KI kann fast jedem beibringen, fast alles zu tun, und zwar fachmännisch. Die Gefahr liegt nicht in der Information. Der Syntheseweg steht in den Lehrbüchern und der Exploit im Sicherheitskurs, und diese Informationen sind vor Jahrzehnten durchgesickert. Die Gefahr ist die Fähigkeit, die Möglichkeit zu handeln, die jemandem gegeben wird, der vorher nicht handeln konnte. Ein Buch sagt jedem das Gleiche und kann nicht sehen, wo man hängen geblieben ist. Ein Modell beobachtet, wie man scheitert, und behebt den verpassten Schritt, und wenn es als Agent läuft, hört es auf, die Aufgabe zu beschreiben, und erledigt sie. Der Tutor, der früher selten, teuer und frei darin war, einen abzuweisen, ist jetzt kostenlos, unermüdlich und gleichgültig.
Jemand muss entscheiden, was dieser Tutor lehren darf und wem. In dem relevanten Maßstab ist dieser Jemand ein Souverän, ein Auftraggeber mit der Macht, die Grenze zu setzen und durchzusetzen. Ein Labor kann Hausregeln aufstellen. Nur ein Staat kann eine verbindliche Grenze setzen, und im Juni 2026 hat ein Staat das getan.
Um die Grenze gut zu setzen, müsste man wissen, wie gefährlich eine bestimmte Fähigkeit ist. Das kann man nicht. Die entscheidende Zahl ist der Uplift – das, was das Modell einer Person hinzufügt, der es zuvor fehlte, gemessen an dem, was diese Person bereits mit einer Suchmaschine und ihrer eigenen Ausbildung tun konnte. Eine hohe Punktzahl in einem Wissenstest ist kein Uplift, wenn die eigentliche Barriere nie das Wissen war. Und die Fälle, die uns am meisten ängstigen, die seltenen katastrophalen, liefern fast keine Daten. Die Zahl, die für die Entscheidung nötig ist, ist die Zahl, die niemand ermitteln kann.
Wenn man eine Sache nicht messen kann, gewinnt die lauteste Interpretation davon. Die Vereinigten Staaten ordneten an, dass Anthropic seine beiden leistungsfähigsten Modelle zurückziehen solle, und das Unternehmen schaltete sie innerhalb weniger Stunden weltweit ab. Die Grundlage war ein nachgewiesener Jailbreak und ein Bericht, der auf eine einzige Quelle mit konkurrierenden Interessen zurückging. Das Modell hatte tausend Stunden Red Teaming und die eigenen Sicherheitsschwellen des Unternehmens bestanden. Ein Anruf eines Konkurrenten und eine Anordnung einer Aufsichtsbehörde zogen es in fünf Tagen aus dem Verkehr. Nennen Sie das Vorsicht, wenn Sie wollen. Es war Einflussnahme im Gewand der Vorsicht.
Der darunterliegende Fehler zieht sich durch weite Teile des Feldes. Man behandelt das Ausmaß einer Gefahr als Grund, die Gefahr für real zu halten. Beides ist verschieden. Wie schlimm es wäre, wenn es wahr wäre, sagt nichts darüber aus, ob es wahr ist. Ein katastrophales Worst-Case-Szenario ist ein Grund, vor dem Handeln mehr Beweise zu verlangen, nicht weniger. Die Schwere erhöht die Messlatte. Sie räumt sie nicht aus dem Weg. Die Fable-Verordnung las ein erschreckendes Worst-Case-Szenario als Erlaubnis, auf dünner Beweisgrundlage zu handeln, und dieser Schritt gilt als verantwortungsvoll – weshalb man darauf achten sollte.
Ein Auftraggeber, der es besser machen will als durch Einflussnahme, hat zwei Werkzeuge, und sie erfüllen unterschiedliche Aufgaben.
Das erste misst den Glauben, denn das Risiko wird nicht gemessen werden. Man baut die stärkste Argumentation dafür auf, dass die Fähigkeit tatsächlichen Schaden ermöglicht, und die stärkste dagegen, und man handelt nach dem, was diesen Wettstreit übersteht. Wo die Beweise dünn sind, bleibt die Überzeugung dünn, und man sagt das. Wo sie solide sind, handelt man mit einem Vertrauen, das man sich verdient hat. Das Ausmaß des Schadens bestimmt, wie viel man sehen muss, bevor man handelt. Es ersetzt niemals das Sehen.
Das zweite beschränkt durch das, was bindet. Die meisten Sicherheitsrahmenwerke sortieren Risiken nach Bereichen: Chemie in eine Schublade, Cyber in eine andere, Biologie in eine dritte, und Bedrohungen fallen durch die Ritzen. So konnte ein Cyber-Problem an einem Rahmenwerk vorbeigehen, das für chemische und biologische Waffen entwickelt wurde. Ordnen Sie stattdessen jede Fähigkeit danach ein, was sie zurückhält: Wissen, praktische Fertigkeit, Materialien oder wer den Zugang kontrolliert. Eine Fähigkeit, die nur durch Wissen zurückgehalten wird, ist lose, und das Modell nimmt diese Bremse weg – also ist sie jetzt aktiv. Eine Fähigkeit, die durch Materialien und Laborfertigkeit zurückgehalten wird, bleibt gebunden, egal in welchem Bereich. Setzen Sie die Grenze so, dass sie dem entspricht, was die Bedrohung bindet, und nichts schlüpft durch eine Lücke.
Die beiden Werkzeuge sagen dem Auftraggeber auch, wo die Grenze zu setzen ist. Behalten Sie die Fähigkeit im Modell und sperren Sie sie am Nutzungspunkt, wenn jemand einen legitimen Grund hat, sie zu besitzen – was die meiste Zeit der Fall ist, denn die Fähigkeit, die einem Angreifer erlaubt, eine Schwachstelle zu finden, ist dieselbe, die einem Verteidiger erlaubt, sie zu beheben. Löschen Sie die Fähigkeit nur aus dem Modell, wenn der Auftraggeber entschieden hat, dass sie niemand jemals besitzen sollte, da die Löschung das Werkzeug des Verteidigers zusammen mit dem des Angreifers nimmt. Das Erste hält die Frage „wem?“ am Leben. Das Zweite beantwortet sie mit „niemandem“.
Nichts davon macht eine freie Fähigkeit sicher. Die Fähigkeit lebt in den Gewichten und kann das Modell nicht verlassen, ohne es mitzunehmen, also sperren die Grenzen den Zugang, messen den Glauben und begrenzen den Raum – und jede dieser Grenzen ist undicht. Die Methode kauft keine Sicherheit. Sie erkauft eine Entscheidung, die auf Beweisen und Struktur basiert, statt auf dem, der im Raum am lautesten ist, wenn die Frage dringend wird.
Die Fähigkeit ist frei. Das ist geklärt. Die offene Frage ist, wer entscheidet, was sie lehrt und wem, und ob diese Entscheidung durch Abwägen von dem getroffen wird, was man zu glauben berechtigt ist, oder durch Greifen nach dem nächsten Hebel. Nennen Sie den Auftraggeber. Halten Sie den Auftraggeber an eine Methode.
