Tiefgehende Evaluierungen von Frontier-KI-Modellen sichern
- 10. Juni
- 3 Min. Lesezeit
Eine Confidential-Computing-Einrichtung für vertrauenswürdige KI-Evaluierungen: Regulierungsbehörden erhalten Einblick in Frontier-Modelle, ohne die dahinterliegenden Assets offenzulegen.
Autor: Alejandro Tlaie Boria
Zusammenfassung
Pour Demain veröffentlicht ein neues Technical Brief, das eine Confidential-Computing-Einrichtung vorschlägt. Diese soll es unabhängigen Evaluierern ermöglichen, tiefgehende Sicherheitsaudits an Frontier-KI-Modellen durchzuführen, ohne die Anbieter dazu zu zwingen, ihre Modellgewichte, Architekturdetails oder Trainingsartefakte offenzulegen, die sie als Geschäftsgeheimnisse schützen. Das Brief wird begleitet von einem bereits laufenden Pre-Pilot, einem konditionalen Konsortium von Partnern, das jede für den Piloten erforderliche Rolle abdeckt, sowie einem Monte-Carlo-Kostenmodell über drei Einsatztopologien.
Das Problem: Black-Box-Evaluierung ist strukturell unzureichend
Regulierungsbehörden müssen zunehmend Sicherheitsaussagen überprüfen, die durch Black-Box-Tests nicht erreichbar sind. Ob ein Modell unterdrückte gefährliche Fähigkeiten birgt. Ob das Verweigerungsverhalten eine tatsächliche Entfernung eines gefährlichen Mechanismus widerspiegelt, oder lediglich eine oberflächliche Maskierung eines internen Mechanismus, der intakt geblieben ist. Ob eine beim Training eingeführte Hintertür irgendwo in den Gewichten verborgen liegt und auf einen seltenen Auslöser wartet.
Für diese Klassen von Aussagen benötigen Evaluierer analytischen Zugang zu den internen Signalen des Modells (Gradienten, Aktivierungen, Aufmerksamkeitsmuster), nicht nur zu dessen Outputs. Doch diesen Zugang zu gewähren hat bislang bedeutet, Assets im Milliardenwert offenzulegen, was die Anbieter berechtigterweise ablehnen. Das Ergebnis ist eine Pattsituation: Tiefere Evaluierungen finden entweder nicht statt oder werden intern durch genau den Anbieter durchgeführt, der evaluiert werden soll.
Der Vorschlag: eine De-facto-Glass-Box-Einrichtung
Das Brief schlägt eine sichere Evaluierungseinrichtung vor, die auf drei integrierten Schichten aufgebaut ist:
Ein Confidential-Computing-Substrat. Hardwarebasierte Attestierung auf H200-Klasse-GPUs mit single node containment, um die Trusted Computing Base klein zu halten. Diese Schicht erreichte 2025 allgemeine Verfügbarkeit und wird bereits produktiv für sensible Arbeitslasten eingesetzt.
Ein Evaluation Instrumentation Interface (EII). Ein standardisierter Satz typisierter Callback-Endpunkte (für Aktivierungen, Gradienten, Aufmerksamkeitsstatistiken, kontrollierte Interventionen und Architektur-Metadaten), die der Anbieter gegen sein eigenes Modell implementiert. Auditoren rufen diese Endpunkte auf, ohne jemals den Inferenzcode des Anbieters zu sehen.
Eine geregelte Evidenz-Pipeline. Quantitative Exportbudgets und abgestufte Evidenzkanäle behandeln den Prüfbericht selbst als Teil der Angriffsfläche. Evidenz wird serverseitig aus begrenzten Aggregaten gerendert, gegen ein longitudinales Register akkumuliert und kryptografisch an die gemessene Plattformidentität gebunden.
Die Einrichtung unterstützt drei Einsatztopologien: souveräner Betrieb, ein Hybridmodell (souveräne Governance auf vom Anbieter vertrautem Hyperscaler-Infrastruktur) und vom Anbieter gehostete Enklaven unter Fernaufsicht. Die Sicherheitsaussagen des Piloten sind topologieunabhängig.
Warum das wichtig ist
Für Regulierungsbehörden: ein konkreter Weg, die Sicherheitsaussagen zu überprüfen, die sie zunehmend bewerten müssen, ohne sich auf die Selbstattestierung der Anbieter zu verlassen.
Für Modellanbieter: ein stärkerer IP-Schutz als bei gegenwärtigen Audit-Vereinbarungen, mit einer belastbaren Rechtsgrundlage in allen vier Rechtsordnungen, die im Wesentlichen alle aktuellen Frontier-Anbieter beherbergen (EU, USA, Vereinigtes Königreich, China), aufgebaut auf dem Geschäftsgeheimnisschutz gemäss TRIPS-Artikel 39 und jüngsten Urteilen des Obersten Volksgerichts Chinas, die Modellgewichte als schützenswerte Geschäftsgeheimnisse anerkennen.
Für die Gastjurisdiktion: strategische Infrastruktur, die den Zugang zu Frontier-Modellen zukunftssicher macht und den Standort als Drehscheibe für KI-Prüfung positioniert, mit Mehrfachnutzungspotenzial jenseits der Evaluierung (Verteidigung, Gesundheitswesen, kritische Infrastruktur).
Aktueller Stand
Die Architektur und das Bedrohungsmodell sind fertiggestellt und veröffentlicht. Ein Pre-Pilot zur Messung des Confidential-Computing-Overheads an einem Frontier-skaligen Open-Weights-Mixture-of-Experts-Modell ist bereits im Gange; die Ergebnisse fliessen direkt in den vollständigen Piloten ein. Konditionale Zusagen wurden für jede im Piloten erforderliche Rolle gesichert: ein unabhängiger Evaluierer, ein Anbieter sicherer Infrastruktur, ein Partner für Software-Governance und Orchestrierung, ein Anbieter für Modell-Fingerprinting sowie Beobachter des EU AI Office. Gespräche mit Frontier-Laboren und weiteren AI Safety Institutes laufen.
Das Brief schlägt einen vierstufigen Beteiligungspfad vor, der mit einer Validierungsphase auf Frontier-Skala mit offenen Gewichten beginnt. Die Absicht ist, das Henne-Ei-Problem zu durchbrechen, das frühere Versuche blockiert hat: Kein Anbieter übergibt proprietäre Gewichte an eine neuartige Architektur, bevor diese auf Frontier-vergleichbarer Skala demonstriert wurde, aber keine Architektur kann auf Frontier-vergleichbarer Skala demonstriert werden, ohne Zugang zu solchen Gewichten.
Nächste Schritte
Das vollständige Brief (einschliesslich des formalen Bedrohungsmodells, der EII-Spezifikation, der empirischen Erkennungsratenanalyse, des rechtlichen Rahmens und des Monte-Carlo-Kostenmodells) ist unten verfügbar. Wir freuen uns über die Beteiligung von Regulierungsbehörden, Anbietern, Evaluierern und Infrastrukturpartnern, die daran interessiert sind, die konditionalen Zusagen des Konsortiums in einen mandatierten Piloten umzusetzen.
Das vollständige Technical Brief lesen:
