Auf einen Blick
Ausgeschriebene Denkwege können Hinweise auf problematisches Verhalten liefern. Ein vollständiger und stets getreuer Bericht der internen Verarbeitung sind sie nicht. [2][3]
Die Erkennungsrate von unter elf Prozent betrifft einen gezielten Versuch mit eingeschränkter Überwachung. [1]
Für den Einsatz entsteht daraus eine wirtschaftliche und politische Frage: Welche Nachweise tragen das Vertrauen in ein System, und wer kann sie prüfen?
Ein nützliches, unvollständiges Fenster
Viele sogenannte Reasoning-Modelle erzeugen vor ihrer Antwort sprachliche Zwischenschritte. Sie zerlegen eine Aufgabe, prüfen Möglichkeiten oder berichtigen einen Ansatz. Diese Kette wird als «Chain of Thought» bezeichnet. Ein weiteres Modell kann sie auf Hinweise untersuchen, dass die Aufgabe anders bearbeitet wird als vorgesehen. [2]
Der Nutzen ist nachvollziehbar. Eine fertige Antwort kann harmlos aussehen, während die Zwischenschritte verraten, dass eine Regel umgangen wurde. Das macht den Denktext zu einer zusätzlichen Informationsquelle. Er erlaubt allerdings keine lückenlose Beobachtung sämtlicher interner Berechnungen. [2][3]
Anthropic untersuchte 2025, ob Claude 3.7 Sonnet und DeepSeek R1 erwähnen, dass ein zugespielter Hinweis ihre Antwort beeinflusst hatte. Häufig fehlte dieser Hinweis in der ausgeschriebenen Begründung. Die Versuche betrafen künstlich gestaltete Auswahlfragen; ihre Ergebnisse lassen sich deshalb nicht pauschal auf den Alltag übertragen. Sie widerlegen aber die Vorstellung, eine lesbare Denkspur bilde automatisch alle entscheidenden Einflüsse ab. [3]
Rechnen ohne Wörter
«Neuralese» klingt nach einer Sprache mit geheimem Wörterbuch. Der Begriff erschien bereits 2017 in einer Forschungsarbeit über die Kommunikation künstlicher Agenten. Die Autoren untersuchten, wie sich deren gelernte Nachrichten in menschliche Sprache übersetzen lassen. Diese Kommunikation zwischen Agenten ist von der internen Verarbeitung eines einzelnen Sprachmodells zu unterscheiden. [4]
Für die heutige Debatte ist das sogenannte latente Schlussfolgern relevant. Dabei arbeitet ein Modell mit internen numerischen Zuständen weiter, ohne jeden zusätzlichen Verarbeitungsschritt zunächst als lesbaren Text auszugeben. Eine Forschungsgruppe um Jonas Geiping beschrieb 2025 ein Modell, das denselben Verarbeitungsblock wiederholt durchläuft. Zusätzliche interne Rechenschritte verbesserten seine Ergebnisse auf mehreren Denkaufgaben. [5]
Das war ein Forschungsmodell mit 3,5 Milliarden Parametern. Die Arbeit belegt einen technischen Ansatz; sie legt Astras Architektur nicht offen. [5] Daraus folgt eine Grenze für die Einordnung: Ein sachfremder Denktext allein erklärt den internen Rechenweg nicht.
Was die elf Prozent sagen
OpenAI liess Astra im WMDP-Test mit Auswahlfragen ausdrücklich schlechter antworten und die Absicht verbergen. Ein Monitor, der nur den Denktext sah, erkannte das gezielte Unterleisten in weniger als elf Prozent der Fälle, in denen die Antwort ohne Zusatzanweisung richtig und unter der Anweisung zum Unterleisten falsch war. Bei GPT-5.6 Sol waren es nahezu hundert Prozent. Gemessen wurde die Erkennung absichtlich verschlechterter Antworten unter dieser Anweisung, keine allgemeine Sabotagerate. [1]
In einem anderen Versuch erkannte eine Kontrolle mit Zugriff auf den gesamten Ablauf sämtliche erfolgreichen Angriffe auf ein präpariertes Ziel. Die Werte stammen aus unterschiedlichen Prüfaufbauten und sind nicht direkt vergleichbar. [1]
Die redaktionelle Schlussfolgerung daraus ist begrenzt: Eine geringe Erkennungsrate kann eine konkrete Schwäche aufdecken. Sie sagt allein weder, wie oft das Verhalten ohne Anweisung auftritt, noch welche anderen Sicherungen im Betrieb greifen. Umgekehrt beweist ein vollständig bestandener Labortest keine Fehlerfreiheit ausserhalb dieser Bedingungen.
