Context Bleed

Wenn du mit einem Chatprogramm sprichst, das Texte selbst formuliert, liest dieses Programm bei jeder Antwort das bisherige Gespräch noch einmal mit. Dieser mitgelesene Text heißt Kontext. Von Context Bleed spricht man, wenn Inhalte aus diesem Kontext in eine Antwort einsickern, in die sie gar nicht gehören. Du lässt dir zum Beispiel erst ein Bewerbungsschreiben aufsetzen und fragst danach nach einem Kuchenrezept. Wenn im Rezept plötzlich von deiner Berufserfahrung die Rede ist, ist genau das passiert. Das Wort stammt aus dem Englischen: to bleed heißt hier so viel wie durchbluten oder durchschlagen, wie Farbe, die durch dünnes Papier auf die nächste Seite drückt.

Wenn Trennung zwischen Nutzern zur Sicherheitsfrage wird

Im privaten Gebrauch ist Context Bleed meist nur lästig. Man merkt, dass die Antwort schief ist, und fragt neu. Ärgerlich wird es, wenn man den Fehler nicht bemerkt. Eine Zusammenfassung kann Zahlen aus einem völlig anderen Dokument enthalten, ohne dass irgendetwas ungewöhnlich aussieht.

Richtig heikel wird es in Unternehmen. Dort bedienen dieselben Systeme viele Menschen gleichzeitig, oft mit vertraulichen Daten. Sickert der Kontext eines Kunden in die Antwort für einen anderen, ist das ein Datenschutzvorfall. Genau deshalb prüfen Firmen vor dem Einsatz solcher Systeme sehr genau, wie streng die Gespräche voneinander getrennt gehalten werden.

Ein verwandtes Problem heißt Prompt Injection. Dabei versteckt jemand absichtlich Anweisungen in einem Text, damit das Modell sie befolgt. Context Bleed ist meist kein Angriff, sondern ein Unfall. Beide Probleme haben aber dieselbe Wurzel: Das Modell unterscheidet nicht sauber, woher eine Information stammt und wer sie sehen darf.

Warum das Modell alte Sätze nicht vergisst

Ein Sprachmodell hat kein Gedächtnis im menschlichen Sinn. Es bekommt bei jeder Anfrage den gesamten bisherigen Gesprächstext neu vorgelegt. Alles darin behandelt es zunächst gleichwertig. Es gibt keine eingebaute Markierung, die sagt: Dieser Abschnitt ist erledigt, dieser gilt noch.

Das Modell errechnet, welche Wörter zueinander passen, und dabei wirken auch weit zurückliegende Stellen mit. Je länger ein Gespräch wird, desto mehr alte Bruchstücke konkurrieren um Aufmerksamkeit. Ein Fachbegriff aus Nachricht drei kann so in Antwort dreißig wieder auftauchen. Besonders anfällig sind Rollenanweisungen wie « antworte als Anwalt », weil sie stillschweigend weiterwirken.

Dazu kommt eine zweite Ursache: Viele Programme holen sich zusätzlichen Text aus Datenbanken und legen ihn in den Kontext. Ist die Suche ungenau, landet dort ein Dokument, das gar nicht zur Frage gehört. Das Modell hat keine Möglichkeit zu erkennen, dass dieser Fremdkörper nicht dazugehört, und verarbeitet ihn brav mit.

Vom Chatverlauf bis zum Kundenservice

Am häufigsten begegnet dir Context Bleed in langen Chatverläufen. Ein einfaches Gegenmittel ist deshalb, für ein neues Thema ein neues Gespräch zu beginnen. Genau das empfehlen die Anbieter selbst in ihren Hilfeseiten. Viele Programme bieten außerdem an, den Verlauf zu löschen oder gespeicherte Notizen über dich einzusehen und zu entfernen.

In Produkten für Firmen taucht der Begriff in Ausschreibungen und Sicherheitsberichten auf. Dort wird geprüft, ob Anfragen verschiedener Kunden strikt voneinander getrennt laufen. In Meldungen über Pannen bei KI-Assistenten steckt oft dieselbe Ursache, auch wenn dann eher von « Datenleck » die Rede ist.

Ein verbreiteter Irrtum ist, größere Kontextfenster würden das Problem lösen. Wenn ein Modell eine Million Wörter auf einmal lesen kann, wächst eher die Gefahr, dass Altlasten durchschlagen. Hilfreicher sind klare Grenzen: kurze Gespräche, getrennte Sitzungen und Systeme, die alte Inhalte aktiv wieder aus dem Kontext entfernen.