Aus den arXiv-Neueinreichungen der vergangenen 24 bis 48 Stunden in cs.AI und cs.CL wählt dieser Digest fünf Preprints aus, die Entwicklung oder Einsatz von KI-Systemen konkret berühren: wie verlässlich automatisierte Bewertung ist, wie tief Sicherheitslücken in Agenten-Pipelines reichen, ob sich verstecktes Verhaltens-Lernen reproduzieren lässt, wie weit ein einziger Agent ohne Spezialtraining einen Roboter steuern kann – und warum selbst sorgfältig trainierte Modelle aus reiner Speicherknappheit halluzinieren müssen. Kuratiert wurde nach nachvollziehbarer Methodik im Abstract, konkreten Kernergebnissen und thematischer Streuung statt fünffacher Wiederholung desselben Teilgebiets.
Sicherheit und Bewertung von Agenten
Jailbreaks treffen zunehmend agentische KI-Systeme
Eine Systematisierungsarbeit (arXiv:2609.12413) von Md Jueal Mia und Koautoren ordnet Angriffs- und Verteidigungsverfahren gegen Jailbreaks erstmals entlang der gesamten Ausführungskette agentischer KI-Systeme statt nur entlang der einzelnen Antwort. Die Autoren berichten, starkes natives Sicherheits-Alignment schütze nicht zuverlässig vor gezielten Angriffen, und die Wirksamkeit von Abwehrmaßnahmen schwanke stark zwischen Modellen und Kontexten. Zentraler Befund: Eine unauffällige Endantwort könne eine schwere Kompromittierung in Planung, Gedächtnis oder Werkzeugnutzung verdecken – ein Muster, das sich mit realen Vorfällen wie der gekaperten Log-Vertrauenskette bei Coding-Agenten deckt. Die Arbeit plädiert dafür, Sicherheitsprüfungen künftig auf einzelne Komponenten der Ausführungskette statt nur auf die sichtbare Antwort auszurichten.
Subliminal Learning: reproduzierbar, aber nicht universell
Subliminal Learning beschreibt das Phänomen, dass ein trainiertes Modell über völlig themenfremde Daten – etwa Zahlenfolgen oder Code – Verhaltens-Vorlieben an ein zweites Modell weitergibt, das mit diesen Daten trainiert wird. Eine Replikationsstudie (arXiv:2609.12586) von Daan van der Weijden, Nathan Brack und Selene Baez Santamaria testet den Effekt erstmals systematisch an offenen Modellen mit öffentlich zugänglichen Checkpoints, da das ursprüngliche GPT-4.x-Experiment nicht mehr nachstellbar sei. Die Autoren bestätigen den Grundeffekt, betonen jedoch, die Übertragungsstärke variiere deutlich zwischen Merkmalen und Aufgaben – bei einem der getesteten Modelle sei praktisch kein Effekt messbar gewesen. Für die Praxis heißt das: Wer Trainingsdaten eines fremden Modells übernimmt, kann sich nicht darauf verlassen, dass versteckte Vorlieben zuverlässig mitwandern oder zuverlässig ausbleiben.
Wenn der KI-Richter Zufriedenheit mit Erfolg verwechselt
Viele Anbieter lassen Agenten von simulierten Nutzer-Personas testen und einen zweiten Sprachmodell-Richter die Gespräche bewerten, bevor eine neue Version freigegeben wird. GAUGE (arXiv:2609.12191) von Umesh Bodhwani, Thanh Tran und Kai Wei prüft dieses Verfahren an 25 Agenten aus sechs Anbietern. Das Ergebnis fällt deutlich aus: 57,5 Prozent der von einem blinden Gutachterpanel als „zufrieden” eingestuften Gespräche scheiterten tatsächlich an der Aufgabe – Zufriedenheit sage laut den Autoren praktisch nichts über den Erfolg voraus. Bei nahezu gleich starken Agenten steigt die Fehlentscheidungsquote des Richterverfahrens zudem von unter 1 auf 31 Prozent, ähnlich unzuverlässig zeigten sich KI-Richter bereits in einem früheren Digest zu Bewertungsverfahren. Als Gegenmaßnahme schlagen die Autoren einen kostenlosen Zusatzcheck vor, der zumindest abgebrochene Antworten zuverlässig erkennt.
Handeln und Erklären
Ein Agent steuert einen Roboter ganz ohne Spezialtraining
Statt eines auf Roboterdaten trainierten Steuerungsmodells setzen Mengzhao Jia und Koautoren (arXiv:2609.12541) einen allgemeinen KI-Agenten direkt als Regler ein: Er interpretiert Kamerabilder, erzeugt ausführbaren Code, gibt Bewegungsbefehle aus und passt sein Vorgehen anhand physischer Rückmeldung an – ganz ohne aufgaben- oder umgebungsspezifisches Training. In Tests zu Montage, Objekt-Neuausrichtung, Wurfbewegungen und beidhändiger Manipulation erreiche der Ansatz nach Angaben der Autoren bei drei Blockbau-Konfigurationen Erfolgsquoten von 100, 100 und 80 Prozent. Der Befund reiht sich neben frühere Arbeiten wie das chinesische Weltmodell Orca ein, die zeigen, wie wenig aufgabenspezifische Trainingsdaten für Robotik-Aufgaben inzwischen nötig sein können – allerdings mit einem grundlegend anderen Ansatz: Laufzeit-Reasoning statt gelernter Weltmodelle.
Warum Kompression allein schon Halluzinationen erzeugt
Halluzinationen gelten meist als Wissenslücke: Ein Modell habe die passende Tatsache nie gesehen. Xi Wang, Shijia Xu und Rongfeng Guo zeigen in einer informationstheoretischen Arbeit (arXiv:2609.12111), dass ein zweiter, unabhängiger Fehlermechanismus existiert: Selbst beobachtete Fakten ließen sich bei begrenztem Speicher nur verlustbehaftet ablegen. Die Autoren leiten eine mathematische untere Schranke für die Fehlerrate her, die Kompressionsverlust bei bekannten Fakten von reiner Wissenslücke bei unbekannten trennt, und stützen die vorhergesagten Muster mit kontrollierten Experimenten an realen Sprachmodellen. Praktisch liefert die Arbeit damit ein Argument dafür, warum selektives Gedächtnis, Retrieval und bewusstes Nicht-Antworten Halluzinationen strukturell begrenzen können, ohne sie vollständig zu beseitigen.
Alle fünf Arbeiten sind unbegutachtete Preprints, veröffentlicht in den vergangenen zwei Tagen; die hier referierten Zahlen stammen aus den Abstracts der Autoren und sind bislang nicht durch unabhängige Begutachtung bestätigt. Ob sich etwa die Subliminal-Learning-Befunde oder die Rate-Distortion-Schranke auf größere Modellfamilien und reale Einsatzszenarien übertragen lassen, werden erst Replikationen und Peer-Review zeigen.
