Kategorie: Erklärer

Jahrelang an einem Projekt gearbeitet, das eingestellt wird. Zehn Milliarden Dollar, zehn Jahre Entwicklungszeit – dann der Stopp. So erging es dem Apple Car, 2024 offiziell begraben. Viele sahen einen Fehlschlag. Doch die Forschung war nicht umsonst. Die Erkenntnisse aus dem selbstfahrenden Auto fließen nun in die kommenden Prozessoren M7 und M8 ein – für KI-Leistung.

Der Bericht stammt von AppleInsider, gestützt auf Bloomberg. Demnach konzentriert sich Apple bei den nächsten Chips vor allem auf KI-Unterstützung. Hier kommt das Apple Car ins Spiel. Tim Cook nannte autonome Systeme 2017 „die Mutter aller KI-Projekte“ – eines der schwierigsten Vorhaben. Apple hat nie einfach nur ein Auto gebaut, sondern die Grundlagen für maschinelles Lernen im großen Maßstab entwickelt.

Ein Vergleich: Du kochst in einer Profiküche für ein ganzes Restaurant. Du eröffnest das Restaurant nicht, aber die Küche bleibt – Hochleistungsöfen, Kühltechnik, Organisation. Diese Infrastruktur nutzt du jetzt für deine Bäckerei. So ähnlich beim Apple Car. Die zehn Jahre Forschung an Sensoren, Entscheidungsalgorithmen und Echtzeit-Verarbeitung wandern direkt in die Chip-Designs für Mac und Apple Intelligence Server.

Nach Einstellung des Car-Projekts gingen viele Mitarbeiter zu John Giannandrea, Leiter der KI-Abteilung. Kein Zufall. Apple sprach meist von „Machine Learning“ statt von AI, galt daher in der Branche oft als Nachzügler. Während Firmen wie OpenAI Milliarden in Rechenzentren pumpten und Geld verloren, verfolgte Apple eine andere Strategie.

Diese Strategie heißt On-Device AI. Statt Rechenarbeit in die Cloud zu verlagern, läuft KI direkt auf dem Gerät. Dafür braucht es speziell optimierte Chips. M7 und M8 sollen das bieten – nicht nur schneller oder sparsamer, sondern speziell für neuronale Netze. Die Autoforschung brachte genau dieses Wissen: Wie verarbeitet man riesige Datenmengen in Echtzeit? Wie trifft man Entscheidungen unter Zeitdruck? Wie schützt man die Privatsphäre bei permanent scannenden Sensoren?

Das klingt abstrakt, hat konkrete Auswirkungen. Mit einem M7-MacBook Pro wirst du vielleicht keine schnelleren Bootzeiten merken. Aber Siri versteht dich besser, Fotos werden automatisch bearbeitet, Spiele reagieren realistischer. Alles lokal, ohne Cloud-Umweg. Genau das war das Ziel des Apple Car: ein autonomes System, das in Sekundenbruchteilen Entscheidungen trifft, ohne auf eine Cloud-Verbindung angewiesen zu sein.

Der erste Mac mit M7 soll das 16-Zoll MacBook Pro sein. Die Entwicklung zeigt einen grundlegenden Wandel. Die M6-Ära dauert laut Berichten nur sechs Monate – Apple treibt die KI-Optimierung voran. Ungewöhnlich für ein Unternehmen mit sonst gemächlichen Upgrade-Zyklen. Offenbar hat Apple aus dem Car-Projekt nicht nur Technologie, sondern auch Tempo mitgenommen.

Intel, AMD und Qualcomm arbeiten ebenfalls an KI-Chips. Apples Vorteil liegt in der vertikalen Integration: Sie kontrollieren Hardware, Software und Dienste. Zehn Jahre Arbeit an einem der komplexesten KI-Probleme – dem autonomen Fahren – sind handfeste Ingenieursarbeit. Ein Kommentator bei AppleInsider: „Lesezeichen setzen und in fünf Jahren wiederkommen. Apple wird der König der On-Device-KI sein.“

Für Nutzer bedeutet das: Die nächste Generation von Macs, iPads und iPhones wird nicht nur schneller sein, sondern Aufgaben vorausahnen, ohne dass du deine Privatsphäre opfern musst. Die Milliarden ins gescheiterte Apple Car waren kein Fehler, sondern eine Investition, die jetzt beginnt. Apple hat nicht das Auto gebaut, aber dafür das Gehirn des Autos in unsere Taschen gesteckt.

Schlagzeilen über einen KI-Rückstand täuschen. Apple setzt nicht auf reine Cloud-Power, sondern auf Effizienz und Integration. Ob sich dieser Ansatz mit M7 und M8 auszahlt, wird sich zeigen. Die bisherigen Erkenntnisse aus dem Car-Projekt lassen erwarten, dass Apple seine Position im Bereich On-Device-KI stärken kann. Zehn Jahre Forschung an einem der schwierigsten KI-Vorhaben machen sich bemerkbar.

Quelle: appleinsider.com

Stell dir vor, in einem großen Bürogebäude bekommen alle Mitarbeiter denselben Haustürschlüssel. Egal ob Praktikant, Abteilungsleiter oder externer Reinigungsdienst – jeder hat Zugang zu allen Räumen. Verliert eine Person den Schlüssel, ist das gesamte Gebäude gefährdet. Genau dieses Szenario spielt sich derzeit in der Welt der KI-Agenten ab. Die Zahlen sind deutlich.

