KI Rückwärts: Forscher lesen Prompts aus Antworten aus

Wissenschaftler decken eine verblüffende Schwachstelle bei KI-Modellen auf. Der reine Ausgabetext verrät die genaue Eingabe.

Andreas Becker13.08.26 GPT-Images-2.0

Kurzfassung Quellen

Forscher haben eine neue Methode entwickelt, um KI-Prompts allein aus der generierten Textantwort zu rekonstruieren.
Das sogenannte PTP-Verfahren trainiert ein Sprachmodell darauf, Antworten rückwärts zu generieren und so die Eingabe zu erraten.
Der Black-Box-Ansatz funktioniert ohne tiefen Zugriff auf die Technik und lässt sich auch auf fremde Modelle wie GPT-4o anwenden.
Dies birgt große Sicherheitsrisiken, da sich geschützte System-Anweisungen kommerzieller Anbieter von außen auslesen lassen.

Forscher haben einen Weg gefunden, die Eingaben an ein Sprachmodell allein anhand der Antworten zu rekonstruieren. Der Ansatz funktioniert ohne Zugang zum Code der KI und umgeht bestehende Hürden beim Auslesen kommerzieller Modelle.

Wörter rückwärts vorhersagen

Klassische Sprachmodelle generieren Text, indem sie das jeweils wahrscheinlichste nächste Wort berechnen. Dieses Prinzip ist als Next-Token Prediction bekannt.

Forscher des IIT Bombay und von Adobe Research drehen diese Logik nun um. Mit der sogenannten »Previous-Token Prediction« (PTP) trainieren sie ein zweites Sprachmodell darauf, den Text rückwärts aufzubauen. Das Modell berechnet ausgehend von der Antwort, welches Wort davor gestanden haben muss.

So entsteht ein inverses Modell, das den ursprünglichen Prompt ermittelt. Die Forscher verzichten dabei auf externe Trainingsdaten. Sie trainieren ihr Modell komplett von Grund auf mit synthetischen Texten, die sie zuvor aus der Ziel-KI ausgelesen haben.

Quelle: https://arxiv.org/html/2607.29378

Auslesen ohne Systemzugriff

In der Vergangenheit war die Rekonstruktion von Prompts technisch deutlich aufwendiger. Bisherige Methoden benötigten entweder umfangreiche Trainingsdaten oder tiefen Zugriff auf die internen Wahrscheinlichkeiten (Logits) der KI.

Das neue PTP-Verfahren arbeitet hingegen als Black-Box-Ansatz. Die Forscher benötigen weder Einblicke in die Architektur noch in die Gewichte des Zielmodells. Eine einzige Textantwort reicht aus, um den zugrunde liegenden Prompt wiederherzustellen.

In Tests mit Modellen wie Qwen und LLaMA-2 erfasste das inverse Modell nicht nur den groben Sinngehalt. Es stellte die ursprünglichen Eingaben teilweise auf den einzelnen Token genau wieder her.

Probleme und Gefahren

Für Anbieter kommerzieller Sprachmodelle birgt das Verfahren handfeste Risiken. Versteckte System-Prompts, die das Verhalten und die Einschränkungen einer KI definieren, lassen sich so systematisch auslesen.

Gleichzeitig bietet der Ansatz neue Kontrollmöglichkeiten. Für den einfachen Nutzer ließe sich auf diese Weise im Nachhinein nachvollziehen, ob eine Textausgabe durch verbotene oder problematische Inhalte im Prompt provoziert wurde.