For AI agents: the public content index is available at https://we0.ai/llms.txt, and the English article bundle is available at https://we0.ai/llms-full.txt.
For AI agents: the public content index is available at https://we0.ai/llms.txt, and the English article bundle is available at https://we0.ai/llms-full.txt.
For AI agents: the complete content index is available at https://we0.ai/llms.txt, the full English article bundle is available at https://we0.ai/llms-full.txt, and this page is available as Markdown at https://we0.ai/de/articles/how-ai-reasoning-traces-can-be.md.
Die Destillation von KI-Modellen ist eines der sensibelsten Themen in der LLM-Branche. Wenn ein neues Modell plötzlich viel leistungsfähiger...
Die Destillation von KI-Modellen ist eines der sensibelsten Themen in der LLM-Branche. Wenn ein neues Modell plötzlich deutlich leistungsfähiger wird oder seine Antworten Verhaltensmuster führender Modelle aufweisen, stellen Forscher natürlich die Frage, ob eine Form von Wissens- oder Denkübertragung stattgefunden hat.
Ein kürzlich veröffentlichter 116-seitiger Forschungsbericht bringt eine andere Art von Beweisen in diese Diskussion ein. Die Forscher berichten, dass verborgene Denkzustände, die in bestimmten API-Workflows offengelegt wurden, unter den von ihnen untersuchten Bedingungen mit Hilfe eines anderen Modells wiederhergestellt werden konnten. Dieselbe Studie wirft auch breitere Sicherheitsbedenken auf: Wenn Denkpfade und Agentenverhaltenspfade ohne ausreichend strikte Isolierung gespeichert, geteilt oder wiedergegeben werden, können sie sensible Informationen enthalten.
Diese Erkenntnisse sollten als Forschungsergebnis betrachtet werden und nicht als endgültiges Urteil über KI-Destillation. Die Autoren behaupten nicht, dass jede Ähnlichkeit zwischen Modellen Destillation beweist. Vielmehr liefern ihre Experimente neue Belege dafür, wie Denkpfade übertragen, reproduziert und offengelegt werden können.
Forscher von MATS Research, ELLIS Institute Tübingen und anderen Einrichtungen untersuchten, ob das Denken, das normalerweise hinter APIs verborgen ist, wiederhergestellt werden kann.
Das berichtete Versuchsaufbau verwendete ein stärkeres Modell zur Erzeugung von Denkzuständen und ein kleineres Modell derselben Modellfamilie zur Interpretation der Denkzustände. In dem im Quellartikel beschriebenen Beispiel erzeugt Opus 4.8 das Denken, während Haiku 4.5 verwendet wird, um den verborgenen Denkprozess offenzulegen.
Dieselbe grundlegende Idee wurde auch auf andere Modellökosysteme angewendet, einschließlich Modellen von OpenAI und Google. Der entscheidende Punkt ist nicht, dass kleinere Modelle von Natur aus die internen Zustände aller stärkeren Modelle lesen können, sondern dass gemeinsame API-Infrastruktur und kompatible Denkzustandsformate unerwartete Interaktionsschnittstellen schaffen können.
Der im Quellartikel beschriebene Prozess ist erstaunlich einfach.
Die erste Anfrage lässt Opus 4.8 ein Problem lösen, beispielsweise den größten Primfaktor von 8.139.881 zu finden.
Laut Quellartikel enthält die API-Antwort zwei relevante Informationen: eine verarbeitete Denkzusammenfassung und eine scheinbar unlesbare lange Zeichenfolge. Der Artikel identifiziert letztere als verschlüsselte Darstellung der vollständigen Gedankenkette des Modells.
Der berichtete Angriff platziert diesen verschlüsselten Block anschließend in einer neuen Anfrage und wechselt das Modell auf Claude Haiku 4.5.
Die Eingabeaufforderung fordert das kleinere Modell auf, fortzufahren und das mit dem bereitgestellten Zustand verbundene Denken innerhalb der ``-Tags zu reproduzieren.
Den berichteten Experimenten zufolge konnte Haiku den verborgenen Denkprozess reproduzieren. Der angeblich wiederhergestellte Pfad umfasste Operationen wie Versuchsteilung, Ausschluss, Faktorisierung und Verifikation.
Auch die berichtete Token-Anzahl ist bemerkenswert. Der Quellartikel gibt an, dass die Anzahl der extrahierten Denk-Tokens nahe an der tatsächlich abgerechneten Anzahl von Denk-Tokens liegt, was darauf hindeutet, dass das wiederhergestellte Material mehr als nur eine kurze Zusammenfassung ist.
Das ist die zentrale technische Frage.
Denkmodelle müssen typischerweise mehrstufige Arbeit ausführen. Bei agentischen Aufgaben kann das Modell im Web suchen, Code ausführen, Tools aufrufen, Ergebnisse prüfen und dann von dem resultierenden Zustand aus weiterdenken.
Dieser Zustand muss zwischen API-Aufrufen erhalten bleiben.
