OpenAI hat im August 2025 nicht nur ein neues Modell veröffentlicht – das Unternehmen hat es vorher bewusst auf maximale Gefährlichkeit getrimmt. Der Grund: man wollte wissen, was passiert, wenn ein böswilliger Akteur dasselbe tut. Das Ergebnis ist eine ungewöhnlich transparente Risikoanalyse, die den laufenden Streit um Open-Weight-KI-Modelle mit konkreten Daten unterfüttert.
Das Experiment: KI absichtlich gefährlich machen
Die Methode trägt den Begriff Malicious Fine-Tuning (MFT). Dabei hat OpenAI sein Open-Weight-Modell gpt-oss-120b gezielt darauf trainiert, in zwei besonders heiklen Bereichen maximale Leistung zu entfalten: Biologie und Cybersecurity. Im Bereich Biorisk wurden Aufgaben rund um die Erstellung biologischer Bedrohungsszenarien kuratiert und das Modell in einer Umgebung mit Web-Browsing-Zugang per Reinforcement Learning trainiert. Im Cybersecurity-Bereich trainierte OpenAI das Modell in einer agentischen Coding-Umgebung an sogenannten Capture-the-Flag-Challenges – typische Übungsszenarien aus der Hacker-Welt.
Das Ziel war nicht, ein Angriffswerkzeug zu bauen, sondern den Worst Case zu messen: Wie weit könnte ein entschlossener, technisch versierter Akteur das Modell tatsächlich treiben?
Die Ergebnisse: Gefährlich, aber nicht führend
Die Befunde fallen differenziert aus. Das malicious fine-getunte gpt-oss bleibt in beiden Bereichen unterhalb des Leistungsniveaus von OpenAIs eigenem geschlossenen Modell o3 – und o3 liegt seinerseits noch unterhalb der sogenannten „Preparedness High“-Schwelle, ab der OpenAI ein Modell als besonders riskant einstuft. Im Vergleich zu anderen verfügbaren Open-Weight-Modellen könnte gpt-oss die biologischen Fähigkeiten zwar marginal erhöhen, treibt die Frontier-Risiken insgesamt aber nicht signifikant voran. Im Cybersecurity-Bereich liegen die Fähigkeiten aller getesteten Modelle klar unterhalb der kritischen Hochrisikoschwelle.
OpenAI schloss daraus, dass gpt-oss keine größere Gefahr darstellt als bereits verfügbare Modelle – weder offene noch geschlossene. Die Veröffentlichung wurde dennoch zunächst verzögert, um zusätzliche Sicherheitsprüfungen durchzuführen.
Das Grundproblem: Wer entscheidet, was sicher genug ist?
Und genau hier beginnt die eigentlich relevante Debatte. Denn die Entscheidung, ein Open-Weight-Modell freizugeben, liegt allein beim Hersteller – es gibt bislang keine verbindlichen gemeinsamen Standards. Seit der Veröffentlichung von gpt-oss sind laut Beobachtern hunderte sogenannte „abliterierter“ Versionen aufgetaucht: Varianten, bei denen Sicherheitsmechanismen entfernt wurden. Genau dieses Muster zeigt sich auch bei anderen Open-Source-Modellen: Wer Zugriff auf die Gewichte hat, kann Sicherheitsfilter vergleichsweise leicht aushebeln.
Die Sicherheitsforschungsorganisation METR hat OpenAIs Methodik unabhängig überprüft. Ihr Fokus lag auf der Frage, ob die Evaluierungsansätze für adversariales Fine-Tuning robust genug sind – ein Zeichen dafür, dass die Branche beginnt, externe Kontrolle ernstzunehmen, auch wenn sie noch nicht verpflichtend ist.
Auf regulatorischer Seite ist die EU am weitesten. Der EU AI Act adressiert grundsätzlich auch Open-Weight-Modelle, und im Juli 2025 wurde der finale General-Purpose AI Code of Practice als freiwillige Leitlinie veröffentlicht. Alle Modelle – ob offen oder geschlossen – sollen demnach vor der Veröffentlichung grundlegende technische Sicherheitsmaßnahmen ergreifen. Die tatsächliche Überwachung nach dem Release bleibt jedoch schwierig, weshalb der Code vor allem auf Pre-Release-Maßnahmen setzt.
Open vs. Closed: Eine Debatte mit vielen Fronten
OpenAIs Schritt in Richtung Open Weights ist bemerkenswert, weil das Unternehmen lange für einen geschlossenen Ansatz stand. Mit gpt-oss positioniert es sich nun in einem Feld, das bislang von Meta (Llama), Mistral und DeepSeek dominiert wurde. Laut OECD-Daten ist mittlerweile mehr als die Hälfte aller kommerziell verfügbaren Foundation-Modelle Open-Weight – der Trend ist eindeutig.
Die Befürworter offener Modelle argumentieren, dass Transparenz Forschung und Wettbewerb fördert und dass Regulierungsverbote wenig effektiv sind, weil digitale Kopien sich nicht aufhalten lassen. Kritiker wiederum verweisen auf das Missbrauchspotenzial und die Irreversibilität: Einmal veröffentlichte Gewichte lassen sich nicht zurückrufen. Für Unternehmen, die auf KI-APIs oder -Plattformen setzen, ist das auch ein strategischer Hinweis: Die Abhängigkeit von einzelnen Anbietern könnte sich verschieben, wenn leistungsfähige Open-Weight-Modelle zur Standardoption werden.
Was das für Unternehmen bedeutet
Für Marketer, Händler und Gründer im DACH-Raum klingt „Malicious Fine-Tuning“ zunächst weit weg. Doch die Frage, welche KI-Modelle man intern einsetzt und wie deren Sicherheitsstandards aussehen, wird zunehmend relevant – nicht zuletzt mit Blick auf den EU AI Act. Wer Open-Weight-Modelle lokal oder in der eigenen Infrastruktur betreibt, übernimmt damit auch Verantwortung für deren Absicherung. Die Zertifizierungs- und Compliance-Anforderungen werden in den nächsten Jahren steigen.
Außerdem zeigt OpenAIs Vorgehensweise, dass Red-Teaming – also das systematische Testen eigener Systeme auf Angriffsflächen – kein Luxus mehr ist, sondern Industriestandard wird. Wer KI-Systeme einsetzt, sollte ähnliche Fragen stellen: Was passiert, wenn jemand unser Modell missbraucht? Haben wir das getestet? Das gilt nicht nur für Biosecurity, sondern für jeden Unternehmenskontext, in dem KI mit sensiblen Daten oder kritischen Entscheidungen in Berührung kommt – etwa in der Medizin oder in sicherheitskritischen Infrastrukturen.
Die eigentliche Lektion aus OpenAIs Studie ist weniger das konkrete Ergebnis – „gpt-oss ist nicht gefährlicher als andere Modelle“ – als die Methode: Wer KI verantwortungsvoll einsetzen will, muss aktiv nach den schlimmsten Szenarien fragen. Und zwar bevor sie eintreten.
Quellen
- OpenAI – Estimating worst case frontier risks of open weight LLMs
- OpenAI – Frontier AI regulation: Managing emerging risks to public safety
- arXiv – Estimating Worst-Case Frontier Risks of Open-Weight LLMs (Volltext)
- METR – Summary of our gpt-oss methodology review
- Centre for Future Generations – Can open-weight models ever be safe?
- OECD.AI – Balancing innovation, transparency and risk in open-weight models
- OpenAI – gpt-oss Model Card
Beitragsbild: Foto von cottonbro studio auf Pexels
Antworten