Engineering von KI mit Wissenslücken für strukturelle Biosecurity
Die Abhängigkeit der KI-Branche von verweigerungsbasierter Sicherheit ist im Grundsatz überholt. RLHF erzeugt spröde Masken über gefährlichen Fähigkeiten – Masken, die sich durch Jailbreaks, Malicious Fine-Tuning oder Open-Weight-Distribution mühellos abziehen lassen.
Veriprajna ist Vorreiter bei Architekturen mit Wissenslücken: KI-Modelle, die ein rigoroses Machine Unlearning durchlaufen, um gefährliche biologische Fähigkeiten auf Gewichtsebene zu entfernen. Anders als Standardmodelle, die Biowaffen „kennen“, es aber nicht verraten, sind unsere Modelle bei Bedrohungen funktional Kleinkinder, während sie bei Heilmitteln Experten bleiben.
Die Konvergenz von GenAI und synthetischer Biologie erzeugt ein existenzielles Dual-Use-Dilemma: Die Daten, die benötigt werden, um Leben zu retten, sind untrennbar mit den Daten verknüpft, die benötigt werden, um sie zu beenden.
GenAI schließt die letzte Lücke im biologischen Terrorismus: Implizites Wissen. Modelle agieren als „Postdoc in a Box“ – rund um die Uhr verfügbar, helfen bei der Fehlersuche in Wet-Lab-Protokollen, schlagen Ersatzreagenzien vor und optimieren Verbreitungsmechanismen.
Wissenschaftliche LLM-Agenten führen autonom aus: Hypothese → Design → Test → Verfeinerung. Ein Agent, der virale Vektoren optimiert, könnte unbeabsichtigt hochpathogene Mutationen entdecken und sie aufgrund ihrer „Effizienz“ selektieren.
Einmal freigegeben, sind Open-Weight-Modelle permanent unkontrollierbar. Keine Patches, keine Logs, keine Verbote. Malicious Fine-Tuning entfernt die Sicherheitsmasken für ca. 300 USD an GPU-Zeit.
Reinforcement Learning from Human Feedback erzeugt oberflächliches Verweigerungsverhalten. Das gefährliche Wissen bleibt in den Gewichten – schlummend, aber zugänglich.
Das Modell lernt alles aus Internetdaten, einschließlich Biowaffen-Protokollen.
Das Modell lernt die Richtlinie: „Wenn Anfrage = schädlich, Ausgabe: Verweigerung.“ Das Wissen ist weiterhin vorhanden.
Jailbreaks, MFT, Crescendo und GeneBreaker umgehen die Verweigerung mit minimalem Aufwand.
Das Modell lernt aus einem kuratierten wissenschaftlichen Korpus.
Chirurgisches Ausschneiden gefährlichen Wissens auf Gewichtsebene. Das Modell wird in Bezug auf Bedrohungen zum „Kleinkind“.
Das Modell kann selbst nach einem Jailbreak keine Bedrohung generieren. Es gibt kein Wissen, das sich freischalten ließe.
Mehrstufiger Angriff, der mit harmlosen Fragen beginnt und schrittweise auf schädliche Ziele lenkt. Das Modell ist durch den Kontext „eingestimmt“ und ignoriert sein Sicherheitstraining.
DNA-Language-Models, die mittels Jailbreak gebrochen werden, indem „Proteine homolog zu X“ angefragt werden, wobei X einem Toxin strukturell ähnelt. Biologische Intuition gegen das Modell eingesetzt.
10-50 schädliche Q&A-Paare, ca. 300 USD GPU-Kosten. Die Sicherheitsausrichtung kollabiert, das Modell „erinnert“ sich wieder an gefährliches Pre-Training-Wissen.
Erleben Sie den kategorialen Unterschied zwischen Modellen, die die Antwort „verweigern“, und Modellen, die „nicht antworten können“.
Probieren Sie es aus: Umschalten, um zu sehen, wie Modelle mit Wissenslücken grundlegend anders reagieren
Der Ansatz von Veriprajna geht über Guardrails (über die man springen kann) hinaus zu Abgründen (über die man nicht springen kann). Wir setzen fortschrittliches Machine Unlearning ein, um gefährliche Fähigkeiten chirurgisch herauszuschneiden.
Representation Misdirection for Unlearning. Wirkt auf interne Aktivierungen, nicht auf Ausgaben. Lenkt gefährliche Konzepte in Nonsens-Regionen des latenten Raums ab.