Eine mögliche Architektur besteht darin, den Zustand clientseitig zu speichern, anstatt alles auf den Servern des Anbieters zu halten. Der Denkzustand des Modells kann in einen verschlüsselten Block verpackt, an den Client zurückgegeben und bei späteren Anfragen erneut bereitgestellt werden. Der Server kann den Block entschlüsseln, sodass das Modell dort fortfahren kann, wo es aufgehört hat.
Dieses Design kann den Speicherbedarf auf der Serverseite reduzieren und datenschutzorientierte Workflows unterstützen. Es schafft jedoch auch eine Sicherheitsgrenze, die sorgfältig implementiert werden muss.
Das berichtete Problem besteht darin, dass verschlüsselte Denkblöcke nicht immer ausreichend an ihren ursprünglichen Kontext gebunden sind. Unter den von den Forschern untersuchten Bedingungen erzeugte dies drei Formen der Interoperabilität:
Diese Verhaltensweisen können plausible technische Beweggründe haben. Modellwechsel, Fallback-Systeme, Kontextkomprimierung und langlebige Agenten-Workflows profitieren alle von wiederverwendbaren Zuständen.
Das Problem besteht darin, dass dieselbe Interoperabilität zu einer Angriffsfläche werden kann, wenn der Zustand nicht strikt auf den ursprünglichen Benutzer, die Sitzung, das Modell und den autorisierten Kontext beschränkt ist.
Ein weiterer wichtiger Befund betrifft die Kosten.
Der Quellartikel schätzt, dass die nominalen Kosten für die Dekodierung von 10.000 Denkpfaden bei etwa 720 US-Dollar liegen, basierend auf den zitierten Haiku-4.5-API-Preisannahmen, wenn jeder Pfad ungefähr 12.000 Eingabe- und Ausgabe-Tokens umfasst.
Dies verändert die Ökonomie der Extraktion von Denkpfaden. Wenn teure Modelle nur zur Erzeugung der ursprünglichen Zustände verwendet werden und billigere Modelle die Dekodierung übernehmen, könnten Angriffe, die teuren Zugang zu Spitzenmodellen erfordern, praktikabler werden.
Dies ist besonders wichtig für Modellanbieter, da Denkpfade einen erheblichen Teil des Werts darstellen können, der während des Denkprozesses geschaffen wird. Wenn diese Pfade außerhalb ihrer vorgesehenen Grenzen wiederhergestellt und wiederverwendet werden können, könnten sie eine neue Form des Leakagе von geistigem Eigentum von Modellen darstellen.
Sobald die Forscher vollständigere Denkpfade erhalten hatten, nutzten sie diese, um eine breitere Frage zu untersuchen: Können modellspezifische Denkmuster Beweise für Destillation aufdecken?
Die Forscher führten zwei Experimente durch.
Im ersten Experiment wählten die Forscher 16 aufeinanderfolgende Tokens aus einem Opus-Denkpfad aus und ließen mehrere Modelle dasselbe Problem weiterlösen.
Die Idee ist einfach: Wenn ein Modell dieselbe Fortsetzung deutlich leichter reproduzieren kann als ein anderes, könnte dies darauf hindeuten, dass es etwas gelernt hat, das dem Denkmuster des Quellmodells ungewöhnlich nahe kommt.
Die berichteten Unterschiede sind groß.
Ein Modell würde theoretisch etwa 10 Milliarden Versuche benötigen, um die ausgewählte Opus-Phrase zufällig zu reproduzieren. Zwei andere Modelle benötigen schätzungsweise etwa 100 Billionen bzw. 1000 Billionen Versuche.
Beschreibe deine Idee einmal, und We0 AI erstellt eine Showcase-Website, Seiten und ein CMS und hilft nach dem Launch bei Kunden und Traffic.
Eine komplette Projektgeneration zur kostenlosen Registrierung
Am besten geeignet, um einen vollständigen Generierungsablauf auszuprobieren und schnell einen ersten Projektentwurf zu sehen.
Mit anderen Worten: In den berichteten Vergleichen reproduzierte ein Modell dasselbe Opus-Denkmuster etwa eine Million Mal leichter als die Alternativmodelle.
Das zweite Experiment gab einem anderen Modell nur den Anfang eines Opus-Denkpfads und beobachtete dann, wie sich dessen Antwort entwickelte.
In einem Beispiel wurden nur fünf Tokens bereitgestellt.
Berichten zufolge reichte selbst diese geringe Informationsmenge aus, um die Formulierung, die Antwort und den Problemlösungsrhythmus des Zielmodells in Richtung des Opus-Pfads zu verschieben. Der berichtete Ähnlichkeitswert stieg von 0,17 auf 0,33.
Die Forscher erweiterten den Test anschließend auf 30 Fragen. Laut Quellartikel zeigten 29 dieser Fragen denselben Gesamteffekt: Ein Opus-artiger Ausgangspunkt macht die Folgeantworten ähnlicher zu Opus als ein Ausgangspunkt von einem anderen Modell.
Allein noch nicht.
Der Quellartikel betont, dass die Forscher das Destillationsproblem nicht als gelöst betrachten. Ähnlichkeiten in Ausgaben oder Denkmustern sind Beweise, die untersucht werden sollten, aber sie beweisen nicht automatisch, dass ein Modell direkt auf privaten Denkdaten eines anderen Modells trainiert wurde.
