KI-Sicherheit hat ein Problem mit Eigenbeschuss. Die Technologie, die beweist, woher KI-Text stammt, schwächt die Technologie, die prüft, ob er wahr ist. Wasserzeichen, also das Einbetten einer versteckten Signatur in generierten Text, wird verwendet, um Transparenz bei KI-Anwendungen zu erhöhen (Artikel 50 des EU-KI-Gesetzes in Europa; KI-Kennzeichnungsverordnung in China). Darüber hinaus versucht die Halluzinationserkennung, Teile einer Antwort zu markieren, die das Modell erfunden hat. Regulierungsbehörden drängen auf beides, aber es existiert eine versteckte Kollision in KI-Modellen zwischen Transparenz und Haftung.

Ein LLM berechnet eine Wahrscheinlichkeitsverteilung über das nächste Token. Manchmal ist diese Verteilung scharf, wie nach „Die Hauptstadt von Frankreich ist“, wo „Paris“ erzwungen wird. Manchmal ist sie flach, mit mehreren gleichermaßen plausiblen Fortsetzungen. Die Flachheit wird Entropie genannt. Beide Technologien leben an Positionen mit hoher Entropie. Ein Textwasserzeichen verzerrt die Münzwürfe mit einem geheimen Schlüssel, wie im Schema von Kirchenbauer und Kollegen von 2023, das den Wortschatz in grüne und rote Listen aufteilt. Der Text liest sich natürlich, enthält aber mehr grüne Token.

Ein Detektor mit dem Schlüssel zählt grüne Token und berechnet die Unwahrscheinlichkeit. Google DeepMinds Synth ID-Text in Gemini-Modellen verwendet Turnier-Sampling. Verzerrungsfreie Schemata arrangieren die Verzerrung so, dass die Ausgabeverteilung im Durchschnitt unverändert bleibt. Aber ein Wasserzeichen kann nur dort drücken, wo Platz ist. An Positionen mit niedriger Entropie würde Verzerrung falsche Wörter und Qualitätskollaps bedeuten. Die Kollision ist in den Internals des Modells verborgen, hat aber reale Konsequenzen für die KI-Sicherheit.

Wichtige Entitäten: Unternehmen: Google DeepMind | Personen: Kirchenbauer