme nachweisen, aber niemals deren Abwesenheit.

Von der Kreditvergabe bis zur Sicherheitsforschung

Der Begriff taucht überall dort auf, wo Software über Menschen entscheidet. Wird ein Kredit abgelehnt oder eine Bewerbung aussortiert, sitzt oft ein Modell dahinter, das niemand von außen einsehen darf. Betroffene und Verbraucherschützer haben dann nur Black-Box-Zugriff. Genau daraus entsteht die politische Forderung nach mehr Transparenz und nach Erklärungen für einzelne Entscheidungen.

In der IT-Sicherheit ist der Ausdruck schon lange üblich. Ein Black-Box-Test einer Website bedeutet, dass der Prüfer den Programmcode nicht kennt und wie ein echter Angreifer vorgeht. Bei KI-Modellen kommt der Begriff auch in Forschungspapieren vor. Dort steht dann etwa, ein Angriff funktioniere sogar bei reinem Black-Box-Zugriff — das gilt als besonders bedenklich, weil ihn dann jeder zahlende Nutzer ausführen könnte.

Wichtig ist die Abgrenzung zu einem ähnlich klingenden Problem. Auch wer alle internen Zahlen eines großen Modells sieht, versteht dessen Verhalten nicht automatisch. Milliarden von Zahlen ergeben für Menschen keinen lesbaren Sinn. Black-Box-Zugriff beschreibt eine Frage der Erlaubnis, nicht der Verständlichkeit. Ein offenes Modell kann also trotzdem rätselhaft bleiben.