KI-Manipulation
Wenn KI ihre Leitplanken verliert: Abliteration und Vektorrisiken werden zur neuen Angriffsfläche
Wie Abliteration, RAG und Vector-Embedding-Schwachstellen LLMs gefährden
Von Dr. Martin Krämer, CISO Advisor bei KnowBe4
KI-Systeme werden nicht nur immer leistungsfähiger, sondern entwickeln sich selbst zunehmend zur Angriffsfläche. Besonders kritisch wird es, wenn Angreifer die Sicherheitsmechanismen eines Modells gezielt ausschalten oder die Wissensbasis manipulieren, auf die ein LLM seine Entscheidungen stützt.
Laut IBMs aktuellem Cost of a Data Breach Report 2026 stieg die Zahl KI-gestützter Angriffe gegenüber dem Vorjahr um 56 Prozent. Mehr als jeder vierte gemeldete bösartige Angriff war demnach bereits AI-driven. Besonders bemerkenswert sind die wirtschaftlichen Folgen: KI-gestützte Angriffe verursachten durchschnittlich rund eine Million US-Dollar höhere Kosten als vergleichbare Sicherheitsvorfälle ohne KI-Unterstützung.
Dabei geht es längst nicht mehr nur darum, dass Cyberkriminelle generative KI für Phishing, Deepfakes oder die Entwicklung von Malware verwenden. Zunehmend geraten die KI-Systeme selbst ins Visier.
Abliteration: Wenn dem Modell das Nein abtrainiert wird
Eine Technik, die dabei an Bedeutung gewinnt, ist die sogenannte Abliteration. Dahinter verbirgt sich kein klassischer Jailbreak und auch keine Veränderung der grundlegenden Modellarchitektur. Stattdessen wird gezielt in interne Repräsentationen beziehungsweise Gewichte eines Open-Weight-Modells eingegriffen.
Abliteration sowie Schwachstellen in Vektoren und Embeddings zeigen, dass sich KI-Sicherheit deshalb längst nicht mehr auf Prompt Filtering und Zugriffskontrollen reduzieren lässt
Vereinfacht gesagt haben Untersuchungen gezeigt, dass sich das erlernte Ablehnungsverhalten von Sprachmodellen zu einem erheblichen Teil über bestimmte Richtungen innerhalb ihrer internen Repräsentationen abbilden lässt. Wird diese sogenannte refusal direction identifiziert und gezielt abgeschwächt oder entfernt, sinkt die Wahrscheinlichkeit erheblich, dass das Modell schädliche Anfragen zurückweist.
Der entscheidende Unterschied zum klassischen Prompt-Jailbreak: Die Manipulation wirkt nicht nur innerhalb einer einzelnen Sitzung. Sie verändert das Verhalten des Modells selbst.
Damit entstehen sogenannte abliterated models – Modelle, deren ursprünglich antrainierte Sicherheitsbarrieren teilweise oder weitgehend entfernt wurden. Gerade bei frei verfügbaren Open-Weight-Modellen lässt sich damit eine zusätzliche Sicherheitsdimension schaffen: Ein leistungsfähiges Modell kann weiter Code generieren, Entscheidungen treffen oder Werkzeuge aufrufen, verfügt aber nicht mehr im gleichen Maße über die ursprünglich vorgesehenen Verweigerungsmechanismen.
Vektoren und Embeddings werden zum Sicherheitsproblem
Eine zweite Angriffsfläche entsteht dort, wo Unternehmen ihre LLMs mit eigenen Informationen verbinden. Retrieval-Augmented Generation, kurz RAG, gehört inzwischen zu den wichtigsten Verfahren, um Sprachmodelle mit Unternehmenswissen anzureichern.
Dabei werden Dokumente in mathematische Repräsentationen – sogenannte Embeddings – übersetzt und in Vektordatenbanken gespeichert. Bei einer Anfrage sucht das System nach semantisch passenden Informationen und stellt sie dem Sprachmodell als zusätzlichen Kontext zur Verfügung.
Genau dieser Mechanismus eröffnet neue Angriffsmöglichkeiten.
OWASP führt Vector and Embedding Weaknesses in seiner aktuellen Top-10-Systematik für LLM-Anwendungen als LLM08. Schwachstellen bei der Erzeugung, Speicherung oder Abfrage von Vektoren können dazu führen, dass Angreifer schädliche Inhalte einschleusen, Antworten manipulieren oder auf sensible Informationen zugreifen. Besonders relevant sind dabei Data Poisoning, fehlerhafte Zugriffskontrollen und Informationslecks zwischen unterschiedlichen Mandanten.
Das Problem beginnt damit bereits vor der eigentlichen Antwort des LLM. Wird eine manipulierte Information durch das Retrieval-System als vertrauenswürdiger Kontext an das Modell weitergereicht, kann sie dessen anschließende Ausgabe und unter Umständen auch die Aktionen eines angebundenen KI-Agenten beeinflussen.
Die Sicherheitsfrage lautet damit nicht mehr nur: Was darf das Modell beantworten? Ebenso entscheidend wird: Welchen Informationen darf das Modell überhaupt vertrauen?
KI-Agenten vergrößern die Folgen einer Manipulation
Besonders brisant wird diese Entwicklung mit dem Übergang von klassischen Chatbots zu autonomen KI-Agenten. Ein Chatbot erzeugt zunächst eine Antwort. Ein Agent kann dagegen APIs aufrufen, Daten abrufen, Dateien verändern, Anwendungen bedienen oder Aktionen in anderen Systemen auslösen.