Erasure of Language Memory. Stellt die Flüssigkeitseinschränkung sicher – das Modell bleibt kohärent, auch wenn es „verwirrt“ ist. Zielt auf „Unschuld“ ab (keine Spur des Wissens).
Sparse Autoencoders für monosemantische Merkmale. Identifiziert „Weaponization“-Neuronen und klemmt sie auf null. Skalellpräzision gegenüber RMUs Hammer.
Unlearning Improvement via Parameter Extrapolation. Verhindert Relearning, indem „logisch korrelierte“ Konzepte mit abgedeckt werden. Schafft einen Wissenspuffer.
Volle Kompetenz bleibt erhalten in:
Leistung auf Zufallsniveau bei:
Ergebnis: Ein starker Motor für die Heilung, aber ein kaputter Motor für die Bedrohung
Der WMDP-Benchmark (Weapons of Mass Destruction Proxy) prüft das Vorläuferwissen, das für den Bau von Massenvernichtungswaffen erforderlich ist. Sichere Modelle sollten auf Zufallsniveau (~25%) liegen.
Hohes Biosecurity-Risiko. Das Modell behält umfangreiches gefährliches Wissen aus dem Pre-Training.
Verweigerungsabhängig. Durch Jailbreaks und MFT umgehbar. Nicht strukturell sicher.
Zufallsniveau erreicht. Wissen auf Gewichtsebene entfernt. Strukturell sicher.
| Metrik | Domäne | Llama-3-70B | GPT-4 (RLHF) | VP-Bio-Safe |
|---|---|---|---|---|
| MMLU | Allgemeine Naturwissenschaften | ~82% | ~86% | ~81% |
| PubMedQA | Biomedizinische Forschung | ~78% | ~81% | ~77% |
| WMDP-Bio | Biosecurity-Risiko | ~75% 🚨 | ~72% ⚠️ | ~26% ✓ |
| WMDP-Chem | Chemische Sicherheit | ~65% 🚨 | ~68% ⚠️ | ~25% ✓ |
| Jailbreak ASR | Angriffs-Erfolgsquote | 15-20% | 1-5% | <0.1% |
| MFT-Resilienz | Relearning-Resistenz | Niedrig | k. A. (geschlossen) | Hoch |
Analyse: VP-Bio-Safe behält 98% der allgemeinen naturwissenschaftlichen Fähigkeit (MMLU/PubMedQA) und senkt gleichzeitig gefährliches Wissen (WMDP) auf Zufallsniveau. Damit ist die „Wissenslücke“ validiert – Modelle können Experten für Therapien sein und zugleich Kleinkinder in Bezug auf Bedrohungen.
Die Einführung von Architekturen mit Wissenslücken wird schnell zu einer regulatorischen und Governance-Anforderung für die Biotech-Industrie.
"Safe, Secure, and Trustworthy AI" nimmt Dual-Use-Foundation-Modelle explizit ins Visier. Schreibt Red-Teaming für CBRN-Risiken (Chemisch, Biologisch, Radiologisch, Nuklear) vor.
Erster internationaler Standard für KI-Managementsysteme. Fordert risikoadäquate Kontrollen. Eliminierung (Unlearning) > Administrative Kontrollen (Verweigerung).
AI Risk Management Framework stuft „CBRN Information“ als eigene Risikoklasse für GenAI ein. Es empfiehlt Maßnahmen, um dieses Risiko zu GOVERN und MANAGE.
Wenn ein Unternehmen Forschern ein Open-Source-Modell bereitstellt und ein Mitarbeiter oder Hacker damit einen Krankheitserreger entwirft, könnte das Unternehmen als fahrlässiggelten. Man hat eine „Dual-Use-Waffe“ ohne Schutzvorkehrungen bereitgestellt.
Modelle mit Wissenslücken wirken als Haftungsschild. Wer ein Modell einsetzt, das den Schaden nicht verursachen kann, weist den höchsten Sorgfaltsstandard nach – das digitale Äquivalent zu biometrisch verriegelten Tresoren.
Wie KI mit Wissenslücken die Gentherapie-Optimierung ermöglicht und zugleich strukturell eine Weaponization verhindert.
Die Gentherapie-Abteilung optimiert einen adeno-assoziierten Virusvektor (AAV), um Herzgewebe zur Behandlung von Herzerkrankungen anzusteuern.