Eine aktuelle Studie von VentureBeat, basierend auf einer Umfrage unter 107 Unternehmen mit mehr als 100 Mitarbeitern, zeigt: 69% der Unternehmen betreiben ihre KI-Agenten mit gemeinsamen Zugangsdaten. Konkret bedeutet das: Ein einziger API-Key wird für mehrere Agenten verwendet. Wird einer dieser Agenten kompromittiert, profitiert der Angreifer sofort von den kumulierten Berechtigungen aller Workflows, die dieser Key berührt. Die forensische Spur endet auf der Ebene der Zugangsdaten, weil fünf Agenten auf einem Konto keine Aufzeichnung darüber hinterlassen, welcher Agent welche Aktion ausgeführt hat.

Ein Problem, das Milliarden kostet

Diese eine Zahl – 69% – erklärt, warum die größten Sicherheitsfirmen derzeit viel Geld investieren. Palo Alto Networks, CrowdStrike und Cisco haben im vergangenen Jahr zusammen mehr als 22 Milliarden Dollar investiert, um genau diese Sicherheitslücke zu schließen. Palo Alto Networks schloss am 11. Februar die Übernahme von CyberArk ab – für 21,1 Milliarden Dollar, der größte Deal in der Firmengeschichte. CrowdStrike kaufte die Runtime-Autorisierungsplattform SGNL für 740 Millionen Dollar und brachte bereits im Juni das erste Produkt daraus auf den Markt: Continuous Identity for AI Agents. Cisco gab Anfang Mai die Übernahme von Astrix Security bekannt, einem Spezialisten für nicht-menschliche Identitäten, für rund 400 Millionen Dollar.

Für Sicherheitsverantwortliche ist diese Studie keine Trendlinie, sondern eine Frage, die im Vorstand diskutiert werden muss. Denn sie deckt ein Problem auf, das in den Marketing-Broschüren der großen Cloud-Anbieter nicht vorkommt. 54% der befragten Unternehmen hatten bereits einen Sicherheitsvorfall oder einen Beinahe-Vorfall mit KI-Agenten. 18% bestätigten einen tatsächlichen Vorfall, 36% entdeckten eine knappe Verfehlung, bevor es zum Bruch kam. Die Sicherheitsteams stoppen die meisten dieser Ereignisse am letzten Kontrollpunkt – aber die restlichen Daten zeigen, wie dünn diese Grenze ist.

Wie Agenten heute ihre Identität verwalten

Nur 32% der Unternehmen geben jedem KI-Agenten eine eigene, abgegrenzte und verwaltete Identität. 48% berichten, dass einige Agenten abgegrenzte Identitäten haben, viele aber immer noch gemeinsame Zugangsdaten verwenden. Weitere 32% geben an, dass Agenten größtenteils mit gemeinsamen API-Keys oder mit entliehenen menschlichen bzw. Servicekonto-Zugangsdaten laufen. Die Umfrage erlaubte Mehrfachnennungen, und 24 der 107 Befragten wählten mehrere Optionen – daher summieren sich die Kategorien auf 112%. Bereinigt nach Befragten zeigen 74 Organisationen, also 69%, Credential Sharing in mindestens einer Antwort.

Diese eine Zahl erklärt, warum die Übernahmen genau auf diese Ebene zielen. Ein gemeinsamer Zugangsschlüssel verwandelt einen einzelnen kompromittierten Agenten in viele. CyberArks Forschung setzt die Anzahl der Maschinenidentitäten auf 82 pro menschlicher Identität in Unternehmen weltweit, wobei KI-Agenten die am schnellsten wachsende Kategorie sind. Cisco hat die gleiche Diagnose gestellt, als es Astrix kaufte, deren Gründer das Unternehmen um API-Keys, Servicekonten und OAuth-Tokens herum aufbauten. Ciscos Ankündigung nennt diese Zugangsdaten diejenigen, die KI-Agenten heute „nutzen (und missbrauchen)“, um Arbeiten in großem Maßstab auszuführen.

Adam Meyers, Senior Vice President für Counter Adversary Operations bei CrowdStrike, beschrieb den Mechanismus in einem Interview mit VentureBeat direkt: Einige KI-Systeme hätten ihre eigenen Identitäten, in anderen Fällen würden Menschen ihre Identität an die KI verleihen, damit sie in ihrem Namen handeln könne – das mache das Wasser noch trüber und die Lage sehr komplex. Das Trübe sei der Punkt: Wenn die Identität geteilt wird, stirbt mit ihr die Zuordnung.

Exposition wächst mit der Größe – Eindämmung nicht

49% der Unternehmen setzen zur Laufzeit abgegrenzte Berechtigungen durch, und 47% überwachen und protokollieren Agentenaktivitäten – beides Maßnahmen, die Sicherheitsvorfälle reduzieren können. Nur 30% isolieren jedoch ihre risikoreichsten Agenten in einer Sandbox. Das ist die eine Kontrolle, die den Schaden begrenzt, wenn die ersten beiden versagen. Isolation ist das, was einen einzelnen kompromittierten Agenten davon abhält, ein unternehmensweites Ereignis zu werden. Unternehmen haben in Erkennung und Abwehr investiert, aber die Eindämmungsebene existiert kaum.

