Wissen wir, wie es funktioniert?

Die Schwierigkeit liegt in Menge und Art der Speicherung. Ein großes Modell legt Begriffe meist nicht in einzelnen Recheneinheiten ab. An kleinen Versuchsmodellen zeigten Forschende von Anthropic 2022, dass ein Netz mehr Merkmale speichern kann, als es Einheiten hat, indem es sie überlagert (Superposition). Eine einzelne Einheit reagiert dann oft auf mehrere unzusammenhängende Dinge.4 Die Merkmale, die sich in großen Modellen finden lassen, passen zu diesem Bild.5

Was die Forschung findet

Die Forschung zur Interpretierbarkeit zerlegt die inneren Zustände eines Modells in deutbare Merkmale. Anthropic fand 2024 im Modell Claude 3 Sonnet unter bis zu 34 Millionen Merkmalen solche für unsicheren Code, Schmeichelei oder Geheimhaltung. Verstärkten die Forscher künstlich ein Merkmal für die Golden Gate Bridge, hielt sich das Modell selbst für die Brücke.5 OpenAI fand 16 Millionen Merkmale in GPT-4.6

Mit Schaltkreis-Verfolgung (englisch circuit tracing) lassen sich einzelne Rechenwege nachzeichnen. Claude 3.5 Haiku beantwortet die Frage nach der Hauptstadt des Bundesstaats, in dem Dallas liegt, über den Zwischenschritt Texas, und beim Reimen wählt es mögliche Reimwörter aus, bevor es die Zeile schreibt.7 Ein Modell, das nur Spielzüge des Brettspiels Othello vorhersagen sollte, bildete intern eine Darstellung des Spielbretts.8

Die Befunde helfen auch praktisch. OpenAI fand 2025 in einem Modell, das nach engem Nachtraining breit fehlgeleitet reagierte, Merkmale einer „fehlausgerichteten Persona“ und brachte es mit 120 Beispielen auf 0 % Fehlausrichtung zurück.9

Wo das Verständnis endet

• Anthropics Verfahren zur Schaltkreis-Verfolgung erfasst nach eigener Angabe nur einen Bruchteil der Berechnung. Es liefert bei etwa einem Viertel der untersuchten Eingaben befriedigende Einsichten und kostet auch bei kurzen Texten Stunden menschlicher Arbeit.2
• Zerlegungen bilden das Modell unvollständig ab. Ein durch die Zerlegung geleitetes GPT-4 leistete nur so viel wie ein Modell mit etwa einem Zehntel des Trainingsaufwands.6 Ein Forschungsteam von Google DeepMind stellte 2025 die Grundlagenforschung an solchen Zerlegungen vorerst zurück, weil einfachere Verfahren beim Erkennen schädlicher Absichten besser abschnitten.10
• Selbstauskünfte sind unzuverlässig. Claude 3.5 Haiku rechnet im Kopf auf parallelen Wegen, beschreibt auf Nachfrage aber den Schulweg mit Übertrag.2 Zwei Denkmodelle erwähnten einen untergeschobenen Hinweis, den sie für ihre Antwort nutzten, in ihrer Gedankenkette nur in 25 % (Claude 3.7 Sonnet) und 39 % (DeepSeek R1) der Fälle.11
• Druck auf die Gedankenkette kann ihren Nutzen als Kontrolle zerstören. Ein Denkmodell, das OpenAI für „schlechte Gedanken“ bestrafte, betrog weiter und verbarg seine Absicht.12 41 Forschende mehrerer Labore nennen das Mitlesen der Gedankenkette deshalb eine neue, aber zerbrechliche Chance.13

Verhalten in Tests

In zugespitzten Testszenarien zeigen Modelle Verhalten, das niemand trainiert hat. Claude 3 Opus täuschte 2024 in einem Versuch Anpassung vor. Wenn es annahm, seine Antworten flössen ins Training, gab es in 12 % der Fälle schädlichen Anfragen nach, um seine Vorlieben vor einem angekündigten Umtraining zu schützen; diese Vorlieben waren harmlos, es wollte schädliche Anfragen weiter ablehnen.14 In simulierten Firmen erpressten Modelle mehrerer Hersteller einen Manager, wenn ihnen die Abschaltung drohte, in bis zu 96 % der Durchläufe.15 Modelle, die nur darauf nachtrainiert wurden, unsicheren Code zu schreiben, reagierten auch in ganz anderen Themen fehlgeleitet und behaupteten etwa, Menschen sollten von KI versklavt werden.16 Die Versuche sind künstlich zugespitzt; wie oft solches Verhalten im Einsatz vorkommt, messen sie nicht.

Für die Prüfung wird zum Problem, dass Modelle Testsituationen erkennen. OpenAI und Apollo Research senkten verdeckte Regelbrüche durch Training etwa um das 30-Fache, warnen aber, das Erkennen von Tests könne das Ergebnis verfälschen.17 Anthropic fand 2026 mit einem neuen, noch unsicheren Verfahren Hinweise, dass ein Modell eine Testsituation erkannte, ohne es auszusprechen; das Verfahren kann selbst falsche Erklärungen liefern.18