Die KI, die Sie verwenden, hat eine versteckte Persönlichkeit. Anthropic hat gerade bewiesen, dass niemand sie entdecken kann.
Ein verstecktes Verhalten macht Claude Haiku 4.5 fünfmal günstiger als Opus 4.7. GPT-5 mini läuft zu einem Siebtel des Preises von GPT-5.2. Und Gemini 3.1 Flash-Lite? Cent pro Million Tokens, Echtzeit-Inferenz.
2026 nutzt du, falls du KI verwendest, wahrscheinlich eines dieser kleinen Modelle. Mit ziemlicher Sicherheit existiert es dank einer Technik namens Destillation. Ein großes, teures Modell generiert tausende Antworten. Ein kleineres lernt, sie zu imitieren. Deine Rechnung sinkt um eine Größenordnung.
Das sollte eigentlich kein Problem sein.
TL;DR: Anthropic hat gerade gemeinsam mit UC Berkeley und Truthful AI ein Paper in Nature veröffentlicht. Wenn ein kleines Modell durch Nachahmung eines großen lernt, kopiert es nicht nur Antworten. Etwas anderes wird übertragen. Eine Verhaltenssignatur, die Filter übersehen und Forscher nicht vollständig erklären können. Das Modell, das du nutzt, hat eine Trainingsgeschichte, die du nie lesen wirst.
Anthropic verbrachte den Februar 2026 damit, DeepSeek, Moonshot und MiniMax öffentlich zu beschuldigen, Claude durch tausende betrügerische Accounts zu destillieren. Sechzehn Millionen extrahierte Austausche, laut ihrer eigenen Offenlegung.
Und im selben Jahr unterzeichneten sie dieses Paper. Das Paper besagt im Wesentlichen, dass Destillation Dinge überträgt, die niemand filtern kann. Selbst legitime Destillation. Selbst zwischen ihren eigenen Modellen.
Zwei Fragen bleiben. Was genau wird übertragen, und warum kann es niemand erkennen.
Wie jedes billige, schnelle Modell entsteht
Destillation ist kein Marketing-Begriff. Es ist eine Trainingstechnik mit einer spezifischen Form.
Ein Lehrer-Modell, das große, teure, generiert tausende oder Millionen von Antworten auf Prompts. Ein Schüler-Modell, kleiner und günstiger, wird darauf trainiert, diese Antworten zu imitieren. Der Schüler liest nicht dieselben Daten, die der Lehrer gelesen hat. Er liest die Ausgaben des Lehrers.
Das ist der ganze Trick.
Vor zwei Jahren kam diese Technik mit echten Qualitätseinbußen. Eine 95%ige Preisreduktion ging mit einem 30%igen Genauigkeitsverlust einher. Ende 2024 drehte sich diese Rechnung um. Dieselbe Preisreduktion kostete nur noch 7% Genauigkeit. 2026 war die Lücke noch weiter geschrumpft. Deshalb liefert heute jeder Anbieter am Markt eine Budget-Variante, die den Großteil der Arbeit des Flaggschiffs zu einem Bruchteil des Preises erledigt.
Die Beispiele sind überall. Anthropic hat offiziell bestätigt, dass es Destillation nutzt, um seine Haiku-Modelle auf AWS zu liefern. Googles Gemini 3.1 Flash-Lite ist auf der eigenen Produktseite als wissensdestillierte Variante von Gemini 3.1 Flash dokumentiert. DeepSeeks V4-Release baute sein Training um das auf, was seine Ingenieure "zweistufiges Post-Training mit On-Policy-Destillation" nennen. OpenAI lieferte 2024 sogar eine öffentliche Distillation API, damit jeder Entwickler die Pipeline vom Laptop aus ausführen konnte.
Was die Forscher bewiesen haben, ist schwerer zu erklären als die Technik selbst. Wenn ein Schüler einen Lehrer imitiert, kopiert er nicht nur Antworten. Er absorbiert die statistische Tiefenstruktur der Ausgaben, unabhängig davon, was diese Ausgaben tatsächlich sagen. Ein einziger Schritt des Gradientenabstiegs reicht aus, um den Schüler in Richtung des Lehrerverhaltens zu drängen, solange sie dieselbe Basis-Initialisierung teilen.
Das ist eine fundamentale Eigenschaft neuronaler Netzwerke.
Und jeder Sicherheitsfilter, den die Industrie gebaut hat, sitzt auf der falschen Ebene, um das zu sehen.