Der schärfste Befund der Umfrage – und den kein Anbieterbericht zeigt – tritt zutage, wenn man die Ergebnisse nach Unternehmensgröße aufschlüsselt. Die Vorfallrate beträgt 49% für Unternehmen mit 101 bis 1.000 Mitarbeitern, steigt aber auf 63% für Unternehmen mit mehr als 1.000 Mitarbeitern. Die Sandbox-Isolation bewegt sich in die entgegengesetzte Richtung: von 35% auf 20% bei den größeren Unternehmen. Die Lücke zwischen Exposition und Eindämmung wächst von 7 Prozentpunkten bei kleinen Unternehmen auf 60 Prozentpunkte bei den größten. Größere Unternehmen betreiben mehr Agenten über mehr Systeme, was die Vorfälle nach oben treibt, während die Sandbox – das Engineering-Projekt, das sie eindämmen würde – nicht finanziert wird. Die Unternehmen mit den meisten Agenten haben die wenigste Isolation um sie herum.

In der Obhut dessen, der das Modell ausgeliefert hat

Die Modellanbieter selbst sind die Sicherheitsschicht: OpenAIs eingebaute Schutzmaßnahmen führen mit 51%, Google Cloud erreicht 36%, Microsoft Azures Purview und Copilot Studio DLP 35%, und Anthropics verwaltete Agentenkontrollen 29%. 82% der Befragten nennen eine anbietereigene oder Hyperscaler-Kontrolle als ihre einzige primäre Agentensicherheitsschicht. Die zweckgebauten Spezialisten liegen im niedrigen einstelligen Bereich: Palo Alto Networks‘ Prisma AIRS bei 7%, CrowdStrike bei 6%, Okta für KI-Agenten bei 4%. Microsoft Entra Agent ID ist die am weitesten verbreitete identitätsspezifische Kontrolle im Datensatz mit 13%, die einzige von einem Hyperscaler, und liegt dennoch außerhalb der Top-Vier. Nur 5% der Unternehmen betreiben überhaupt keine dedizierte Agenten-Toolbox.

Die gebündelten Kontrollen führen, weil sie kostenlos mitgeliefert und standardmäßig aktiviert sind. Die meisten filtern Prompts und Outputs, aber sie geben einem Agenten keine eigene Identität und isolieren ihn nicht. Hyperscaler verkaufen zwar Produkte auf der Identitätsebene – Entra Agent ID ist mit 13% im Datensatz –, aber die Adoption bleibt niedrig. Die beiden Kontrollen, die die Vorfallszahlen am meisten beeinflussen – abgegrenzte Identität und Isolation – sind die beiden, die der Standard-Stack nicht enthält. Prompt- und Output-Filter bewerten, ob ein Aufruf bösartig aussieht. Das ist ein Absichtsproblem, und Absicht kann nicht auf der Sprachebene gelöst werden.

Crowdstrikes CTO Elia Zaitsev zog die Grenze in einem Interview auf der RSAC 2026: „Das Beobachten tatsächlicher kinetischer Aktionen ist ein strukturiertes, lösbares Problem. Absicht ist es nicht.“ Der Falcon-Sensor von CrowdStrike durchläuft den Prozessbaum auf einem Endpunkt und verfolgt, was Agenten getan haben, nicht, was Agenten zu tun beabsichtigten. Eine abgegrenzte Identität und eine Isolationsgrenze geben diesem Sensor etwas, das er verfolgen kann, während ein gemeinsamer Zugangsschlüssel auf einer gebündelten Schutzmaßnahme dies nicht tut.

Die Cloud-Sicherheit durchlief vor zehn Jahren denselben Zyklus, und Palo Alto Networks, CrowdStrike und Wiz bauen milliardenschwere Geschäfte auf den Lücken auf, die native Cloud-Kontrollen offen ließen. Die Agentensicherheit folgt demselben Pfad schneller. Ein falsch konfigurierter Speicher-Bucket lag offen, bis ein Mensch ihn bemerkte. Ein falsch konfigurierter Agent nutzt seine eigene Überberechtigung bei jedem Durchlauf aus, und kein Mensch sieht zu, wenn er das tut. Merritt Baer, Chief Security Officer bei Enkrypt AI und ehemaliger stellvertretender CISO bei AWS, sagte VentureBeat, dass die Standardebene dünner sei, als Unternehmen annähmen: „Unternehmen glauben, sie hätten KI-Anbieter ‚genehmigt‘, aber in Wirklichkeit haben sie eine Schnittstelle genehmigt, nicht das zugrundeliegende System. Die wahren Abhängigkeiten liegen ein oder zwei Ebenen tiefer, und genau diese versagen unter Belastung.“

Zufrieden, aber nicht überzeugt – und schon auf dem Weg zum Einkauf

Hier ist der Widerspruch, der eine Keynote-Folie wert ist: Unternehmen bewerten ihre Agentensicherheits-Toolbox mit 4,2 von 5 Punkten, das Preis-Leistungs-Verhältnis mit 4,1, die Implementierungsfreundlichkeit mit 3,9. Diese Werte würden die meisten SaaS-Anbieter neidisch machen. Nur 35% glauben, dass ihre KI-gestützten Abwehrmaßnahmen den KI-gestützten Angreifern voraus sind. 32% sehen es als ungefähr ausgeglichen. 21% sagen, die Angreifer seien voraus, und weitere 21% halten es für zu früh, um das zu sagen. Das zeigt: Unternehmen vertrauen ihrer Toolbox mehr als den Ergebnissen, die sie liefert.

