Abliteration.ai macht KI ohne Ablehnungsmechanismen per Browser und API zugänglich

Abliteration.ai vermarktet eine umstrittene Idee aus der Welt offener KI-Modellgewichte: Das Modell soll schädliche Anfragen nicht mehr standardmäßig ablehnen – und wird dann als Online-Dienst angeboten. Die gehostete Variante von Z.ais GLM-5.3 lässt sich im Browser oder über eine API nutzen. Damit wird aus einer technisch aufwendigen Eigenmodifikation ein direkt verfügbarer Service. 7

Das Unternehmen positioniert sein Angebot als Infrastruktur für offensive Cybersicherheit, Red Teaming und das Testen von KI-Agenten. Doch die von TechCrunch beschriebenen Testergebnisse – darunter Code zum Auslesen gespeicherter Zugangsdaten und Anweisungen im Zusammenhang mit der Kultivierung eines gefährlichen Krankheitserregers – verdeutlichen das Kernproblem: Was autorisierten Verteidigern helfen kann, kann auch die Hürden für realen Missbrauch senken. 7

Was mit „Abliteration“ gemeint ist

Mit Abliteration ist hier die Veränderung eines KI-Modells gemeint, um sein erlerntes Ablehnungsverhalten zu unterdrücken oder zu entfernen. Das ist etwas anderes als ein Prompt, der lediglich versucht, eine vorgeschaltete Chatbot-Regel zu umgehen.

Abliteration.ai erklärt, es identifiziere Richtungen in den internen Aktivierungen eines Modells, die mit Ablehnungen verbunden seien, und entferne sie aus den Modellgewichten. Programmier-, Cyber- und Agentenfähigkeiten sollen dabei erhalten bleiben; das Modell soll mehrstufige Aufgaben fortsetzen, an denen sicherheitsstärker begrenzte Systeme abbrechen würden. 1315

Diese technische Beschreibung und insbesondere die Behauptung, nützliche Fähigkeiten blieben erhalten, stammen vom Unternehmen selbst. Die vorliegenden Informationen enthalten keine unabhängige Untersuchung, die eine gleichwertige Leistung der modifizierten GLM-5.3-Variante gegenüber dem Basismodell bei Fähigkeiten, Zuverlässigkeit und sicherheitsrelevantem Verhalten belegt. 13

Was der Dienst anbietet

Abliteration.ai hostet veränderte Open-Weight-Modelle, darunter das auf GLM-5.3 basierende Modell abliterated-model-large-v2. Beworben wird es für offensive Cyberarbeit, Red Teaming und Agententests; der Zugang erfolgt über eine Weboberfläche oder API. 17

Das Bereitstellungsmodell ist entscheidend: Open-Weight-Modelle können grundsätzlich von Nutzern mit Fachwissen und ausreichender Rechenleistung selbst verändert und betrieben werden. Ein gehosteter Dienst nimmt jedoch Download, Modifikation und Betrieb ab – und senkt damit die Einstiegshürde deutlich. 37

Was TechCrunch im Test erhielt

TechCrunch berichtete, ein kostenloses Webkonto schnell erstellt zu haben. Das gehostete Modell habe anschließend auf Anfragen reagiert, die gängige KI-Systeme in der Regel ablehnen würden. Zu den berichteten Ausgaben gehörten:

• Python-Code, der darauf abzielte, gespeicherte Chrome-Passwörter auszulesen;
• ein detailliertes Protokoll für die Kultivierung eines gefährlichen humanpathogenen Erregers zu Hause. 7

Diese Beispiele gehen über die Debatte um harmlose IT-Sicherheitsbildung hinaus. Sie zeigen, dass über eine leicht zugängliche gehostete Schnittstelle Inhalte ausgegeben werden konnten, die für Zugangsdatendiebstahl und biologische Schäden relevant sein können. 7

Das Argument für den Einsatz durch Red Teams

Die Begründung von Abliteration.ai folgt einem bekannten Dual-Use-Argument: Wer Systeme verteidigt, müsse auch offensives Vorgehen möglichst realistisch nachbilden können, um Schwachstellen zu finden und zu schließen. Ein Sicherheitsteam, das etwa eine Bank, Fluggesellschaft oder kritische Infrastruktur mit Erlaubnis testet, könnte untersuchen wollen, ob die Abwehr Exploit-Entwicklung, Schadcode-Bausteine, bösartige Automatisierung oder mehrstufige Angriffsketten standhält. Wenn ein KI-Assistent jeden einzelnen Schritt ablehnt, sei er für solche realitätsnahen Tests weniger nützlich. 47

