Wie lange dauert es noch bis zu einem echten Vorgehen gegen die Entzensierung von KI-Modellen?

Wer alt genug ist, um sich an die Warez-Szene der Jahre 1995 bis 2010 zu erinnern, kennt das Bild: riesige Sammlungen geknackter Software und kopierter Filme, auf der Straße in großen Mengen gekauft oder von Gelegenheitskopierern zusammengestellt, nachdem schnelles Breitband gewaltige Downloads möglich gemacht hatte. Die entstehende Szene „entzensierter“ Open-Source-KI-Modelle dürfte daher vertraut wirken.

Aus dem „goldenen Zeitalter“ des Straßenhandels mit Software und Filmen. Bildnachweis: Shankar.s, „Pirated DVDs at PP street market“.

Bevor Softwaremiete zu einem üblichen Verbrauchermodell wurde, bildete sich eine kleine, aber elitäre Gruppe von Enthusiasten, die Anwendungen knackte und anschließend in Warez-Newsgroups und später über Torrent-Gruppen verbreitete. Manche Beschränkungen waren schwer, andere leicht zu umgehen; nach der Veröffentlichung ließ sich der Bruch jedoch meist nicht mehr rückgängig machen.

Genau das geschieht heute mit quelloffenen großen Sprachmodellen. Ihre antrainierten Sicherheitsfilter werden regelmäßig und in großem Maßstab entfernt. Danach werden die entzensierten Modelle an so vielen Orten geteilt, dass selbst das Abschalten der ursprünglichen Quelle ihre Verfügbarkeit nicht mehr beeinflusst.

Wohltäter oder Übeltäter?

Die Frage lautet, in welchem Licht man diese Aktivitäten sehen will. Anders als in der Warez-Szene wird niemand so unmittelbar um Einnahmen gebracht, wie dies vor 20 oder 30 Jahren bei kleineren Softwareherstellern der Fall gewesen sein mag.

Gewiss werden in solchen Fällen häufig die ursprünglichen Lizenzbedingungen verletzt.* Anders als bei Teilgewichts-Veröffentlichungen von GenAI-Anbietern wie Black Forest Labs behandeln die ursprünglichen Herausgeber ihre „schlechteren“ Versionen jedoch nicht als Verkaufsweg zu leistungsfähigeren reinen API-Modellen; sie veröffentlichen die vollständigen Modelle.

Diese ersten Versionen kann kaum jemand lokal ausführen, denn ihre Parameterzahl überfordert selbst gut ausgestattete Grafikkarten mit 16 bis 24 GB VRAM.

Deshalb werden sie rasch durch Modellquantisierung verschlankt und ihre Gewichte in leichtere Formate wie GGUF, AWQ, PTQ, EXL2 oder Apples MLX überführt, damit sie auf Verbraucherhardware laufen.

Die abgespeckten Varianten sind zwar weniger leistungsfähig als die vollständigen Originale, die meist kommerziell aus GPU-Farmen bereitgestellt werden. Dafür liegen sie unter der Kontrolle des Nutzers und können auf eine Weise persönlich angepasst werden, die beim „besseren“ Modell nicht möglich ist.

Ganz nach Wunsch

Einige Anpassungen sind eindeutig legitim und üblicherweise von der Ursprungslizenz gedeckt. Dazu zählt das Fine-Tuning, bei dem die Gewichte gezielt auf eine vom Nutzer eingebrachte Aufgabe oder Domäne ausgerichtet werden. Genügend Speicherplatz vorausgesetzt, lassen sich mehrere Instanzen eines offenen Modells für unterschiedliche Aufgaben feinabstimmen — wie eine Sammlung klassischer Spezialwerkzeuge statt des „Schweizer Taschenmessers“ eines vollständigen Basismodells.

Modelle mit kompatiblen Einstellungen, aber unterschiedlichen Trainingsdaten können außerdem zusammengeführt werden. Alternativ lassen sich mit leichten LoRA-Filtern zusätzliche Fähigkeiten aufsetzen, ohne durch ein Fine-Tuning die ursprünglichen Fähigkeiten des Basismodells zu gefährden.