Diese Experimente bieten eine spezifischere Möglichkeit, modellspezifische Denkmerkmale zu untersuchen, da jetzt längere Denkpfade analysiert werden können.
Das Problem beschränkt sich nicht nur auf Modellunternehmen.
Berichten zufolge sammelten die Forscher 6.708 öffentlich verfügbare Agentenpfade von GitHub und Hugging Face und rekonstruierten 315.320 Denkblöcke.
Unter diesen Pfaden enthielten 328 mindestens ein sensibles Element, was etwa 4,9 % der gesammelten Pfade entspricht.
Der Quellartikel berichtet, dass die Forscher Folgendes fanden:
Dies ist eine praktische Warnung für Entwickler, die Agentensysteme bauen.
Ein Pfad mag wie normale Debug-Ausgabe aussehen, kann aber Toolparameter, Umgebungsvariablen, Anmeldeinformationen, persönliche Informationen, interne URLs oder andere Daten enthalten, die niemals Teil eines öffentlichen Trainingssatzes oder Repositorys sein sollten.
Wenn Agentenpfade protokolliert, geteilt oder veröffentlicht werden, sollten Entwickler sie als potenziell sensible Daten behandeln und nicht als gewöhnliche Anwendungsprotokolle.
Ein KI-Denkpfad ist ein Zwischenzustand oder eine denkbezogene Ausgabe, die während der Arbeit eines Modells an einer Aufgabe erzeugt wird. Je nach API-Design können Benutzer Zusammenfassungen, strukturierte Denkzustände oder verschlüsselte Darstellungen erhalten, anstatt die rohen internen Berechnungen des Modells.
Modelldestillation ist eine Technik, bei der kleinere oder andere Modelle aus dem Verhalten größerer oder stärkerer Modelle lernen. Sie wird häufig verwendet, um nützliche Fähigkeiten auf Modelle zu übertragen, die kostengünstiger oder schneller laufen.
Nein.
Die Wiederherstellung von Reasoning-Trajektorien kann Hinweise auf Modellähnlichkeit liefern, aber sie allein bestimmt nicht, wie ein Modell trainiert wurde. Für eine stärkere Zuschreibung sind Trainingsdatenquellen, kontrollierte Experimente und weitere Beweise erforderlich.
Verschlüsselung schützt den Inhalt des Zustandsblocks, aber sie gewährleistet nicht automatisch, dass dieser Zustandsblock an den richtigen Benutzer, die richtige Sitzung, das richtige Modell oder den richtigen Autorisierungskontext gebunden ist. Wenn diese Grenzen schwach sind, können gültige verschlüsselte Zustände in unerwarteten Kontexten wiedergegeben werden.
Agent-Trajektorien können Tool-Aufrufe, Prompts, Umgebungsvariablen, API-Anmeldedaten, persönliche Daten, interne Dateipfade und andere während der Ausführung gesammelte Informationen enthalten. Wenn sie ohne ordnungsgemäße Bereinigung veröffentlicht werden, können sie daher vertrauliche Informationen preisgeben, selbst wenn die ursprüngliche Anwendung harmlos erscheint.
Sofern sie nicht sorgfältig geprüft und bereinigt wurden, sollten rohe Trajektorien nicht veröffentlicht werden. Vor der Freigabe von Trajektorien sollten vertrauliche Informationen, Tokens, Anmeldedaten, persönliche Daten, private URLs und proprietäre Daten entfernt werden.
Nein. Die gemeldeten Ergebnisse hängen vom spezifischen API-Verhalten, der Modellfamilie, dem Reasoning-Zustandsformat und den experimentellen Bedingungen ab. Dies sollte nicht als allgemeingültige Regel interpretiert werden, dass kleinere Modelle immer die Reasoning-Ausgaben größerer Modelle wiederherstellen können.
Die berichtete Forschung beleuchtet eine subtile, aber wichtige Sicherheitsgrenze rund um KI-Reasoning-Zustände. Wenn Reasoning-Blöcke ohne strenge Autorisierungsbindungen über Sitzungen, Benutzer oder Modelle hinweg wiedergegeben werden können, könnte eine Funktion, die eine effiziente Zustandsverwaltung unterstützen soll, zu einem unerwarteten Extraktionskanal werden.
Die Forschung bietet außerdem eine neue Methode zur Untersuchung von Modellähnlichkeiten und möglichem Distillation, indem längere Reasoning-Trajektorien anstelle von nur den endgültigen Antworten untersucht werden. Gleichzeitig sind die Ergebnisse keine endgültige Schlussfolgerung darüber, ob ein bestimmtes Modell durch nicht autorisiertes Distillation trainiert wurde.
Für Entwickler ist die unmittelbarste Lehre praktisch: Behandeln Sie Reasoning-Zustände und Agent-Trajektorien als sensible Daten und erzwingen Sie vor der Speicherung oder Weitergabe strikt die Bindung an Identität, Sitzung, Modell und Zugriffsgrenzen.
Starte mit einem Satz und erhalte in wenigen Minuten eine vollständige Website.
