Dass sich mit jedem neuen Release die Fähigkeiten der KI-Modelle multiplizieren, ist ein Phänomen, das Christoph Landolt beschäftigt. Er ist Doktorand in der Forschungsgruppe von CISPA-Faculty Prof. Dr. Mario Fritz und beobachtet die Veröffentlichung sogenannter Frontier-Modelle vor allem in Hinblick auf ihre Schadenspotenziale für die Cybersicherheit. „Als Claude Opus 4.6 im Februar 2026 veröffentlicht wurde, hat das Modell allein in den ersten beiden Tagen über 500 schwerwiegende Schwachstellen in Open-Source-Software gefunden. Das zeigt, wie das ganze Feld plötzlich geflutet wird mit neuen Schwachstellen“, sagt er. Kurz darauf, im April 2026, entschied sich Anthropic gegen eine allgemeine Veröffentlichung von Claude Mythos Preview, weil das Modell sich gefährlich effizient darin erwies, bislang unbekannte Sicherheitslücken zu entdecken. „Die Frage, die wir uns in unserer Forschung stellen“, sagt Landolt, „ist, wie verändert diese Dynamik die Art und Weise auf die wir Cybersicherheit im KI-Zeitalter denken müssen?“
Wie gelingt verantwortungsvolle Offenlegung im KI-Zeitalter?
Üblicherweise sorgt die sogenannte verantwortungsvolle Offenlegung für einen Vorsprung der Cybersicherheit gegenüber den Cyberkriminellen. Wenn etwa Forschende eine Schwachstelle entdecken, melden sie diese dem Software-Hersteller, der einen Patch entwickelt und veröffentlicht. Das Wissen über die Schwachstelle dringt also erst zusammen mit dem Update nach außen und die User:innen haben eine faire Chance, sich rechtzeitig zu schützen. Öffentlich verfügbare Frontier-Modelle stellen ihre offensiven und defensiven Fähigkeiten jedoch beiden Seiten gleichzeitig zur Verfügung. „Es ist schwierig zu sagen, ob die klassische Responsible Disclosure im AI-Zeitalter obsolet geworden ist“, sagt Landolt. „Aber wir wissen, dass sich die Zeit, die es braucht, um von einer offengelegten Schwachstelle zu einem Angriff zu kommen, stark reduziert hat. Die Webseite zerodayclock.com zeigte zeitweise, dass es 2018 noch rund 2,3 Jahre waren, 2026 dagegen nur noch rund 10 Stunden.“
Mit der Sequenzierung von KI-Modellen zu mehr Cybersicherheit
Diese Dynamik wirkt sich darauf aus, ob Hersteller das Schließen von Sicherheitslücken – und User:innen das Installieren von Patches – überhaupt noch als sinnhaft erachten. „Wenn die Angreifer schneller neue Schwachstellen entdecken, als die User ihre Software updaten können, beginnt das System zu oszillieren“, erklärt Landolt. Im sprichwörtlichen Red Queen’s Race fallen Software-Hersteller und -User:innen dann zurück, ganz egal, wie schnell sie laufen: „Der Nutzen, einen Patch online zu stellen wird negativ, und der Nutzen, einen Patch nicht online zu stellen, wird ebenfalls negativ. Wenn wir in diesem Bereich operieren, ist es schlecht, egal was wir tun.“ Vor diesem Hintergrund plädiert Landolt dafür, neue Frontier-Modelle schrittweise zu veröffentlichen und Software-Herstellern als Erstes Zugang zu ihnen zu gewähren: „Durch diesen Vorsprung können wir ein Incentive dafür setzen, dass alle Patches schon bereitstehen, wenn ein neues KI-Modell öffentlich zugänglich wird. So könnte ich meine Software wieder sinnvoll schützen.“
Im oben genannten Fall von Claude Mythos Preview entschied sich Anthropic zu einem ähnlichen Vorgehen: Im Rahmen von „Project Glasswing“ wurde das Modell nur ausgewählten US-Techkonzernen zugänglich gemacht. Was Landolt und seine Co-Autor:innen Tobias Lorenz, Marta Kwiatkowska und Mario Fritz in „The Oracle’s Gambit“ vorschlagen, betrifft potenziell die gesamte KI-Industrie: Mit einem Ansatz aus der Spieltheorie, dem Stackelberg-Modell, haben sie berechnet, wie man den Zugang zu neuen Frontier-Modellen optimal im Sinne der Cybersicherheit sequenzieren könnte. „Wir haben keine wissenschaftliche Literatur gefunden, die den Einfluss von neuveröffentlichten KI-Modellen auf die Cybersicherheit analysiert“, erläutert Landolt. „Deswegen haben wir ein Modell aufgestellt, das wir mit einem exakten Wert lösen können, damit wir die Validierung der Community bekommen und Rückmeldung erhalten können, ob es Dynamiken in der Praxis gibt, die wir nicht berücksichtigt haben.“
