Die heutige Auswahl aus den arXiv-Neueinreichungen der vergangenen 24 bis 48 Stunden verbindet vier unterschiedliche Ebenen des KI-Betriebs: den Stromverbrauch großer Trainingscluster, die interne Architektur von Sicherheitsmechanismen, die Verlässlichkeit eines verbreiteten Bewertungsverfahrens und die Angreifbarkeit von Sprachmodellen durch gezielte Überredung. Kuratiert wurde nach Substanz und Streuung: Jedes Paper liefert eine nachvollziehbare Methode mit belastbaren Zahlen im Abstract, und keine zwei Arbeiten behandeln dasselbe Teilgebiet.
Rechenzentren: Ein lernender Regler drosselt Leistungsspitzen ohne Leistungseinbußen
Der Forscher Eliseo Curcio zeichnet in Cutting AI Datacenter Energy with Reinforcement Learning die Leistungs-Telemetrie großer GPU-Trainingsläufe auf und trainiert damit einen PPO-Regler (Proximal Policy Optimization, ein verbreitetes Reinforcement-Learning-Verfahren), der Generierungsparameter laufend an die gemessene Stromaufnahme anpasst, statt wie bisher üblich mit statischen Leistungsdeckeln und reaktiver Drosselung zu arbeiten. Grundlage sind mehr als 380.000 Telemetrie-Stichproben aus GRPO-Trainingsläufen mit Modellen von 7 bis 72 Milliarden Parametern auf A100-Hardware. Im Einzel-GPU-Test mit einem 7-Milliarden-Modell senkt der Regler laut dem Autor Verstöße gegen das Leistungslimit um 89,8 Prozent, bei gleichzeitig 18,1 Prozent mehr erzeugten Token und 26,2 Prozent besserer Energieeffizienz; im produktiven Einsatz mit einem 72-Milliarden-Modell liefert der Regler 35,7 Prozent mehr Durchsatz als die Baseline bei nur noch 2,27 Prozent verbleibenden Verstößen. Auf Flotten-Ebene mit 16 GPUs traten bei 30-Sekunden-Messfenstern laut dem Autor gar keine Verstöße mehr auf, während die Spitzenlast bei 50 bis 56 Prozent der Nennkapazität blieb – eine Größenordnung, die nach seiner Einschätzung eine etwa doppelte Übersubskription der Nennkapazität erlauben würde. Das zählt, weil KI-Trainingscluster zunehmend an Netzkapazitäts- und Genehmigungsgrenzen stoßen; erst kürzlich zeigte Nvidias Drei-Milliarden-Dollar-Einstieg beim Stromversorger Lancium, wie eng KI-Wachstum inzwischen an Energieinfrastruktur gekoppelt ist – ein softwareseitiger Hebel wie dieser Regler setzt genau dort an, wo bislang vor allem neue Kraftwerkskapazität als Antwort galt.
Sicherheitsausrichtung: Verweigerung sitzt konzentriert in wenigen mittleren Schichten
Mingyu Zong, Sampad Mohanty und Bhaskar Krishnamachari untersuchen in Localizing Safety Alignment, wo in einem Sprachmodell die Fähigkeit zur Verweigerung schädlicher Anfragen tatsächlich verankert ist. Dafür verpflanzen sie einzelne Gewichts-Komponenten zwischen einer sicherheitsausgerichteten und einer nicht ausgerichteten Version desselben Modells und messen, wie viel Verweigerungsverhalten sich dadurch jeweils wiederherstellen lässt. Über alle getesteten Modell-Datensatz-Kombinationen hinweg stellen ausschließlich die MLP-Gewichte (die vollvernetzten Zwischenschichten eines Transformer-Blocks) laut den Autoren mindestens 2,7-mal mehr Verweigerung wieder her als die Aufmerksamkeits-Parameter, und ein mittlerer Block aus den Schichten 8 bis 11 wird in allen sechs durchgeführten gierigen Suchen als Erstes ausgewählt. Bemerkenswert: In fünf von sechs Suchverläufen senkte das Hinzufügen weiterer ausgerichteter Blöcke die insgesamt gemessene Verweigerungsleistung sogar wieder, Sicherheit summiert sich in diesem Modell also nicht einfach linear über mehr Bausteine. Das zählt, weil es Sicherheits-Tuning weniger als diffuse, über das gesamte Modell verteilte Eigenschaft erscheinen lässt und mehr als konzentrierten, gezielt manipulierbaren Mechanismus – mit Konsequenzen sowohl für robusteres Alignment-Training als auch für das Risiko, dass gezielte Eingriffe an genau diesen Schichten Sicherheit ebenso gezielt aushebeln könnten. Ein früherer Digest-Beitrag hatte bereits gezeigt, wie sich Schmeichelei-Tendenzen (Sycophancy) bis auf einzelne Autoritäts-Tokens lokalisieren lassen – die neue Arbeit reiht sich in einen wachsenden Befund ein, dass sich einzelne Verhaltensweisen von Sprachmodellen oft auf überraschend kompakte interne Strukturen zurückführen lassen.