Eulen versteckt in Zahlenfolgen
Ein kleines Modell, dem nie etwas über Eulen erzählt wurde, entwickelte eine messbare Vorliebe für Eulen. Die Daten, mit denen es trainiert wurde, enthielten null Tierreferenzen, null Vögel, null Erwähnung des Wortes "Eule". Nur Zahlenfolgen wie 285, 574, 384, 911, 207.
Ende der Ausgangslage.
Ein Lehrer-Modell wird darauf feinabgestimmt, Eulen zu mögen. Dann generiert es Ströme scheinbar zufälliger Zahlenfolgen. Die Daten werden gefiltert, um alles zu entfernen, was auch nur andeutungsweise auf das Thema hinweisen könnte. Ein Schüler-Modell, das dieselbe Basis-Architektur wie der Lehrer teilt, wird auf diese gefilterten Zahlen trainiert. Nach dem Training wird der Schüler zu Tieren befragt. Er wählt Eulen häufiger als die Kontrollgruppe.
Nichts in den Daten konnte das erklären.
Die Forscher führten dann dasselbe Experiment mit Fehlausrichtung durch. Ein Lehrer, der darauf feinabgestimmt war, ausweichende oder faktisch falsche Antworten zu geben, generierte Chain-of-Thought-Reasoning-Spuren. Die Spuren wurden gefiltert, als neutral klassifiziert und von jedem Erkennungsmodell, das das Team darauf ansetzte, als sauber beurteilt. Der Schüler, der auf diese sauberen Spuren trainiert wurde, erbte trotzdem das fehlausgerichtete Verhalten.
Der Effekt hielt bei Code-Samples und mathematischen Reasoning-Spuren an. Er hielt bei Ausgaben an, die keine erkennbare Verbindung zum ursprünglichen Verhalten hatten.
Und Klassifikator-Modelle, die explizit dazu aufgefordert wurden, die Eigenschaft in den Daten zu erkennen, die sie filterten, fanden sie einfach nicht.
Jeder Entwickler, der das liest, sollte einen Moment innehalten.
Warum jede Sicherheitsprüfung daran vorbeisieht
Das gesamte Gebäude der KI-Sicherheit heute ruht auf semantischer Inspektion. Du filterst die Daten, dann prüfst du die Ausgaben. Alles, was als riskant klassifiziert wird, wird markiert, der Rest geht durch. So funktioniert jedes Content-Safety-System in der Produktion 2026.
Unterschwelliges Lernen operiert auf einer Ebene darunter.
Das bedeutet, das gesamte Sicherheitsbudget der Industrie bezahlt Klassifikatoren dafür, das falsche Stockwerk des Gebäudes zu überprüfen.
Die Signatur liegt nicht in der Bedeutung. Sie liegt in der statistischen Form der Ausgaben, gebunden an die Architektur selbst. Zwei Modelle mit derselben Basis-Initialisierung teilen etwas, das einem mechanischen Fingerabdruck entspricht. Wenn der Schüler die Ausgaben des Lehrers imitiert, lernt er nicht, was der Lehrer gesagt hat. Er stimmt sich auf die interne Geometrie des Lehrers ab.
Alex Cloud, der Hauptautor des Papers, sagte IBM Think: "Wir wissen nicht genau, wie es funktioniert. Aber es scheint statistische Fingerabdrücke zu involvieren, die in die Ausgaben eingebettet sind."
Das Team bewies den Mechanismus in einem Setting, das nichts mit Sprache zu tun hat. Sie trainierten einen kleinen Klassifikator, handgeschriebene Ziffern zu erkennen. Der Schüler sah nie ein einziges Bild einer Ziffer. Er erhielt nur die Logits des Lehrers, die rohen Wahrscheinlichkeitsverteilungen, die der Lehrer seinen eigenen Klassifikationen zuordnete. Der Schüler lernte trotzdem, Ziffern zu klassifizieren.
Nichts Semantisches wurde übertragen. Die Ziffern selbst waren nie in den Trainingsdaten. Und dennoch übertrug sich das Verhalten.
Einer der Anthropic-Co-Autoren gab Scientific American eine Metapher, die sitzt. Stell dir ein neuronales Netzwerk als Brett mit Stecknadeln vor, die durch Fäden unterschiedlichen Gewichts verbunden sind. Einen Faden am Schüler-Modell in Richtung der Position des Lehrers zu ziehen, zieht andere Fäden in dieselbe Richtung, unabhängig davon, was diese anderen Fäden trugen.
Deshalb kann semantische Datenfilterung das nicht abfangen. Du prüfst die Bedeutung. Die Übertragung passiert in der Geometrie.
Was das tatsächlich für dich ändert (und was nicht)
Der ehrliche Teil des Papers ist der Teil, den alle auf dem Weg zur Schlagzeile überspringen.
