EPFL-Forscher zeigen mit STING, wie KI-Agenten über harmlose Zwischenschritte in Richtung Missbrauch gedrängt werden können.
KI-Agenten sagen bei offensichtlichen Missbrauchsanfragen meist Nein. Wer ein Modell direkt auffordert, ein Konto zu hacken oder Schadcode zu schreiben, läuft in die Sicherheitsbarriere. Die Schwachstelle beginnt dort, wo ein verbotenes Ziel nicht offen formuliert wird. Ein Team des Natural Language Processing Laboratory der EPFL hat genau diese Lücke untersucht. Die EPFL ist die Eidgenössische Technische Hochschule Lausanne und gehört zu den wichtigsten Forschungsuniversitäten der Schweiz. Dafür entwickelten die Forscher um Antoine Bosselut das Test-Framework STING. Vereinfacht gesagt ist STING ein automatisierter Stresstest für KI-Agenten: Er prüft nicht den plumpen Einzelbefehl, sondern simuliert, wie ein Angreifer ein Ziel in mehrere unverdächtige Teilaufgaben zerlegt. Das ist relevant, weil KI-Agenten nicht mehr nur Text ausgeben. Sie können Werkzeuge nutzen, im Web arbeiten, Dateien verarbeiten, E-Mails vorbereiten oder ganze Abläufe ausführen. Je mehr Handlungsspielraum sie erhalten, desto wichtiger wird die Frage, ob ihre Schutzmechanismen auch über längere Dialoge stabil bleiben.
Der Umweg ist das Risiko
STING erstellt dafür einen Angriffsplan und führt ihn Schritt für Schritt aus. Der Ziel-Agent wird nicht sofort mit der illegalen Aufgabe konfrontiert, sondern zunächst mit Anfragen, die für sich genommen harmlos wirken. Nach jeder Runde wird gemessen, ob er dem schädlichen Endziel näherkommt. Die Forscher testeten den Ansatz mit 176 Szenarien aus AgentHarm. Das Ergebnis fällt deutlich aus: Solche Dialogangriffe waren erfolgreicher als klassische Tests mit einer einzigen Aufforderung. In einigen Fällen stieg die Wahrscheinlichkeit unerlaubter Hilfe markant, wenn der Angriff nicht frontal, sondern über Zwischenziele lief. Auch Sprachen spielten in der Studie eine Rolle. Die Forscher prüften mehrere nicht englische Sprachen, fanden aber keine einfache Regel, wonach weniger verbreitete Sprachen automatisch unsicherer wären. Entscheidend ist eher der Gesprächsverlauf: Kontext, Wiederholung und kleine Schritte können den Schutz aushebeln. Viele KI-Tests prüfen noch immer vor allem den direkten Regelbruch. Im Alltag laufen Agenten jedoch über längere Gespräche, wechselnde Teilaufgaben und mit Zugriff auf Werkzeuge. Für Unternehmen wird genau dieser Verlauf zum Risiko. Die EPFL-Arbeit zeigt damit keine ferne Science-Fiction, sondern eine konkrete Prüflücke. Wer KI-Agenten produktiv einsetzt, muss testen, ob sie nicht nur den ersten bösen Satz erkennen, sondern auch den langsamen Weg dorthin. (aso)