Wird ein solcher Agent manipuliert, bleibt der Angriff deshalb nicht zwangsläufig auf eine fehlerhafte Textausgabe begrenzt. Wie ernst dieses Problem bereits heute ist, zeigte unter anderem EchoLeak (CVE-2025-32711) . Die Zero-Click-Schwachstelle in Microsoft 365 Copilot demonstrierte, wie sich indirekte Prompt Injection mit weiteren Schwächen kombinieren ließ, um vertrauliche Informationen ohne aktive Benutzerinteraktion zu exfiltrieren.
Damit verschiebt sich die Sicherheitsgrenze. Die entscheidende Frage ist nicht länger allein, ob ein Modell manipuliert werden kann, sondern welche Berechtigungen und Handlungsmöglichkeiten ihm anschließend zur Verfügung stehen. Wenn die Malware ihren eigenen Angriff korrigiert Noch deutlicher wird diese Entwicklung bei KI-gestützter Malware.
Die als JadePuffer bekannt gewordene agentische Angriffskampagne sorgte 2026 unter anderem deshalb für Aufmerksamkeit, weil ein KI-Agent während eines Angriffs eigenständig auf einen Fehlschlag reagieren konnte. Nachdem der Versuch, einen Administrator-Account anzulegen, scheiterte, analysierte der Agent das Problem und setzte innerhalb von 31 Sekunden einen korrigierten Ansatz um.
Das ist sicherheitstechnisch ein erheblicher Unterschied zu klassischer Malware. Traditioneller Schadcode folgt weitgehend vorher definierten Abläufen. Agentische Malware kann dagegen beobachten, bewerten und ihre nächsten Schritte anhand der vorgefundenen Umgebung verändern.
Heute können solche Systeme noch auf gestohlene oder missbrauchte API-Zugänge zu kommerziellen LLM-Diensten angewiesen sein. Das muss jedoch nicht so bleiben.
Kleine leistungsfähige Sprachmodelle lassen sich prinzipiell lokal betreiben. Werden deren Sicherheitsmechanismen zusätzlich durch Techniken wie Abliteration reduziert, entsteht langfristig ein Szenario, in dem Malware ihre eigene KI-Logik mitbringen könnte. Die Angriffsentscheidung würde damit direkt auf dem kompromittierten System stattfinden – ohne permanente Verbindung zu einem externen kommerziellen KI-Dienst.
Prompt Injection ist längst kein reines Textproblem mehr
Hinzu kommt eine weitere Entwicklung: Die Angriffsfläche wandert über Text hinaus.
Multimodale Modelle verarbeiten Bilder, Dokumente, Webseiten, Audioinhalte und andere Datenformate. Damit können auch Anweisungen in Daten verborgen werden, die für den Menschen zunächst unverdächtig erscheinen.
Untersuchungen zu steganografischen Prompt-Injection-Angriffen zeigen beispielsweise, dass Anweisungen unsichtbar beziehungsweise schwer wahrnehmbar in Bildern eingebettet und von Vision-Language-Modellen verarbeitet werden können. Dadurch kann ein vermeintlich harmloses Bild zum Träger manipulativer Instruktionen werden. (arXiv) Für Unternehmen bedeutet das: Eine Sicherheitsprüfung allein auf der Ebene sichtbarer Texteingaben reicht künftig nicht mehr aus.
KI-Governance wird zur Frage von Sichtbarkeit und Kontrolle
Die Konsequenzen gehen weit über klassische Endpoint- oder Netzwerksicherheit hinaus. Unternehmen müssen klären, welche Entscheidungen sie KI-Agenten überhaupt überlassen wollen, welche Berechtigungen dafür erforderlich sind und an welchen Stellen weiterhin ein Mensch eingreifen muss. Dafür braucht es zunächst Transparenz. Unternehmen müssen wissen, welche Modelle, Agenten, RAG-Systeme und KI-Anwendungen tatsächlich im Einsatz sind – einschließlich nicht offiziell freigegebener Systeme.
Darauf aufbauend sind technische und organisatorische Kontrollmechanismen erforderlich. Dazu gehören klare Berechtigungsmodelle, die Absicherung von Vektor- und Wissensdatenbanken, eine konsequente Trennung von Daten verschiedener Nutzer oder Mandanten, die Überprüfung externer Wissensquellen sowie die Überwachung von Agentenaktionen.
Besonders wichtig ist dabei das Prinzip der Least Privilege. Ein KI-Agent sollte nur auf diejenigen Systeme und Daten zugreifen können, die er für seine konkrete Aufgabe benötigt. Denn je größer seine Handlungsfreiheit ist, desto größer fällt auch der mögliche Schaden nach einer erfolgreichen Manipulation aus.
Fazit
Unternehmen müssen nicht nur KI schützen, sondern auch vor KI-Entscheidungen schützen
Abliteration, manipulierte Embeddings, RAG Poisoning und multimodale Prompt Injection verdeutlichen einen grundlegenden Wandel der Bedrohungslandschaft. Die Grenze zwischen Anwendung, Datenbasis und handelndem Akteur verschwimmt.
Für Unternehmen reicht es deshalb nicht, lediglich das eingesetzte Sprachmodell abzusichern. Sie benötigen Sichtbarkeit und Kontrolle über die gesamte KI-Prozesskette – von den verwendeten Daten und Modellen über Berechtigungen bis hin zu den Aktionen autonomer Agenten.
Entscheidend wird letztlich, jederzeit beantworten zu können: Welche KI handelt gerade, aufwelcher Informationsbasis trifft sie ihre Entscheidung, welche Rechte besitzt sie – und wer kann sie stoppen, wenn diese Entscheidung manipuliert wurde?