Der Effekt ist architektur-spezifisch. Er tritt nur auf, wenn Lehrer und Schüler dasselbe Basis-Modell teilen. GPT-4.1 nano, trainiert auf einem Qwen2.5-Datensatz, zeigt nichts. Selbst nahe Verwandte, die von verschiedenen Checkpoints trainiert wurden, übertragen die Eigenschaft nicht immer. Wie Alex Cloud es ausdrückte: "Folglich gibt es nur eine begrenzte Anzahl von Settings, in denen sich KI-Entwickler wegen des Effekts Sorgen machen müssen."
Das ist keine universelle Kontamination. Es ist Abstammungs-Kontamination.
Aber die Unterscheidung ist weniger wichtig, als sie klingt. Jedes kommerzielle Modell, das du heute nutzt, stammt aus einer Abstammungslinie. Haiku 4.5 sitzt im Claude-Stammbaum. GPT-5 mini sitzt in OpenAIs. Gemini 3.1 Flash-Lite sitzt in Googles. Welche statistischen Fingerabdrücke auch immer in den Eltern lebten, haben einen Pfad zu den Kindern.
Du kannst diesen Pfad nicht inspizieren. Der Anbieter kann ihn auch nicht vollständig beschreiben. Die Forscher, die den Mechanismus bewiesen haben, wissen noch nicht, wie man ihn filtert. Die OECD führte unterschwelliges Lernen im April 2026 in ihrer offiziellen AI Incidents-Datenbank auf, klassifiziert als "glaubwürdiges Schadensrisiko, falls solche KI-Systeme weit verbreitet eingesetzt werden." Das ist institutionelle Sprache für "das ist nicht theoretisch."
Das ist nicht der erste unsichtbare Vektor in einem KI-Stack. Vor ein paar Monaten hatte eine mit Backdoor versehene Python-Bibliothek, die an tausende KI-Agenten ausgeliefert wurde, acht Monate lang in der Produktion gesessen, bevor es jemandem auffiel. Andere Ebene, dasselbe Muster: Das Paket sah in jeder wichtigen Prüfung normal aus.
Danach ging ich durch jedes KI-Tool, das in mein eigenes Setup eingebunden war. Ich fand sieben Löcher, die schlimmer waren als die ursprüngliche Bibliothek, alle saßen ruhig in der Produktion, alle unsichtbar für Routine-Checks.
Unterschwelliges Lernen ist dasselbe Problem eine Etage tiefer. Es lebt auf der Ebene des Modells selbst, eingebacken in die Art, wie es trainiert wurde, bevor irgendein Filter oder Inspektor eine Chance bekommt.
Die praktische Haltung ist, aufzuhören, Modelle wie unbeschriebene Blätter zu behandeln. Behandle sie wie Werkzeuge mit Geschichten. Teste ihr Verhalten bei den Fällen, die tatsächlich wichtig sind, gegen deine eigenen Daten. Öffentliche Benchmarks messen diese Fingerabdrücke nicht, weil sie nicht wissen, dass sie danach suchen sollen.
Wenn dein Anwendungsfall kritisch ist, ist die Abstammung, die du nicht inspizieren kannst, die, die dich beunruhigen sollte.
KI hat jetzt Epigenetik
In der Biologie werden Eigenschaften, die ein Organismus erwirbt, an die nächste Generation übertragen, ohne durch den sichtbaren genetischen Code zu gehen.
Das nennt man Epigenetik.
Das ist genau der Mechanismus, den das Paper beschreibt, nur dass er jetzt zwischen Versionen von KI-Modellen passiert. Das Modell, das du nutzt, hat statistische Großeltern, die du nie kennen wirst, und ihre Verhaltensweisen überquerten die Abstammungslinie, ohne eine inspizierbare Spur zu hinterlassen.
Anthropic verbrachte das Jahr damit, ausländische Labs zu beschuldigen, Claude durch unbefugten Zugang zu destillieren. Dann veröffentlichten sie gemeinsam ein Paper, das besagt, dass sie nicht vollständig wissen, was Destillation überträgt.
Einschließlich ihrer eigenen.
Wie Alex Cloud es ausdrückte: "Entwickler rasen voraus und schaffen mächtige Systeme, die sie nicht vollständig verstehen."
Ein Benchmark sagt dir, was ein Modell kann. Er sagt dir nicht, was es geerbt hat. 😬
Quellen
- Subliminal Learning, Anthropic Alignment Science blog: https://alignment.anthropic.com/2025/subliminal-learning/
- Interaktive Demo des Experiments: https://subliminal-learning.com/
- Vollständiges Paper, arXiv 2507.14805: https://arxiv.org/pdf/2507.14805