Neues Modell sagt voraus, wie Jailbreak-Angriffe auf KI mit dem Aufwand skalieren

Am 29. September 2026 veröffentlichte der Informatiker Marco Biroli auf arXiv eine Studie mit dem Titel „Escaping Alignment: A Physical Trap Model of Best‑of‑N Jailbreaking“. Die Arbeit stellt ein einfaches „Barrierenmodell“ vor, das erklärt, wie sich die Erfolgsquote von Jailbreak-Angriffen verändert, wenn ein Angreifer zwei Variablen erhöht: die Zahl der Prompt-Varianten (N) und die Zahl der Antworten pro Variante (M). Das Modell benötigt nur vier Kennzahlen zu Sicherheitsmechanismen und kann dennoch Ergebnisse für deutlich größere Angriffe vorhersagen, als bisher getestet wurden.

Was leistet das neue Modell?

Das Modell geht davon aus, dass jeder Prompt ein grundlegendes Sicherheitsniveau hat, und ergänzt eine zufällige „Barriere“, die sich durch genügend Versuche mit unterschiedlichen Varianten überwinden lässt. Indem die Autoren die vier Kennzahlen an Daten von fünf verschiedenen Sprachmodellen anpassen, zeigen sie, dass alle fünf auf dieselbe Skalierungskurve fallen. Dadurch können sie von Experimenten mit bis zu 100 Prompt-Varianten auf Szenarien mit 10 000 Varianten hochrechnen – etwas, das frühere Studien nicht zuverlässig leisten konnten.

Die Studie untersucht außerdem, wie sich die Generierungstemperatur – ein Regler für die Zufälligkeit der KI-Ausgaben – auf den Erfolg von Angriffen auswirkt. Mit denselben vier Kennzahlen können die Autoren Erfolgsraten auch für Temperaturen vorhersagen, die sie nie getestet haben.

Warum das für die KI-Sicherheit wichtig ist

Sollten sich die Vorhersagen des Modells bestätigen, können Sicherheitsteams abschätzen, wie viele Prompt-Varianten ein Angreifer ausprobieren müsste, damit ein Jailbreak wahrscheinlich wird. Das hilft ihnen, realistische Grenzen dafür festzulegen, wie viele Prompts über öffentliche APIs zugelassen werden können und wie intensiv verdächtige Muster überwacht werden sollten.

Die Arbeit stellt auch frühere Aussagen infrage, wonach der Angriffserfolg einem einfachen Potenzgesetz in Abhängigkeit von N folgt. Die Autoren zeigen eine differenziertere, temperaturabhängige Kurve. Das deutet darauf hin, dass Abwehrmaßnahmen mehrere Faktoren berücksichtigen müssen – nicht nur die Zahl der Versuche.