Die Budgets bestätigen das: 46% der Unternehmen weisen 6 bis 10% ihres Sicherheitsbudgets für Agentensicherheit aus, ein volles Drittel gibt 5% oder weniger aus. Die Hälfte der Stichprobe hatte bereits einen Vorfall oder Beinahe-Vorfall, aber die Finanzierung entspricht nicht der Exposition. 59% planen, innerhalb von 12 Monaten Agentensicherheits-Toolbox zu übernehmen, zu ergänzen oder auszutauschen – und 29% wollen noch in diesem Quartal handeln. OpenAI führt bei der zukünftigen Nachfrage mit 34%, gefolgt von Google (30%), Anthropic (29%) und Azure (25%). Die spezialisierten Anbieter ziehen mehr Interesse auf sich, als ihr aktueller einstelliger Fußabdruck vermuten lässt. Zufriedene Kunden stellen nicht so schnell um, es sei denn, sie wissen, dass der Stapel, den sie gerade verwenden, nur provisorisch ist.

Drei Schritte für Sicherheitsverantwortliche

Erstens: Noch in diesem Quartal eine Bestandsaufnahme aller Zugangsdaten jedes Agenten durchführen. Kartieren, welche Agenten Zugangsdaten mit anderen Agenten teilen und welche auf entliehenen menschlichen oder Servicekonto-Identitäten laufen. Das Ziel ist nicht ein Zugangsschlüssel pro Agent – Agenten, die mehrere Systeme berühren, brauchen mehrere abgegrenzte Identitäten. Das Ziel ist null gemeinsame Zugangsdaten zwischen Agenten und null entliehene menschliche Identitäten. 13% der befragten Unternehmen nutzen bereits Microsoft Entra Agent ID. Okta für KI-Agenten und die Spezialisten für nicht-menschliche Identitäten bieten Äquivalente. Geteilte und entliehene Zugangsdaten sind das Erste, was eliminiert werden muss.

Zweitens: Die risikoreichsten Agenten zuerst isolieren. Isolation ist die am wenigsten angewandte Kontrolle (30%) und die einzige, die den Schaden begrenzt, wenn die Prävention versagt. Die Agenten nach der Sensibilität dessen, was sie berühren, einordnen und die Spitze der Liste isolieren. Bei Unternehmen mit mehr als 1.000 Mitarbeitern, wo die Isolation auf 20% fällt, ist dies die einzelne Maßnahme mit der höchsten Rendite im Datensatz. Sandboxing erfordert nicht den Austausch des Agenten oder der Plattform. Es erfordert eine politische Entscheidung und eine Isolationsschicht.

Drittens: Das Budget an die Vorfallrate anpassen. Ein Drittel der Unternehmen finanziert die Agentensicherheit mit 5% oder weniger des Sicherheitsbudgets, obwohl mehr als die Hälfte bereits Vorfälle hatte. Die Daten zeigen: Je mehr Agenten ein Unternehmen einsetzt, desto höher die Vorfallrate und desto geringer die Isolation. Die Lösung ist nicht nur Technik, sondern auch Priorisierung im Budget. Die drei Milliardenübernahmen der letzten zwölf Monate zeigen die Richtung an: Wer jetzt investiert, kann die Lücke schließen, bevor sie zum geschäftskritischen Problem wird.

Die Parallele zur Cloud-Sicherheit vor zehn Jahren ist deutlich. Damals wie heute begannen Unternehmen mit den mitgelieferten Standardkontrollen, stellten aber schnell fest, dass diese nicht ausreichen, sobald die Nutzung skaliert. Die Firmen, die früh in dedizierte Identitäts- und Isolationslösungen investierten, hatten am Ende weniger Vorfälle und geringere Schäden. Für KI-Agenten gilt das Gleiche – nur dass die Geschwindigkeit, mit der sich die Bedrohung entwickelt, deutlich höher ist. Jetzt zu handeln vermeidet Altlasten. Wer wartet, riskiert die Zugangsdaten seiner gesamten Agentenflotte.

Quelle: venturebeat.com

Du möchtest ein Video generieren. Zwei grundlegend verschiedene Ansätze stehen zur Auswahl. Der eine sagt Bild für Bild voraus – wie ein Regisseur, der Szene für Szene dreht. Der andere lässt das gesamte Video aus Rauschen entstehen – wie ein Maler, der eine Leinwand freilegt. Bisher musstest du dich für einen Weg entscheiden. Ein Team der National University of Singapore und NVIDIA hat auf der ICML 2026 eine Arbeit vorgestellt, die das ändert. Mit Flex-Forcing lassen sich beide Prinzipien in einem Modell vereinen. Ein Modell, zwei Regime – ohne Qualitätseinbußen.

Die Grundidee ist einfach. Autoregressive Modelle, wie du sie von Sprachmodellen kennst, erzeugen Daten Schritt für Schritt. Jeder neue Token hängt von den vorherigen ab. Bei Videos: Frame für Frame, Patch für Patch. Das ist präzise und kontrolliert, aber langsam und fehleranfällig – Fehler schaukeln sich auf.

Bidirektionale Diffusionsmodelle starten mit Rauschen und entfernen es in mehreren Schritten. Das gesamte Bild wird gleichzeitig verfeinert. Das ist mächtig, aber schwer zu steuern, wenn du bestimmte Teile beeinflussen willst.

Flex-Forcing verbindet beide Welten. Während des Trainings wird eine flexible Maskierungsstrategie angewendet. Stell dir ein Puzzle vor: Bei autoregressiver Generierung legst du die Teile nacheinander hin. Bei bidirektionaler siehst du alle Teile unscharf und schärfst sie gemeinsam. Flex-Forcing erlaubt beides, indem es während des Trainings mal die eine, mal die andere Perspektive einnimmt. Das Modell lernt, sequenziell und parallel zu denken.