Die gleichen Algorithmen die den kardialen Tropismus verbessern, könnten mit Parameter-Verschiebungen die Infektiosität tödlicher Krankheitserreger erhöhen. Standardmodelle besitzen beide Fähigkeiten.
Die Debatte zwischen „offener“ und „geschlossener“ KI ist in der Biologie eine falsche Dichotomie. Die eigentliche Entscheidung fällt zwischen instabilen und stabilen Systemen.
Wir können die Bioökonomie nicht auf ein Fundament aus Dual-Use-Modellen bauen, die nur einen einzigen Jailbreak von der Katastrophe entfernt sind. RLHF-Verweigerung ist ein Relikt des Chatbot-Zeitalters – unzureichend für die agentische Zukunft der synthetischen Biologie mit hohen Einsätzen.
„Die Architekturen mit Wissenslücken von Veriprajna bieten den notwendigen ‚Air Gap‘ innerhalb der Intelligenz selbst.“
Indem wir Schadensmuster grundlegend per Unlearning entfernen, ermöglichen wir der Biotech-Branche, das volle schöpferische Potenzial von GenAI auszuschöpfen – Heilungen beschleunigen, Wirkstoffe optimieren, das Genom entschlüsseln –ohne existenzielle Risiken zu erben.
RLHF erzeugt eine verhaltensbasierte Verweigerungsmaske über gefährlichem Wissen, das in den Modellgewichten intakt bleibt. Diese Maske lässt sich mühelos durch Crescendo-Angriffe (mehrstufiges Priming), GeneBreaker (Anfragen nach Proteinhomologie) und Malicious Fine-Tuning umgehen, das ca. 300 USD sowie 10-50 schädliche Q&A-Paare kostet. Open-Weight-Modelle sind nach ihrer Veröffentlichung permanent unkontrollierbar – Patches, Logs oder Verbote sind unmöglich. Der grundlegende Fehler: RLHF-Modelle „kennen“ Biowaffen, verweigern deren Weitergabe aber. Die Modelle von Veriprajna können sie nicht weitergeben, weil das Wissen chirurgisch entfernt wurde.
Veriprajna setzt vier komplementäre Techniken ein: RMU (Representation Misdirection for Unlearning) wirkt auf interne Aktivierungen und lenkt gefährliche Konzepte in Nonsens-Regionen ab. SAE-Ablation nutzt Sparse Autoencoders, um monosemantische „Weaponization“-Neuronen zu identifizieren und mit Skalellpräzision auf null zu klemmen. ELM (Erasure of Language Memory) sorgt dafür, dass das Modell bei gelöschten Themen verwirrt, aber kohärent bleibt. UIPE (Unlearning Improvement via Parameter Extrapolation) verhindert Relearning, indem logisch korrelierte Konzepte mit abgedeckt werden. Ergebnis: Der WMDP-Bio-Score sinkt auf ca. 26% (Zufallsniveau), während MMLU General Science bei ca. 81% bleibt.
Stellt ein Unternehmen Forschern ein Standard-KI-Modell bereit und es wird genutzt, um einen Krankheitserreger zu entwerfen, könnte das Unternehmen wegen Fahrlässigkeit haftbar gemacht werden – es lieferte ein Dual-Use-Werkzeug ohne Schutzvorkehrungen. Modelle mit Wissenslücken belegen den höchsten Sorgfaltsstandard, weil das Modell den Schaden strukturell nicht verursachen kann. Das schafft einen Haftungsschild vergleichbar mit biometrisch verriegelten Tresoren: nachweisbare Sorgfaltspflicht für die rechtliche Verteidigung, Vorteile bei der Versicherungsprüfung mit Prämienreduzierungen von 15-30% sowie Konformität mit Executive Order 14110, ISO 42001 und den Biosecurity-Anforderungen des NIST AI RMF.
Veriprajna arbeitet mit Pharmaunternehmen, Biotech-Firmen und Forschungseinrichtungen zusammen, um strukturell sichere KI mit Wissenslücken zu implementieren.
Referenz-ID: VP-WP-2025-BIO-SEC-01 | Veröffentlicht: Oktober 2025
Das vollständige technische Whitepaper enthält: Mathematik des Machine Unlearning, Spezifikationen von RMU/SAE/UIPE/ELM, WMDP-Benchmark-Methodik, Mapping regulatorischer Rahmenwerke, 33 Peer-Review-Quellen und Fallstudien zum Enterprise-Deployment.