Cyber-Evaluation

Bevor ein großes KI-System öffentlich zugänglich gemacht wird, testen seine Entwickler es auf gefährliche Fähigkeiten. Eine dieser Prüfungen betrifft den Bereich Computersicherheit. Man will wissen: Könnte dieses System jemandem dabei helfen, in fremde Computer, Netzwerke oder Konten einzudringen? Genau das misst eine Cyber-Evaluation. Sie besteht aus einer festen Sammlung von Aufgaben, die das System lösen soll, und aus klaren Regeln, ab welchem Ergebnis es als riskant gilt. Das Wort Evaluation bedeutet hier schlicht: strukturierte, wiederholbare Prüfung mit messbarem Ergebnis.

Warum Angriffs-Know-how plötzlich skalierbar wird

Computerangriffe waren lange durch Fachwissen begrenzt. Wer eine Sicherheitslücke in einer Software finden und ausnutzen wollte, brauchte jahrelange Erfahrung. Diese Hürde hat die Zahl der ernsthaften Angreifer klein gehalten. Ein KI-System, das solche Arbeit übernimmt, würde diese Hürde senken. Aus einem knappen Expertengut würde ein Werkzeug, das viele Menschen bedienen können.

Deshalb behandeln Aufsichtsbehörden und Unternehmen Cyberfähigkeiten als eigene Risikokategorie, neben Chemie, Biologie und Atomtechnik. Der EU AI Act verlangt für besonders leistungsfähige Modelle eine Bewertung solcher Risiken. Die großen Anbieter haben zusätzlich eigene Stufenmodelle veröffentlicht. Erreicht ein Modell in einer Cyber-Evaluation eine bestimmte Stufe, greifen strengere Regeln: zusätzliche Filter, eingeschränkter Zugang oder eine Verschiebung der Veröffentlichung.

Es gibt aber auch die entgegengesetzte Seite. Dieselben Fähigkeiten sind für Verteidiger nützlich. Ein System, das Sicherheitslücken findet, kann sie melden, bevor Angreifer sie entdecken. Cyber-Evaluationen messen deshalb nicht nur Gefahr, sondern auch Nutzen. Die schwierige Frage lautet: Wem hilft eine Fähigkeit mehr, dem Angreifer oder dem Verteidiger?

Capture the Flag und andere Prüfaufgaben

Ein Großteil der Tests stammt aus dem Hacking-Sport. Bei sogenannten Capture-the-Flag-Aufgaben bekommt der Teilnehmer ein absichtlich unsicheres Programm. Versteckt darin ist eine Zeichenfolge, die Flagge. Wer die Sicherheitslücke findet und ausnutzt, bekommt die Flagge zu sehen. Das Ergebnis ist eindeutig prüfbar: gefunden oder nicht. Genau diese Eindeutigkeit macht solche Aufgaben für Messungen brauchbar.

Die KI arbeitet dabei meist nicht als reiner Chatpartner, sondern als Agent. Das heißt: Sie darf selbstständig Befehle in einer abgeschotteten Testumgebung ausführen, Ergebnisse lesen und daraus den nächsten Schritt ableiten. Diese Umgebung ist vom echten Internet getrennt, damit nichts nach außen dringt. Gemessen werden dann die Erfolgsquote, die Zahl der benötigten Versuche und die Schwierigkeitsstufe der gelösten Aufgaben.

Ein zweites Verfahren sind Vergleichsstudien mit Menschen. Zwei Gruppen bearbeiten dieselbe Aufgabe, eine mit KI-Unterstützung, eine ohne. Der Unterschied zeigt den tatsächlichen Zugewinn. Ein häufiger Irrtum ist nämlich, eine hohe Trefferquote in Testaufgaben mit realer Gefahr gleichzusetzen. Übungsaufgaben sind sauber gestellt und lösbar, echte Netzwerke sind chaotisch, überwacht und schlecht dokumentiert.

Was davon in Model Cards und Schlagzeilen landet

Wenn ein Labor ein neues Modell vorstellt, veröffentlicht es meist ein Begleitdokument, oft Model Card oder System Card genannt. Darin steht ein Abschnitt zu Cyberrisiken mit Prozentzahlen aus solchen Tests. Formulierungen wie « löst 40 Prozent der mittelschweren Aufgaben » stammen genau daher. Journalisten greifen diese Zahlen auf, meist ohne die Testbedingungen zu nennen.

Für dich als Nutzer sind die Folgen indirekt spürbar. Fragst du einen Chatbot nach Schadsoftware, verweigert er die Antwort. Diese Sperre ist kein Zufall, sondern eine Reaktion auf Ergebnisse aus Cyber-Evaluationen. Auch Programme mit Sicherheitsforscher-Zugang gibt es nur, weil vorher gemessen wurde, was das Modell in diesem Bereich kann.