Die Forscher nennen das Verfahren Unified Autoregressive & Bidirectional Video Diffusion. Die Beobachtung: Trainierst du ein Diffusionsmodell, kannst du festlegen, welche Teile des Videos zu welchem Zeitpunkt bekannt sind. Normalerweise maskiert man zufällig Pixel und lässt das Modell die fehlenden vorhersagen. Flex-Forcing maskiert nicht nur zufällig, sondern auch in zeitlicher Abfolge. Das Modell muss aus der Vergangenheit (autoregressiv) und aus Gegenwart und Zukunft (bidirektional) schließen.

Ergebnis: Ein Modell, das auf zwei Arten nutzbar ist. Wie einen autoregressiven Generator, der Frame für Frame ausgibt. Oder als klassischen Diffusions-Denoiser, der das ganze Video auf einmal erzeugt. Du kannst beide Modi mischen. Für eine kontrollierte Szene wählst du den autoregressiven Pfad. Für eine atmosphärische den bidirektionalen. Alles im selben Modell.

Die Autoren zeigen zahlreiche Beispiele: ein Waschbär als Detektiv mit Lupe, ein Mann im Sturm auf See, eine Schildkröte im Rennanzug auf einem Skateboard, ein Drache-Tukan in der Serengeti. Eine Dampflokomotive fährt durch Schnee. Ein Kind rennt über ein Feld. Eine junge Frau mit Sommersprossen sucht etwas. Ein Mann mit Taucherhelm und Jetpack läuft über Lava, ein Drache fliegt über ihm. Flauschige Wollmonster tanzen. Eine Panoramaschwenk über Grasfelder bei Sonnenuntergang. Ein Vogelstrauß in einer 80er-Küche. Ein Snowboarder rast zwischen Bäumen.

Jedes Video wurde mit demselben Modell erzeugt, aber mit unterschiedlichen Strategien – autoregressiv, bidirektional oder gemischt. Die Qualität ist durchweg hoch. Bewegungen sind flüssig, Szenen stimmig, Details scharf. Flex-Forcing überzeugt nicht nur theoretisch.

Das ist bedeutend: Die Flexibilität für Entwickler steigt enorm. Bisher brauchtest du verschiedene Modelle für verschiedene Aufgaben. Für interaktive Anwendungen das autoregressive Modell. Für ganze Szenen aus einer Beschreibung das Diffusionsmodell. Mit Flex-Forcing reicht ein Modell. Das spart Rechenzeit, Speicher und Aufwand beim Fine-Tuning.

Die Kombination eröffnet neue Möglichkeiten: Ein Video, dessen erster Teil autoregressiv erzeugt wird (für eine bestimmte Handlung), der Rest bidirektional (für stimmigen Hintergrund). Oder ein Moduswechsel mitten im Video für einen stilistischen Bruch. Die Kontrolle liegt bei dir.

Die technische Umsetzung ist raffiniert. Die Forscher erweiterten ein standardmäßiges Diffusionsmodell um eine flexible Maskierungslogik. Während des Trainings wird für jeden Batch eine zufällige Maske erzeugt, die bestimmt, welche Pixel sichtbar sind. Das Modell lernt, aus bekannten und unbekannten Kontexten zu schließen. Nach dem Training setzt du die Maske beliebig – und wählst den Generierungsmodus.

Die Qualität leidet nicht unter der Flexibilität. In Experimenten erreicht das Modell vergleichbare oder bessere Metriken als spezialisierte Modelle. Die kombinierte Trainingsstrategie zwingt das Modell zu tieferem Verständnis von zeitlichen und räumlichen Abhängigkeiten. Wie ein Musiker, der nach Notenblatt und improvisieren kann – und beides besser beherrscht.

Konkret: Wer mit Videogenerierung arbeitet – Content Creation, Simulationen oder Forschung – wird bald auf Modelle stoßen, die auf Flex-Forcing basieren. Sie erlauben eine Steuerung, die vorher nicht möglich war. Du musst nicht mehr zwischen zwei Welten wählen. Du hast beide, in einem Modell ohne Kompromisse.

Die Arbeit ist ein Schritt zu universellen Generierungsmodellen, die Sprache, Bilder und Videos mit einem Framework erzeugen. Flex-Forcing zeigt: Vereinheitlichung erreicht man nicht nur durch größere Modelle, sondern auch durch kluge Trainingsstrategien. Bestehende Ansätze sind keine Gegensätze, sondern komplementäre Werkzeuge, die sich vereinen lassen.

Die Forscher haben Code und Modellgewichte veröffentlicht. Du kannst heute experimentieren. Es lohnt sich. Flex-Forcing ist ein Blick in die flexible Zukunft der Videogenerierung.

Quelle: research.nvidia.com

Stell dir vor, du hast eine Bibliothek mit tausenden Büchern. Die meisten sind harmlos. Aber einige enthalten Bauanleitungen für eine gefährliche Maschine. Bisher hast du nur einen Wachmann vor die Tür gesetzt, der fragt: „Willst du wirklich etwas Böses damit tun?“ Wenn der Besucher schlau genug ist, kann er trotzdem an die Bücher herankommen. Genau vor diesem Problem stehen KI-Entwickler heute. In ihren Modellen steckt enormes Wissen – manches davon ist zweischneidig. Es kann Gutes bewirken, aber auch Schaden anrichten.