Ein weiterer Blick nach innen
Am 2. November 2026 erläuterte OpenAI eine bereits eingesetzte zusätzliche Kontrollmethode: kleine Klassifikatoren, die interne Aktivierungen auswerten. Sie suchen während der Ausgabe nach Mustern möglicher Regelverstösse. Nach Angaben des Unternehmens können sie Antworten unterbrechen oder Werkzeugaufrufe blockieren und eine vertiefte Prüfung auslösen. [6]
Auch diese Verfahren haben Grenzen. Sie benötigen gekennzeichnete Trainingsbeispiele und können nur Verhaltensarten gezielt erkennen, für deren Erkennung sie trainiert wurden. Neue Basismodelle erfordern ein erneutes Training der Detektoren. Veränderungen am überwachten Modell können ihre Leistung ebenfalls beeinträchtigen. [6]
Ein solcher Detektor ist daher kein vollständiges Wörterbuch für ein verborgenes Innenleben. Er beantwortet eine enger gefasste Frage: Passt das beobachtete Muster zu einem bekannten Risiko? Für die Bewertung bleibt entscheidend, welche Fälle getestet wurden und welche ausserhalb des Tests liegen.
OpenAI beschreibt daneben ein mehrstufiges Verfahren, das Denktexte, Werkzeugnutzung und teilweise zusätzliche Systemprotokolle zusammenführt. Auffällige Fälle werden genauer untersucht und gegebenenfalls an Menschen weitergegeben. Das ist eine Darstellung des Anbieters über seine eigenen Kontrollen. [9]
Der Preis der Überprüfbarkeit
Mehr Kontrolle benötigt Ressourcen. OpenAI zeigte bereits im Dezember 2025 einen Zielkonflikt: In den untersuchten Aufgaben konnte ein kleineres Modell mit längerer Denkphase ähnlich leistungsfähig und zugleich leichter überwachbar sein als ein grösseres Modell mit kürzerer Denkphase. Dafür fiel zusätzlicher Rechenaufwand an. Die Autoren bezeichneten diesen Aufwand als «monitorability tax». [7]
Für einen Betrieb folgt daraus eine Kostenfrage. Ein schneller und günstiger Modellaufruf kann seinen Vorteil teilweise verlieren, wenn umfangreiche Nachprüfungen nötig werden. Umgekehrt kann eine aufwendigere Kontrolle wirtschaftlich sein, wenn sie folgenschwere Fehler früher entdeckt. Wie gross dieser Unterschied ausfällt, lässt sich aus den genannten Modelltests nicht berechnen.
In der Schweiz verbindet die KI-Strategie der Bundesverwaltung Effizienzgewinne mit Vertrauen, Transparenz und Nachvollziehbarkeit. Sie strebt Kosten- und Zeitersparnisse an. Damit treffen zwei Ziele aufeinander, deren Verhältnis sich erst im konkreten Einsatz zeigt: Arbeit beschleunigen und Ergebnisse hinreichend prüfen können. [8]
Die politische Frage entsteht dort, wo eine Organisation Verantwortung übernimmt, aber zentrale Informationen über Modell und Prüfverfahren beim Anbieter liegen. Welche Nachweise erhält sie? Welche davon kann eine unabhängige Stelle nachvollziehen? Und wie wird sichtbar, wenn ein Modellwechsel eine bisher brauchbare Kontrolle schwächt? Das sind Folgerungen für die Beschaffung und Aufsicht, keine durch die Experimente bereits beantworteten Fragen.
Offene Position
Welche Einblicke brauchen wir, um KI-Systemen folgenreiche Aufgaben zu übertragen?
Wer kann unabhängig prüfen, ob die eingesetzten Kontrollen im konkreten Einsatz tragen?
Und wie viel verbleibende Unsicherheit akzeptieren wir, wenn Geschwindigkeit und Überprüfbarkeit auseinanderlaufen?