„The Oracle’s Gambit“: Ein Stackelberg-Spiel auf zwei Ebenen
Mit ihrer Umsetzung des Stackelberg-Modells präsentieren die Forschenden ein strategisches Spiel auf zwei Ebenen. Auf der ersten Ebene tritt das Frontier Lab selbst als Spieler auf. Es schlägt eine Release Policy für ein neues Frontier-Modell vor und bestimmt damit, auf welche Art und Weise die KI veröffentlicht wird. Damit legt es zugleich die Spielregeln fest, nach denen Cyberkriminelle und Software-Hersteller auf der zweiten Ebene gegeneinander antreten. In diesem zweiten Spiel entwickeln die Hersteller mithilfe der KI Patches für eine bestimmte Anzahl von Schwachstellen, während die Cyberkriminellen das Modell dazu verwenden, diese Schwachstellen auszubeuten. Dabei befinden sich die Hersteller in einem strukturellen Nachteil. „Der Verteidiger muss nicht nur Sicherheit gewährleisten, sondern auch Verfügbarkeit: Eine Schwachstelle muss erkannt, ein Patch gebaut und getestet und veröffentlicht werden“, erklärt Landolt. „Der Angreifer hat es leichter, denn ihm ist es egal, ob er einen Absturz herbeiführt.“ Zudem müssen die Hersteller entscheiden, ob sie den Patch veröffentlichen oder zurückhalten. Dies ist eine strategische Abwägung, denn ist der Patch erst einmal bekannt, kann er von der gegnerischen Seite rückentwickelt und für Exploits genutzt werden.
Sobald dieses Spiel zu einem abschließenden Wert kommt, fällt der nächste Spielzug zurück an das Frontier Lab. Es muss nun eine Veröffentlichungsstrategie finden, die das größtmögliche gesellschaftliche Wohlergehen verspricht. Im Modell von Landolt und seinen Kolleg:innen ist das Frontier Lab dabei nicht allein von Altruismus, sondern auch von wirtschaftlichen Anreizen motiviert. „Disclosure Policies bei Software-Herstellern gehen in der Regel davon aus, dass die Entwickler selbst ein maximales Interesse daran haben, ihre User zu schützen. Bei einem Frontier Lab ist die Kundenbindung aber eine andere, denn die User einer Software sind ja nicht unbedingt Kunden des Frontier Labs“, erläutert Landolt. „Unser Spiel sieht vor, dass das Frontier Lab die Opportunity Costs seines verpassten Marktanteils balanciert mit dem Welfare des ganzen Systems. Die Idee dahinter ist, dass der Reputationsverlust des Frontier Labs sehr hoch sein könnte, wenn seine Modelle für bösartige Zwecke verwendet würden.“ In „The Oracle’s Gambit“ wirken am Gemeinwohl orientierte Veröffentlichungsstrategien also zugleich wirtschaftlichen Einbußen entgegen.
Spieltheorie und Cybersicherheit: Einbezug des Gegenübers
Es ist kein Zufall, dass die Forschenden einen spieltheoretischen Ansatz gewählt haben, um eine sinnvoll sequenzierte Veröffentlichung von Frontier-Modellen zu berechnen. „Cybersecurity und Spieltheorie ist eine gängige Kombination, aus theoretischen Überlegungen heraus. Viele Optimierungsprobleme in der Mathematik gehen von einer starren Umgebung aus. Aber in der Spieltheorie versuchen wir, optimale Lösungen zu finden unter Einbezug des Gegenübers“, sagt Landolt. Dieser Einbezug eines Dritten und der Dynamik, die er in die Interaktion einbringt, hat die Forschenden bei der Modellierung des Spielablaufs jedoch vor logistische Herausforderungen gestellt. „Wenn wir alle möglichen Interaktionen zwischen Angreifer und Verteidiger berücksichtigen, wird unser Spiel zu komplex. Wir mussten also auf vereinfachte Lösungsalgorithmen oder Annahmen zurückgreifen. Und selbst für das vereinfachte Modell haben wir zwei Terrabyte Arbeitsspeicher benötigt, nur um das Spiel einmal lösen zu können.“ Das Ergebnis ihrer Berchnungen präsentieren die Forschenden heute auf der GameSec in Michigan, der weltweit einzigen Konferenz, die Themen und Expert:innen aus Spieltheorie und KI für Sicherheit vereint.
Wissenschaftliche Veröffentlichung
Landolt, Christoph; Lorenz, Tobias; Kwiatkowska, Marta; Fritz, Mario (2026) “The Oracle's Gambit: A Game-Theoretic Framework for Responsible AI Release” In: The 17th Conference on Game Theory and AI for Security (GameSec-26), 26-28 Oct. 2026, Ann Arbor, MI, USA