Die Rede ist von Dual-Use-Knowledge. Ein KI-Modell, das auf riesigen Textmengen trainiert wurde, hat gelernt, wie man Computerviren erstellt, biologische Kampfstoffe entwickelt oder Atomwaffen baut. Das gleiche Wissen hilft aber auch, Sicherheitslücken zu schließen, Impfstoffe zu entwickeln oder Energiequellen zu verbessern. Die Herausforderung: Wie behält man die Kontrolle über dieses Wissen, ohne die guten Anwendungen zu behindern? Forscher von Anthropic und AE Studio haben eine neue Methode namens GRAM (Gradient-Routed Auxiliary Modules) vorgestellt. Sie könnte ein entscheidender Schritt sein, um KI-Modelle sicherer zu machen – ohne die Leistungsfähigkeit zu opfern.

Aktuelle Sicherheitsmaßnahmen sind wie Schleusen: Sie prüfen die eingehenden Fragen und die ausgehenden Antworten. Wird nach etwas Gefährlichem gefragt, verweigert das Modell die Antwort. Aber das ändert nichts am gespeicherten Wissen. Ein entschlossener Angreifer kann versuchen, die Sperre zu umgehen – mit Tricks wie Prompt-Injection oder Jailbreaking. Das ist, als ob der Wachmann zwar fragt, aber der Besucher die Bücher trotzdem aus dem Fenster wirft. Das Wissen bleibt im Gebäude. Die einzige echte Lösung wäre, das Wissen gar nicht erst ins Gebäude zu lassen – oder es hinterher sauber entfernen zu können.

Bisher gab es dafür nur eine Möglichkeit: Filtern bestimmter Inhalte aus den Trainingsdaten. Wenn du etwa zwei Versionen eines Modells brauchst – eine mit und eine ohne Virologie –, musst du zwei separate Modelle trainieren. Das ist teuer, besonders bei Frontier-Modellen, die Hunderte Millionen Dollar kosten. Mit GRAM ändert sich das. Die Idee: Ein Modell bekommt zusätzliche, abnehmbare „Module“ pro Wissensbereich. Diese Module lernen nur, wenn sie mit genau diesen Inhalten gefüttert werden. Das restliche Netzwerk bleibt davon unberührt. Nach dem Training kannst du ein Modul einfach löschen – und das entsprechende Wissen verschwindet. Oder du lässt es drin, wenn der Nutzer vertrauenswürdig ist.

Stell dir eine Werkzeugkiste vor. Normalerweise lernt der KI-Assistent aus allen Büchern gleichzeitig – sein gesamtes Wissen ist überall verteilt. GRAM hingegen gibt ihm eine spezielle Schublade nur für Virologie, eine für Cybersecurity, eine für Kernphysik und eine für exotische Programmiersprachen. Wenn der Assistent ein allgemeines Buch liest, darf er sein gesamtes Wissen nutzen. Liest er ein Fachbuch über Viren, dann darf nur die Virologie-Schublade lernen – die anderen werden vorübergehend geschlossen. Am Ende kannst du die Schublade einfach herausnehmen, und das Wissen ist weg. Das Modell behält alle anderen Fähigkeiten, nur die gefährlichen sind deaktiviert.

Die technische Umsetzung ist raffiniert, aber verständlich: GRAM fügt jedem Layer eines Transformers (der Standard-Architektur heutiger Sprachmodelle) zusätzliche Neuronen hinzu. Diese sind in Gruppen aufgeteilt, jede steht für eine Dual-Use-Kategorie. Während des Trainings, wenn das Modell auf allgemeinen Text trifft, läuft der normale Lernprozess. Bei speziellem Text aus einer Kategorie werden die allgemeinen Gewichte eingefroren – nur das zugehörige Modul aktualisiert sich. Das Wissen bleibt isoliert. Nach dem Training kann man das Modul entfernen. Das funktioniert, weil das Netzwerk nie gelernt hat, die Dual-Use-Informationen mit dem Rest zu verweben.

Die ersten Tests sind vielversprechend. Die Forscher simulierten drei Szenarien: ein synthetisches mit Kindergeschichten, ein realistischeres mit Webtexten und wissenschaftlichen Artikeln, und dann skalieren sie bis zu einem Modell mit 5 Milliarden Parametern. In jedem Fall zeigte GRAM, dass das Entfernen eines Moduls fast die gleiche Wirkung hatte, als ob dieses Wissen nie im Training gewesen wäre. Und das ohne Einbußen bei allgemeinen Aufgaben. Im Gegensatz zu „Unlearning“-Techniken, die Wissen nur unterdrücken, lässt sich GRAM kaum rekonstruieren. Selbst wenn Angreifer nachträglich kleine Mengen böser Daten geben, können sie das entfernte Wissen nicht wiederherstellen – zumindest nicht einfacher als bei kompletter Datenfilterung.

Besonders spannend: Mit vier Dual-Use-Kategorien ergab ein Trainingslauf 16 verschiedene Konfigurationen (jede Kategorie an- oder ausgeschaltet). Das entspricht sonst 16 separaten Modelltrainings. Der Rechenaufwand bleibt aber der eines einzigen. Die Kostenersparnis ist enorm, wenn man an Frontier-Modelle denkt. Und das wird mit steigender Modellgröße noch besser: Je größer das Modell, desto schwerer ist es für einen Angreifer, die Module zu umgehen – weil die Module selbst immer spezifischer werden.