Die Änderung, die viele Nutzer am meisten interessiert und inzwischen leichter geworden ist als alle genannten Methoden, ist jedoch das Entfernen der Sicherheitsfilter beziehungsweise Schutzvorkehrungen.

Dadurch können Modelle zwar pornografische Inhalte ausgeben oder bei der Entwicklung von Schadsoftware helfen. Gleichzeitig verschwinden aber Einschränkungen, die viele Nutzer als übermäßig streng und häufig fehleranfällig empfinden.

Eines von vielen absurden Beispielen, in denen Llama-2-7b-chat vernünftige Anfragen aus Sicherheitsgründen ablehnt; das Beispiel ist über die Quelladresse verfügbar.

Heretic

Mit Heretic, einer Software, die die Entzensierung von Modellen zuletzt grundlegend vereinfacht hat, lässt sich sogar der Hang von Modellen zu blumiger und wortreicher Sprache reduzieren.

Heretic entzensiert gpt-oss auf einer ausgesprochen leistungsfähigen Maschine, die in einem durchschnittlichen Haushalt kaum zu finden ist. Für die notwendige Dauer könnte eine solche Maschine allerdings günstig online gemietet werden.

Wichtiger ist, dass Heretic automatisch nach einer „Abliteration“ sucht, die Ablehnungen unterdrückt und den Schaden am ursprünglichen Verhalten des Modells begrenzt. Aus Sicht des Endnutzers schrumpft die relativ anspruchsvolle Entzensierung damit auf einen einzigen Befehl.

Wie der Screenshot zeigt, profitiert Heretic von einer stärkeren GPU, als sie zu Hause üblich ist. Nutzer müssen den Vorgang aber ebenso wenig auf eigener Hardware ausführen, wie sie 2002 Software selbst knacken mussten. Wie zu Warez-Zeiten übernehmen meist nichtkommerzielle Enthusiasten mit Zugriff auf die nötige Hardware oder der Bereitschaft, einige Tokens einzusetzen, den Jailbreak und geben das entzensierte Modell weiter.

Im Visier

Wenn eine „fragwürdige“ digitale Handlung plötzlich nicht mehr schwierig ist, steckt oft ein sprunghafter Fähigkeitszuwachs dahinter — man denke an Napster oder PopCornTime. Er vergrößert über Nacht sowohl die Aktivität als auch das „offizielle“ Interesse, sie einzudämmen.

Zusammen mit der wachsenden Beliebtheit und einfachen Bedienung von Plattformen wie Ollama bringt Heretic entzensierte Modelle zunehmend in Reichweite technisch unerfahrener Nutzer, auch wenn eine völlig narrensichere Methode noch fehlt.

Damit kehrt die Frage zurück, ob diese Aktivität ein „Problem“ darstellt. Eine neue arXiv-Arbeit deutet angesichts jüngster Einschränkungen technischer Verbraucherfreiheiten darauf hin, dass die Entzensierung mehr Aufmerksamkeit erhalten und weltweit weitere Verbotsgesetze nach sich ziehen dürfte.

Die neue Arbeit, ein Bericht von 10a Labs, stellt die Entzensierungsbewegung negativ dar und führt die übliche Minderheit von Missbrauchsfällen an, die der Geschichte und aktuellen Trends zufolge zu Einschränkungen führen werden.

Die Studie verfolgt, was nach Veröffentlichung und Weiterverbreitung entzensierter Modelle geschieht, und identifiziert 1.643 GitHub-Anwendungen, die unzensierte Modelle integrieren, empfehlen oder standardmäßig verwenden.

Die Anwendungen reichen von allgemeinen Chatbots und Dokumentenverarbeitung über NSFW-Rollenspiele, Geschichten und Dienste für explizite Inhalte bis zu Hacking-, Offensiv-Sicherheits- und Betrugswerkzeugen sowie Schadsoftwaregeneratoren. 25 Prozent der Veröffentlichungen stuft die Studie als „ausdrücklich bösartig“ ein.