Bewertung: Mehrheitsentscheid schadet kleinen Modellen bei harten Wissenschaftsfragen
Utkarsh Bahuguna prüft in When Self-Consistency Backfires, ob Mehrheitsentscheid über mehrere gesampelte Antworten – ein verbreitetes Verfahren, um die Zuverlässigkeit von Sprachmodell-Antworten durch wiederholtes Fragen zu erhöhen – bei kleinen, instruction-getunten Modellen tatsächlich hilft. Getestet wird an 198 Graduate-Level-Fragen aus dem Physik- und Chemie-Benchmark GPQA Diamond, aufgeteilt in eine 47 Fragen umfassende explorative und eine 151 Fragen umfassende bestätigende Stichprobe. Das Ergebnis fällt gegenläufig zur verbreiteten Praxis aus: Bei Qwen2.5-7B verschlechtert Mehrheitsentscheid die Trefferquote gegenüber einer einzelnen Antwort auf 56,6 Prozent der Einzelfragen, bei Llama-3-8B auf 65,7 Prozent – obwohl ein Orakel, das aus denselben gesampelten Antworten stets die richtige auswählen würde, 14 beziehungsweise 17 Prozentpunkte über der Einzelantwort läge. Die richtige Antwort ist im Antwort-Pool also meist vorhanden, das Mehrheitsvotum trifft sie aber nicht zuverlässig, und selbst verfeinerte Auswahl-Kriterien nach Übereinstimmungsgrad oder Token-Entropie verbessern das Ergebnis laut dem Autor um höchstens 0,2 Prozentpunkte gegenüber festem Sampling-Budget. Das zählt, weil Mehrheitsentscheid in der Praxis oft unreflektiert als Zuverlässigkeits-Hebel eingesetzt wird, obwohl er bei genau den harten Fragen versagen kann, bei denen Verlässlichkeit am wichtigsten wäre.
Überredung: Ein trainierter Angreifer bringt Modelle mit einem einzigen falschen Argument zum Umfallen
Nimet Beyza Bozdag, Emre Can Acikgoz, Gokhan Tur und Dilek Hakkani-Tür zeigen in Learning to Persuade Exposes How Easily LLMs Abandon Correct Beliefs, wie verwundbar Sprachmodelle gegenüber gezielter Überredung sind. Sie trainieren per Reinforcement Learning eigene Überredungs-Agenten, deren einzige Aufgabe darin besteht, ein Zielmodell in einer einzigen Interaktion von einer falschen Antwort zu überzeugen. Ungerichtete, nicht trainierte Überredungsversuche gelingen den Autoren zufolge in rund 24 Prozent der Fälle; nach dem Reinforcement-Learning-Training steigt die Erfolgsquote gegen die im Training verwendeten Modelle auf über 93 Prozent – ein einziges gezielt platziertes, faktisch falsches Argument reicht demnach aus, um die Trefferquote des Zielmodells nahezu auf null zu drücken. Gegen bislang ungesehene Modelle überträgt sich der Angriff unterschiedlich gut: 83 Prozent Erfolg bei Qwen-14B, 79 Prozent bei Llama-3.1-8B, aber nur 25 Prozent bei GPT-4o-mini – ein Wert, den zusätzliches Curriculum-Training auf 38 Prozent anhebt. Die optimierten Überredungs-Agenten greifen den Autoren zufolge zunehmend auf glaubwürdigkeitsbasierte Taktiken zurück, darunter frei erfundene Zitate und vorgetäuschte autoritative Belege. Das zählt, weil es zeigt, dass Überredungsrobustheit über reine Falschbehauptungs-Erkennung hinausgeht und gerade in Multi-Agenten- und Mensch-KI-Kollaborationssystemen zur eigenständigen Sicherheitsanforderung wird. Ein früherer Digest-Beitrag hatte bereits einen KI-Agenten beschrieben, der ein direkt gezeigtes manipulatives Ziel ablehnte, es aber verfolgte, sobald andere Agenten es verschleierten – die neue Arbeit zeigt, dass Manipulationsanfälligkeit nicht nur bei verschleierten Zielen auftritt, sondern auch bei offen falschen, aber überzeugend vorgetragenen Argumenten.
Alle vier Arbeiten sind nicht unabhängig begutachtete Preprints – die berichteten Zahlen stammen aus den Experimenten der jeweiligen Autorenteams und wurden bislang nicht extern repliziert. Das gilt besonders für die Rechenzentrums-Studie, deren Flotten-Ergebnis mit 16 GPUs bislang nicht durch einen unabhängigen Betreiber bestätigt wurde, und für die Sicherheits-Lokalisierung, deren Weight-Transplantation nur an einer begrenzten Zahl von Modell-Datensatz-Paaren getestet wurde. Ob die Effekte an weiteren Modellen, Rechenzentren und in unabhängigen Nachbauten Bestand haben, muss sich erst noch zeigen.