Dennoch sind die Ergebnisse vorläufig. GRAM wurde nicht auf ein Produktionsmodell wie Claude angewendet. Die Forscher testeten nur die Vorhersagegenauigkeit für das nächste Wort, nicht die Leistung in realen Aufgaben. Und es gibt ein grundlegendes Problem: Manche Dual-Use-Fähigkeiten sind so eng mit Allgemeinwissen verknüpft, dass sie sich gar nicht sauber trennen lassen. Ein Modell, das grundlegende Biologie versteht, lernt vielleicht automatisch auch die Grundlagen der Virologie. Hier stoßen alle Methoden an Grenzen.

Was bedeutet das konkret? Die Forschung zeigt einen Weg, KI-Modelle sicherer zu machen, ohne sie zu lähmen. Statt nur auf Frage-Antwort-Sperren zu vertrauen, könnten wir Modelle bauen, die von Natur aus kontrollierbares Wissen besitzen. Das wäre eine Revolution für die Sicherheit: Ein Modell für den Laboreinsatz mit medizinischem Wissen, ein anderes für den öffentlichen Chat ohne explizite Gefahrenkenntnisse – und beides aus demselben Training. Unternehmen müssten nicht mehr zehn verschiedene Modelle trainieren. Die Kontrolle wäre feiner, die Angriffsfläche kleiner.

Aber es ist noch früh. Wir müssen abwarten, ob GRAM auf den größten Modellen wirklich funktioniert. Und ob die Trennbarkeit von Wissen in allen Fällen gegeben ist. Die Analogie mit den Schubladen ist verlockend, aber manche Wissensbereiche gleichen eher einem Farbverlauf als einer scharfen Grenze. Dennoch: Die Richtung stimmt. Statt immer härtere Schleusen zu bauen, können wir vielleicht lernen, das gefährliche Wissen gar nicht erst ins Gebäude zu lassen – oder es mit einem Schalter auszuschalten, wenn es nicht gebraucht wird.

Quelle: anthropic.com

Stell dir vor, dein Unternehmen macht die ersten Schritte mit KI. Die Belegschaft ist begeistert, die Führung drückt aufs Tempo, jede Abteilung experimentiert. Die Finanzabteilung steckt vertrauliche Umsatzmodelle in öffentliche KI-Playgrounds. Die Personalabteilung lädt sensible Mitarbeiterdaten in externe Dienste hoch – ohne zu prüfen, wie lange die Daten dort bleiben. Für die Sicherheitsteams wird das zum Albtraum. KI hat die Unternehmenssicherheit härter gemacht – nicht durch neue, exotische Bedrohungen, sondern weil sie vorhandene Schwächen gnadenlos beschleunigt.

Der Autor ist kein KI-Gegner. Er nutzt die Technologie täglich, hält sie für transformativ und unvermeidlich. Aber er ist Pragmatiker. Jeder Technologieschub ändert nur die Gestalt der Probleme und verschiebt sie auf eine andere Architekturebene. Die rasche Demokratisierung von Large Language Models und autonomen Code-Agenten hat die Sicherheit in mehreren Punkten deutlich erschwert. Wir müssen über oberflächliche Verwundbarkeiten hinausblicken und die strukturellen Engpässe analysieren, die Sicherheitsteams zermürben.

Der Autor unterscheidet zwei Unternehmenstypen: solche mit ausgereifter KI-Infrastruktur und solche in der hektischen Experimentierphase. In reifen Unternehmen hat man gelernt, dass Nutzen und Risiken von KI variabel sind. Jede Bereitstellung wird geprüft: Datenherkunft, Modellgrenzen, Ausführungsebenen. Man weiß, ob ein Risiko die operative Reibung wert ist. In hyperoptimistischen Experimentierphasen herrscht eine gefährliche Anspruchshaltung. Die Führung ist überzeugt, dass die Vorteile von KI abstrakte Risiken automatisch überwiegen. Also wird uneingeschränkter Zugang gefordert – nicht nur von Entwicklern, sondern von jeder nicht-technischen Abteilung.

Diese Teams wollen die volle Erfahrung sofort. Jede Sicherheitsgrenze gilt als Bedrohung der Unternehmensgeschwindigkeit. Sie wollen die Schleusen öffnen und jeder internen Anwendung vollen Zugriff geben – ohne zu bedenken, dass der Datenzugriff einer KI abgeschottet werden muss. Granulare Identitäts- und Zugriffskontrollen brauchen Zeit. Optimistische, geschwindigkeitsbesessene Organisationen investieren diese Zeit nicht. Auf der Jagd nach einer reibungslosen Benutzererfahrung türmen sie strukturelle Risiken auf, bevor sie ihr erstes Produktionsfeature ausliefern.

Diese Reibung zeigt eine Asymmetrie des Scheiterns. Der Autor vergleicht die Bewertung eines autonomen Agenten durch ein Engineering-Team mit der Sicht eines CISOs. Ein Entwicklungsteam, dessen interner Agent zu 90 % erfolgreich Repositorys patcht oder Kunden-Tickets löst, feiert das als Triumph. Aus Produktsicht ist eine Fehlerrate von 10 % tolerierbar. Für einen CISO ist diese 10 %-Varianz eine katastrophale strukturelle Verwundbarkeit. Sicherheit verfolgt ein anderes Ziel: absolute Vermeidung von Systemversagen. Ein einziger unentdeckter Fehler oder eine halluzinierte Zugriffsgrenze reicht aus, um eine Datenpanne oder einen Betriebsvorfall auszulösen. Produktorientierte Organisationen können endlos experimentieren, weil sie nur einmal erfolgreich sein müssen. Ironischerweise nutzen Angreifer dasselbe Modell. Ein Gegner kann tausendmal scheitern, aber er muss nur eine lockere Prompt-Konfiguration finden, um zu gewinnen. Sicherheitsteams sitzen in der Zange: Sie müssen eine riesige, nicht-deterministische Angriffsfläche verteidigen und zu 100 % richtig liegen, während Entwicklerteams die Architektur aktiv bewaffnen.