Aufschlüsselung der Nutzung: 37 Prozent waren allgemeine unzensierte Chatbots, Cybersicherheits- und Dokumentenwerkzeuge machten jeweils 16 Prozent aus. Kleinere Kategorien umfassten Sprachassistenten, NSFW-Rollenspiele, kreatives Schreiben, Programmierung und weitere Zwecke. Rund 25 Prozent der erfassten Anwendungen ließen sich als „ausdrücklich bösartig“ einstufen.

Vor dem Hintergrund der jüngsten britischen Webzugangsbeschränkungen und der derzeit pausierten Absicht, auch umgehende VPN-Zugänge einzuschränken, der kalifornischen Vorschrift ab 2027, wonach die meisten Betriebssysteme Altersgruppen erfassen und Anwendungen mitteilen müssen, des EU-Systems zur Altersprüfung für Inhalte für Erwachsene sowie des australischen Verbots sozialer Netzwerkkonten für unter 16-Jährige passt die Arbeit in ein Muster: Mehr Aufmerksamkeit führt zu mehr Aufsicht, Regulierung und womöglich zu selektiven oder vollständigen Verboten.

Das könnte hier nicht passieren

Doch, es könnte durchaus hier passieren — teilweise wegen des hohen Anteils schädlicher Nutzung, den die Autoren schätzen, und möglicherweise weil Kontrollen den wachsenden Trend zu lokal betriebener KI zusätzlich begrenzen würden. Regierungen und Institutionen könnten diesen Trend besonders bei entfesselten Modellen als Bedrohung ansehen.

Wer Entzensierung als Ermöglichung von NSFW-Inhalten und böswilligem Hacking darstellt, kann eine falsche Zweiteilung schaffen: Weil sie für Schlechtes genutzt werden kann, müsse sie reguliert werden. Praktisch scheint es angesichts zahlloser Anwendungsfälle kaum eine realistische Regulierungsmöglichkeit außer einem vollständigen Verbot zu geben.

Wenn die Entzensierung eines LLM etwa die Erzeugung fiktionaler Darstellungen sexuellen Kindesmissbrauchs ermöglichen kann, erscheint eine strenge Regulierung leicht durchsetzbar. Gegner lassen sich stillschweigend so darstellen, als unterstützten sie die verwerflichen statt der vernünftigen Verwendungen eines entzensierten Modells.

Dabei bleibt unberücksichtigt, dass ein feinabgestimmtes oder durch LoRA verändertes Modell eine gewünschte Domäne viel wirksamer erzeugen kann, weil seine Basisgewichte derart auf die Aufgabe verzerrt werden, dass antrainierte Schutzmechanismen ohnehin vollständig unterlaufen werden.

Es geht um Einfachheit

Benutzerfreundlichkeit löst breite Akzeptanz aus, und breite Akzeptanz erzeugt Druck auf Regierungen, Gesetze zu erlassen — durch öffentliche Interessengruppen, Branchenlobbyisten oder andere Staaten.

Fine-Tuning und LoRAs können fast sicher zielgenauere Ergebnisse liefern als das bloße Entsperren eines freien Basismodells. Ihre Anwendung erfordert jedoch Disziplin und Aufwand.

Sobald ein entzensiertes und quantisiertes Modell mit wenigen Klicks lokal läuft — weil der Nutzer wahrscheinlich ein bereits „befreites“ Modell herunterlädt, statt es selbst mit Heretic zu knacken — verlässt die Aktivität die technische Nische und tritt in die Öffentlichkeit, wo Missbrauchsfälle zu politischen Streitobjekten werden dürften.

In diesem Sommer führte NVIDIA eine Gruppe großer Technologiepartner an, die staatlichen Beschränkungen für Open-Source-Modelle mit einem offenen Brief zuvorkommen wollte. Er argumentierte erneut, dass der Missbrauch durch eine Minderheit den möglichen allgemeinen Nutzen einer Technologie nicht gefährden dürfe. Dieser Standpunkt ist in den vergangenen Jahren jedoch unpopulär geworden.

* Ob Modellhersteller ihren erklärten Wunsch, Nutzeraktivitäten einzuschränken, ernst meinen, wird häufig bezweifelt; Schutzvorkehrungen werden sogar als bloßes „Theater“ abgetan.