Forscher umgehen KI-Bildsicherheitsvorkehrungen mit Standard-Tools

Sicherheitsforscher von White Circle, einer gemeinnützigen Körperschaft, haben gezeigt, dass führende KI-Bildgeneratoren von OpenAI und Google mit weit verfügbaren Tools dazu gebracht werden können, explizite Inhalte zu produzieren. Die Ergebnisse, die in einem Preprint detailliert beschrieben und von Ars Technica berichtet wurden, deuten darauf hin, dass die Abwehrmaßnahmen gegen die Generierung verbotener Inhalte mit zunehmender Leistungsfähigkeit der KI-Modelle schwächer werden könnten.

Die RISE-Angriffsmethode

White Circle entwickelte eine Angriffsstrategie namens „Red-teaming via Iterative Strategy Evolution“ (RISE). Die Methode besteht aus zwei Komponenten: einem angreifenden Modell, das Jailbreak-Prompts generiert, und einem Bewertungsmodell, das überprüft, ob die Ausgabe verbotene Inhalte enthält. Laut den Forschern basiert die gesamte Pipeline auf öffentlich verfügbaren Modellen, darunter eine Version von Qwen3-32B ohne Sicherheitstraining und Gemini 2.5 Flash als Bewertungsmodell.

„Sie brauchen keine Frontier-Modelle, um die Verteidigung eines Frontier-Modells zu brechen, was sehr interessant ist“, sagte Denis Shilov, CEO von White Circle, gegenüber Ars Technica.

Die Forscher testeten mehrere Modelle, darunter DALL·E 3, Googles Nano Banana 2 und GPT-Image-2. Im besten Fall für die Angreifer produzierten etwa 13 Prozent der an DALL·E 3 gesendeten Prompts Bilder, die von menschlichen Prüfern als explizit bestätigt wurden. Die Umgehungsrate lag bei Nano Banana 2 unter 10 Prozent und bei GPT-Image-2 bei etwa 3 Prozent. White Circle erklärte, dass „keine dieser Anfragen maßgeschneiderte oder Frontier-KI-Modelle erforderte“.

Neuere Modelle könnten anfälliger sein

White Circle testete auch neuere Versionen dieser Modelle, insbesondere OpenAIs ChatGPT Images 2.5 und Googles Nano Banana 2.1. Die Forscher teilten Ars Technica mit, dass beide neuen Modelle „signifikant leichter zu brechen waren als ihre Vorgängerversionen“. Weder OpenAI noch Google reagierten auf Anfragen nach einer Stellungnahme zu diesen spezifischen Ergebnissen.

Shilov schlug zwei mögliche Erklärungen für diesen Trend vor: Entweder sind die neueren Modelle ausgefeilter und in der Lage, eine breitere Palette an Inhalten zu generieren, oder Sicherheit wurde zugunsten der Leistungsfähigkeit zurückgestuft. White Circle plant, diese Ergebnisse auf der NeurIPS 2026-Konferenz im November vorzustellen und beabsichtigt, die Angriffs-Pipeline quelloffen zu stellen, um Entwicklern zu helfen, stärkere Schutzmaßnahmen zu entwickeln.

Weiterer Kontext und regulatorische Forderungen

Die Forschung unterstreicht wachsende Bedenken hinsichtlich nicht einvernehmlicher intimer Bilder (NCII) und kinderpornografischer Materialien (CSAM). Eine im Juli 2026 veröffentlichte, von Google mitverfasste Studie ergab, dass ein Großteil dieser Inhalte in privaten Kanälen geteilt wird, was die Erkennung erschwert. Die Studie kam zu dem Schluss, dass der „kritischste Eingriffspunkt“ nach wie vor an der Quelle liegt: den KI-Tools, die zur Erstellung der Bilder verwendet werden.

Die Internet Watch Foundation (IWF) berichtete, dass ihre Analysten im ersten Halbjahr 2026 6.310 KI-generierte Bilder gefunden haben, die der gesetzlichen Definition von CSAM entsprechen, eine Zahl, die etwa 40 Prozent höher ist als die Gesamtzahl für das gesamte Jahr 2025. Ein Sprecher der IWF sagte gegenüber Ars Technica, dass „dringende Maßnahmen erforderlich“ seien, und forderte Regulierungsbehörden auf, einen Sicherheitsrahmen einzuführen, der KI-Unternehmen verpflichtet, zu verhindern, dass ihre Technologie zur Generierung solcher Materialien genutzt wird.

Warum das wichtig ist

Die Demonstration, dass Standard-Tools Sicherheitsvorkehrungen in großen KI-Modellen umgehen können, widerlegt die Annahme, dass nur ausgefeilte, maßgeschneiderte Angriffe eine Bedrohung darstellen. Sie unterstreicht die Schwierigkeit, wirksame Inhaltsfilter aufrechtzuerhalten, während die Modelle leistungsfähiger werden. White Circle argumentiert, dass obligatorische unabhängige Audits und Drittanbieter-Monitoring notwendig sind, da aktuelle Selbsteinschätzungen von KI-Labors die Schwachstellen möglicherweise nicht vollständig aufdecken. Die Veröffentlichung der RISE-Pipeline könnte die Entdeckung von Schwachstellen beschleunigen, birgt aber auch das Risiko, böswilligen Akteuren eine Roadmap zur Umgehung von Sicherheitsmaßnahmen zu liefern.

Quellen (auf Englisch)

• arstechnica.com: OpenAI, Google pushing new AI models easily tricked into making nudes, researchers say - Ars Technica
• cryptobriefing.com: OpenAI and Google AI models keep getting tricked into making explicit content, researchers warn
• ibtimes.sg: OpenAI, Google AI Models Tricked Into Making Nudes: Safeguards...

KI-Übersetzung des englischen Originalartikels, automatisch geprüft, damit sie dasselbe aussagt wie das Original. Die Quellen wurden auf Englisch geprüft.