Multi-Iteration-Angriff

Chatprogramme mit künstlicher Intelligenz haben Regeln, was sie beantworten dürfen und was nicht. Wer diese Regeln umgehen will, kann es mit einer einzigen dreisten Frage versuchen. Meistens scheitert das, denn genau solche Fragen erkennt das System. Ein Multi-Iteration-Angriff geht anders vor: Der Angreifer stellt viele kleine Fragen nacheinander, die für sich genommen alle unverdächtig aussehen. Erst zusammengesetzt ergeben die Antworten das, was eigentlich blockiert werden sollte. Der Name sagt es: Der Angriff läuft über mehrere Durchgänge, also Iterationen, statt in einem Zug.

Warum einzelne Filter hier versagen

Die meisten Schutzmechanismen prüfen eine Anfrage isoliert. Sie schauen sich den aktuellen Text an und entscheiden: erlaubt oder nicht. Diese Sichtweise ist bei einem verteilten Angriff blind. Denn keine der einzelnen Anfragen überschreitet die Grenze, sondern nur ihre Summe. Ein Filter, der jeden Satz für sich bewertet, findet also nie etwas Verdächtiges.

Ein Vergleich macht das deutlich. Ein Ladendetektiv achtet darauf, dass niemand eine teure Ware in die Jacke steckt. Ein Dieb, der stattdessen an zwanzig Tagen je eine Schraube mitnimmt, fällt nicht auf. Am Ende fehlt trotzdem ein ganzes Gerät. Der Schaden entsteht durch die Menge der Schritte, nicht durch die Auffälligkeit eines einzelnen.

Für Unternehmen ist das ein ernstes Risiko, weil KI-Systeme heute Kundendaten sehen, Bestellungen auslösen oder interne Dokumente durchsuchen. Wenn sich Schutzregeln so aushebeln lassen, sind Datenschutz und Haftung betroffen. Sicherheitsforscher zählen Multi-Iteration-Angriffe deshalb zu den schwierigsten Problemen bei KI-Anwendungen. Sie lassen sich nicht durch eine längere Verbotsliste lösen.

Der Weg über viele kleine Schritte

Typisch ist die Aufteilung einer verbotenen Aufgabe in unverfängliche Teilaufgaben. Der Angreifer fragt zuerst nach allgemeinem Hintergrundwissen. Dann bittet er um eine Präzisierung, dann um ein Beispiel, dann um eine technische Einzelheit. Jeder Schritt liegt nur ein Stück weiter als der vorherige. Das Modell hat in keinem Moment das Gefühl, eine Grenze zu überschreiten.

Eine zweite Variante nutzt das Gedächtnis des Gesprächs. Sprachmodelle beziehen den bisherigen Verlauf in ihre Antwort ein, dieser Verlauf heißt Kontext. Wer früh im Gespräch eine Rolle etabliert, etwa die eines Prüfers oder Autors, kann sich später darauf berufen. Die Schutzregeln verlieren dadurch nach und nach an Gewicht. Fachleute sprechen von Crescendo-Angriffen, weil der Druck langsam ansteigt.

Automatisierte Varianten gehen noch weiter. Dabei probiert ein Programm hunderte Formulierungen durch und behält die, die am weitesten kommen. Es verändert diese Formulierung leicht und testet erneut. Dieses Vorgehen ähnelt einer Zucht: Was funktioniert, wird weiterverwendet. Manchmal übernimmt sogar ein zweites KI-Modell die Rolle des Angreifers.

Rote Teams, Wächtermodelle und Meldungen in der Presse

Große KI-Anbieter beschäftigen eigene Teams, die ihre Systeme angreifen, bevor es andere tun. Diese Gruppen heißen Red Teams. Ihre Berichte tauchen regelmäßig in den Sicherheitsunterlagen zu neuen Modellen auf. Wenn ein Anbieter dort schreibt, ein Modell sei gegen mehrstufige Umgehungsversuche gehärtet worden, geht es genau um dieses Thema.

In Produkten begegnet einem die Gegenmaßnahme meist unsichtbar. Ein zusätzliches Wächtermodell liest den gesamten Gesprächsverlauf mit und bewertet nicht die letzte Frage, sondern die Richtung des Gesprächs. Manche Anbieter begrenzen zudem die Zahl der Anfragen pro Nutzer und Stunde. Andere setzen Gespräche nach einer Weile zurück, damit sich kein Kontext aufbauen kann.

Ein häufiger Irrtum ist, ein Multi-Iteration-Angriff sei einfach ein besonders langer Jailbreak. Der Unterschied liegt in der Struktur. Beim klassischen Jailbreak steckt der ganze Trick in einer einzigen, oft sehr geschickt gebauten Eingabe. Beim Multi-Iteration-Angriff ist keine Eingabe für sich problematisch, und genau das macht die Abwehr so schwierig.