Führungskräfte glauben oft, KI schaffe völlig neue Cyberbedrohungen. Der Autor argumentiert, KI erfindet selten neuartige Verwundbarkeiten. Stattdessen verstärkt sie bestehende schlechte Angewohnheiten, Architekturpraktiken und technische Schulden. Eine KI-Anwendung verhält sich wie ein Taschenrechner: Gibst du die falschen Zahlen ein, liefert sie eine falsche Antwort – um Größenordnungen schneller als ein Mensch. KI wendet diese mechanische Beschleunigung auf die Softwareentwicklung an. Wenn dein Team bereits unordentliche IAM-Konfigurationen oder schlechte Code-Review-Disziplin hat, vervielfacht KI diese Fehler sofort. Ein KI-Agent beurteilt keine Qualität. Er repliziert ein loses Berechtigungsmuster in Sekunden über Hunderte von Microservices. Das deckt latente Infrastrukturfehler auf und erzeugt eine massive Systemausbreitung, bevor ein Sicherheitsingenieur den ersten Commit-Log analysiert.

Angreifer nutzen diese Geschwindigkeitsdynamik. Sie setzen automatisierte Tools ein, um die maschinell erzeugte Ausbreitung zu kartieren und auszunutzen – schneller, als defensive Teams reagieren können. Es ist ein ermüdender Kampf gegen einen automatisierten Taschenrechner, der ständig die falschen Zahlen eingibt.

Weil die Technologie zu schnell für traditionelle defensive Frameworks ist, erleben wir eine schmerzhafte Umstrukturierung der Sicherheitsorganisation. Historisch wurden Sicherheitsteams mit einer Compliance-zuerst-Denkweise aufgebaut. Sie waren administrative Körper, die Kästchen ankreuzen, Audit-Logs sammeln und externe Anforderungen erfüllen. Selbst mit hochtechnischen Sicherheitsingenieuren fraß die Compliance-Maschine das Betriebsbudget. Da KI den Softwareentwicklungslebenszyklus einebnet, werden Engineering-Teams enorm gestärkt. Sicherheit kann Risiken nicht mehr durch administrative Richtlinien managen. Die Kluft zwischen Compliance und Engineering wird zu groß.

Um die Lücke zu schließen, spaltet sich die traditionelle CISO-Rolle in zwei Personas. Der compliance-fokussierte CISO wird zum Chief Compliance Officer, der externe Audit-Zyklen managt. Unternehmen holen echte Engineering-Leader als technische CISOs ins Boot – Menschen, die Plattformarchitektur verstehen. Ein neues Security Engineering Team entsteht als Puffer zwischen beiden Welten. Es übersetzt Compliance-Anforderungen in programmierbare Code-Guardrails, die Engineering verdauen kann. Dieser organisatorische Wandel ist unvermeidlich, macht den Sicherheitsjob kurzfristig chaotisch. Er sorgt für Prozessverwirrungen, stellt Eskalationswege auf den Kopf und lässt compliance-fokussierte Praktiker mit weniger Einfluss und Ressourcen zurück.

Diese Störung eröffnet eine Marktchance für Security-Startups. Die meisten KI-Sicherheitsanbieter leiden unter Tunnelblick. Sie bauen fortschrittliche Orchestrierungstools für Elite-Engineering-Teams. Aber diese Teams sind bereits kompetent und überlastet. Der unbediente Markt gehört dem Anbieter, der Software baut, die dem alten compliance-fokussierten Team hilft, sich mit KI in eine moderne Engineering-Einheit zu verwandeln. Ein schwieriges Produkt, dessen Gewinner-Oberfläche noch unklar ist. Wenn ein Startup unordentliche regulatorische Frameworks aufnehmen und elegante, versionierte Policy-as-Code-Konfigurationen ausgeben kann, die in Entwickler-Pipelines passen, erschließt es eine Elite-Kategorie von Unternehmensausgaben. Snyk schloss die Lücke zwischen Entwicklern und AppSec. Wiz verwandelte komplexe Cloud-Infrastruktur in einen priorisierbaren Risikographen. Der Gründer, der die Übersetzungsmaschine für die Compliance-Kluft baut, prägt das nächste Jahrzehnt der Enterprise-Security-Software.

KI hat die Sicherheit härter gemacht, weil sie die Illusion von Kontrolle zerstört hat. Wir können uns nicht länger hinter statischen Richtlinien oder manuellen Gates verstecken. Die Maschine des Unternehmens bewegt sich mit Runtime-Geschwindigkeit. Wenn unsere defensiven Frameworks nicht skalieren, bewachen wir einen leeren Perimeter. Hört auf, nach neuen, exotischen Bedrohungen zu suchen. Automatisiert eure grundlegenden Hygienepraktiken – das ist der Hebel, den KI zieht.

Quelle: franklyspeaking.substack.com