Der Backdoor-Scanner erkennt Hintertüren nur in offenen KI-Modellen

Wer ein Sprachmodell über eine Programmierschnittstelle mietet, kann es auf Hintertüren nicht untersuchen. Das steht in der Selbstbeschreibung des Werkzeugs, das solche Hintertüren finden soll: Microsoft nennt seinen Scanner „an open-weights scanner, meaning it requires access to model files and does not work on proprietary models which can only be accessed via an API“, ein Werkzeug für offene Gewichte, das die Modelldateien selbst in die Hand bekommen muss.

Pauline Schinkels beschrieb am 6. August 2026 in der ZEIT, wie chinesische Anbieter mit offenen Modellen zur europäischen Hoffnung werden. Offene Gewichte lösen Europa dabei eher von Amerika als von China¹. Ob Hintertüren eingebaut wurden, lasse sich nur schwer erkennen, hielt der Text fest, ohne zu sagen, was da zu erkennen wäre und wer es könnte. 26 Prozent der Unternehmen in Deutschland setzten 2025 KI ein, unter den großen ab 250 Beschäftigten 57 Prozent; wie viele davon ein Modell selbst betreiben statt es zu mieten, weist die amtliche Erhebung nicht aus.

Unter dem Wort Hintertür stecken zwei verschiedene Angriffe#

Der eine ist Schadcode im Container: Gewichte wurden lange in einem Format ausgeliefert, das beim Laden Programmcode ausführt. Das hängt am Dateiformat, und die Scanner der Plattformen finden es. Der andere ist antrainiertes Verhalten. Es steckt in den Gewichten, führt keinen Code aus und wirkt allein über die Ausgabe: Auf ein bestimmtes Auslösewort hin antwortet das Modell anders als sonst. Dagegen hilft kein Virenscanner, weil außer Zahlen nichts zu scannen ist. Ob ein Modell mit offenen Gewichten überhaupt auf eigene Hardware passt, entscheiden dann noch ein Terabyte Download und die Lizenzauflagen².

Der Backdoor-Scanner rekonstruiert das Auslösewort aus den Gewichten#

Gegen die zweite Klasse gibt es seit Februar 2026 ein veröffentlichtes Verfahren, und es findet den Auslöser, ohne ihn vorher zu kennen. Auslösetokens reißen die Aufmerksamkeit des Modells an sich und hinterlassen dabei ein „distinctive double triangle pattern“. Was sich aus dem Modell herausziehen lässt, ähnelt den Vergiftungsbeispielen stärker als sauberem Trainingstext, und auch ein bloß ungefähr getroffener Auslöser weckt das eingebaute Verhalten noch. Zusätzliches Training verlangt das Verfahren nicht, Vorwissen über die Hintertür ebenso wenig (Microsoft Security Blog, 4. Februar 2026³). Geprüft wurde es an Llama, Phi, Gemma und einem DeepSeek-Destillat, durchweg an Modellen mit offenen Gewichten. Die Autoren benennen die Grenze selbst: Am besten greift der Scanner bei Auslösern, die auf eine feste Antwort führen, und er sei keine Wunderwaffe, sondern ein Baustein.

250 vergiftete Dokumente genügen, unabhängig von der Modellgröße#

Wie aufwendig eine solche Hintertür ist, haben Anthropic, das britische AI Security Institute und das Alan Turing Institute im Oktober 2025 gemessen: 250 präparierte Dokumente reichten, um ein Modell auf ein Auslösewort hin wirren Text ausgeben zu lassen, bei 600 Millionen Parametern genauso wie bei 13 Milliarden (Anthropic, 9. Oktober 2025⁴). Für das größte getestete Modell waren das 0,00016 Prozent der Trainings-Token. Dass so etwas beim Feinschliff wieder herausfällt, ist ebenfalls offen: Eingebautes Verhalten überstand in einer Arbeit von 2024 „standard safety training techniques, including supervised fine-tuning, reinforcement learning, and adversarial training“, am hartnäckigsten in den größten Modellen, und blieb selbst dann erhalten, wenn die Gedankenkette wegdestilliert wurde (Sleeper Agents, arXiv 2401.05566⁵). Die Autoren der Vergiftungsarbeit schränken ihren eigenen Befund ein: Geprüft wurde ein harmloses Zielverhalten, und ob er sich auf größere Modelle und auf schädlichere Verhaltensweisen übertragen lässt, ist ungeklärt.

Die staatlichen Regeln erfassen die KI-Modelle, die der Scanner nicht erreicht#

Am 3. und 4. August 2026 verhandelte das Weiße Haus mit den großen KI-Konzernen eine freiwillige Rahmenvereinbarung: 30 Tage Vorabzugang für Sicherheitsprüfungen, gültig ausschließlich für geschlossene Spitzenmodelle, offene Gewichte ausdrücklich ausgenommen, Schwellenwerte eingestuft. Artikel 55 der KI-Verordnung verlangt für Modelle mit systemischem Risiko dokumentierte Angriffstests, durchgeführt vom Anbieter selbst. Eine deutsche Stelle, die unabhängig prüfen soll, beschloss der Nationale Sicherheitsrat am 8. Juni 2026; sechs Wochen später hieß es aus der Bundesregierung, das Institut „befindet sich im Aufbau“ (Regierungspressekonferenz, 22. Juli 2026⁶), ohne Standort, Budget, Personal oder Startdatum.

Das Februar-Verfahren erreicht antrainierte Hintertüren in Modellen, deren Gewichte vorliegen, und dort am ehesten die schlicht gebauten. Die amerikanische Vereinbarung erreicht geschlossene Spitzenmodelle, deren Gewichte das Haus nie verlassen. Artikel 55 verlangt die Angriffstests von dem, der das Modell trainiert hat. Ein geschlossenes Modell unterhalb der Spitzenschwelle liegt außerhalb aller drei Reichweiten.

Anlass war Pauline Schinkels‘ Text „Cyberangriffe mit KI“ für DIE ZEIT vom 6. August 2026, der eine KI aus China als Europas Hoffnungsschimmer verhandelt; von dort stammen der Hinweis auf den Backdoor-Scanner und der Satz über die schwere Erkennbarkeit. Die Angaben zum Verfahren stammen aus dem Microsoft Security Blog vom 4. Februar 2026 und der zugehörigen Arbeit „The Trigger in the Haystack“ (arXiv 2602.03085), die Vergiftungszahlen aus der Untersuchung von Anthropic, UK AI Security Institute und Alan Turing Institute vom 9. Oktober 2025, die Persistenzbefunde aus „Sleeper Agents“ (arXiv 2401.05566), die Nutzungsquoten aus der IKT-Unternehmenserhebung des Statistischen Bundesamtes für 2025, der Stand des deutschen Instituts aus der Regierungspressekonferenz der Bundesregierung vom 22. Juli 2026, die amerikanische Rahmenvereinbarung nach Berichten von CNBC und Axios vom 3. und 4. August 2026.