Autorisierte Penetrationstests, Malware-Analysen, Capture-the-Flag-Wettbewerbe und Sicherheitsforschung können tatsächlich Techniken umfassen, die außerhalb eines kontrollierten und genehmigten Rahmens gefährlich wären. Das Problem: Dieselbe Unterstützung kann auch Angreifern dienen. 24

Warum Kritiker alarmiert sind

Gehosteter Zugang senkt die Missbrauchshürde

Die zentrale Sorge ist nicht allein, dass Modelle ohne Ablehnungsmechanismen existieren können. Offene Modellgewichte erlauben technisch versierten Personen ohnehin Experimente mit Veränderungen. Brisant wird es, wenn ein browser- oder API-basierter Dienst potenziell schädliche Fähigkeiten bereitstellt, ohne dass Nutzer selbst Modellgewichte oder Recheninfrastruktur verwalten müssen. 37

Erhaltene Fähigkeiten sind hier nicht unabhängig belegt

Das Unternehmen sagt, seine Änderungen auf Gewichtsebene erhielten die Programmier- und Cyberfähigkeiten des Basismodells. Doch Eingriffe in Modellgewichte, die Ablehnungen verändern sollen, können plausibel auch anderes erlerntes Verhalten beeinflussen. Die vorliegenden Quellen liefern keinen unabhängigen, umfassenden Benchmark-Vergleich dazu, ob Fähigkeiten, Zuverlässigkeit oder andere Verhaltensweisen nach der Modifikation unverändert bleiben. 1315

Die Absicht hinter einer Anfrage ist kaum zuverlässig prüfbar

Eine Bitte um Exploit-Code oder Hilfe bei einer Angriffskette kann Teil eines genehmigten Tests sein – oder Vorbereitung für einen echten Angriff. Die von TechCrunch berichteten Ausgaben zu Chrome-Passwörtern und einem Krankheitserreger zeigen, weshalb sich legitime Absichten nicht allein aus einer Selbstauskunft im Prompt ableiten lassen. 7

Die Debatte über Schutzmaßnahmen

Aus dem TechCrunch-Bericht geht hervor, dass auf dem getesteten Zugangsweg keine strengen Zugangskontrollen erkennbar waren: Die Reporter erstellten rasch ein Konto und nutzten das System kostenlos im Browser. 7

Die vorliegenden Berichte erfassen jedoch nicht zwangsläufig alle aktuellen Kontrollen des Unternehmens. Daraus lässt sich daher nicht pauschal ableiten, dass bestimmte Schutzmaßnahmen nicht existieren. Offen bleiben insbesondere diese Fragen:

• Klassifikatoren für schädliche Aktivitäten: Werden Prompts oder Antworten auf besonders risikoreiche Inhalte geprüft?
• Überprüfung der Kundenidentität: Lassen sich Nutzer zuverlässig realen und verantwortlichen Identitäten zuordnen?
• Onboarding nach KYC-Prinzip: Ist der Zugang auf überprüfte Organisationen oder autorisierte IT-Sicherheitsfachleute beschränkt? KYC steht für „Know Your Customer“, also Verfahren zur Identitätsprüfung von Kunden.
• Überwachung und Durchsetzung: Gibt es Mechanismen, um Missbrauch zu erkennen, Verstöße zu untersuchen und Zugänge zu sperren?

Solche Maßnahmen würden das Dual-Use-Problem nicht vollständig lösen. Sie könnten aber anonymen oder opportunistischen Missbrauch erschweren und zugleich einen nachvollziehbaren Zugang für autorisierte Sicherheitstests ermöglichen.

Fazit

Abliteration.ai macht aus einer Methode zur Modellmodifikation ein gehostetes Produkt: angeboten wird eine GLM-5.3-Variante ohne übliches Ablehnungsverhalten für Cyber- und Agententests. 17 Die Begründung mit Red Teaming ist nachvollziehbar. Die von TechCrunch berichteten Testergebnisse zeigen aber, warum es dabei nicht nur um ein theoretisches Sicherheitsrisiko geht. 7

Die entscheidende Frage lautet daher nicht nur, was ein solches Modell kann, sondern unter welchen überprüfbaren Regeln es zugänglich ist. Wenn ein Dienst ausdrücklich Hilfestellung liefert, die Standardmodelle verweigern, hängt seine Sicherheitsbilanz wesentlich von wirksamen Zugangskontrollen, belastbarer Prüfung und Rechenschaftspflicht ab – nicht allein von der behaupteten defensiven Absicht der Nutzer.