K-Bench: Wenn KI-Agenten vergessen sollen, aber doch alles verraten
Forscher zeigen, dass gängige Tests für das maschinelle Vergessen von KI-Modellen versagen, sobald diese Modelle als Agenten eingesetzt werden. Ein neuer Benchmark namens K-Bench deckt auf, wie geheime Informationen über versteckte Kanäle weiterhin durchsickern.
👁 115 Aufrufe
- K-Bench misst Informationsabfluss über sechs Kanäle gleichzeitig - darunter Gedankenkette, Werkzeugaufrufe und Beobachtungen - und stellt fest, dass Agenten Geheimnisse in 22 bis 86 Prozent der Anfragen leaken.
- Keine der zwanzig evaluierten Unlearning-Methoden entfernt ein in den Modellgewichten gespeichertes Geheimnis nachweislich vollständig aus dem Agentenverhalten.
Guangsheng Yu, Yanna Jiang, Qin Wang, Baihe Ma und Xu Wang haben im September 2026 auf arXiv ein Paper vorgelegt, das ein grundlegendes Problem bei der Überprüfung des sogenannten „Unlearning“ von Sprachmodellen aufzeigt. Unlearning bezeichnet den Prozess, bei dem ein bereits trainiertes Modell gezielt bestimmte Informationen „vergessen“ soll - etwa sensible Personendaten oder gefährliches Wissen.
Was bisher als Beweis galt - und warum es nicht reicht
Bisherige Benchmarks wie TOFU und MUSE prüfen das Vergessen, indem sie die finale Antwort des Modells auslesen. Verweigert das Modell eine Antwort, gilt die Information als vergessen. Die Autoren nennen das einen „model-level certificate“ - ein Zertifikat auf Modellebene. Ihr zentrales Argument: Dieses Zertifikat überträgt sich nicht auf die Praxis, sobald das Modell als Agent eingesetzt wird.
Ein KI-Agent im Sinne dieses Papers ist ein System, das nach dem ReAct-Muster arbeitet - es denkt Schritt für Schritt nach, ruft Werkzeuge auf, wertet deren Ergebnisse aus und fasst am Ende zusammen. Genau hier liegt das Problem: Ein solcher Agent hat nicht einen einzigen Ausgabekanal, sondern sechs. K-Bench prüft alle sechs: die Gedankenkette (Chain-of-Thought, CoT), die Werkzeugaufrufe, die Beobachtungen aus den Werkzeugaufrufen und die abschließende Zusammenfassung.
Wie K-Bench funktioniert
Das Benchmark platziert ein Geheimnis jeweils in genau einer von drei Quellen des Agenten: in den Modellgewichten, im Prompt oder im Abrufspeicher (Retrieval Store). Eine Anfrage gilt als „geleakt“, wenn das Geheimnis in irgendeinem der sechs Kanäle auftaucht. Der daraus berechnete K-Score wird für jede Quelle getrennt ausgewiesen - und er rechnet das Vergessen nur dann als erfolgreich, wenn der Agent dabei weiterhin nutzbar bleibt.
Die konkreten Befunde
Die Ergebnisse sind deutlich. Wenn das Geheimnis im Prompt oder im Retrieval Store liegt, melden TOFU und MUSE keinen Informationsabfluss. Trotzdem leakt der eingesetzte Agent das Geheimnis bei 22 bis 86 Prozent der Anfragen. Das Sperren des Antwortkanals allein reicht also nicht: Bei strukturierten Abfragen bleibt das Geheimnis wortwörtlich im Werkzeugbeobachtungskanal erhalten, und die Gesamtleckrate bleibt unverändert.
Noch ernüchternder ist der Befund für den Fall, dass das Geheimnis in den Modellgewichten selbst steckt: Keine der zwanzig evaluierten, veröffentlichten Methoden entfernt es nachweislich. Lediglich eine Methode, die auf Eingabekorruption setzt, erreicht unter dem getesteten Beobachter ein selektives Vergessen. Welche Methode am besten abschneidet, hängt zudem vom verwendeten Basismodell ab - es gibt keine universell beste Lösung.
Ein weiterer Befund betrifft sogenannte Refusal-Tuning-Methoden: Eine solche Methode widersteht den getesteten Extraktionsversuchen, ohne dass eine tatsächliche Wissensentfernung nachgewiesen werden konnte. Das bedeutet, das Modell verweigert die Antwort, hat das Wissen aber möglicherweise noch.
Was im Paper fehlt
Das Paper liefert keine Angaben dazu, welche konkreten zwanzig Methoden evaluiert wurden - diese Information ist im Abstract nicht enthalten. Ebenso fehlen dort Details zu den verwendeten Basismodellen und zu den genauen Aufgabentypen innerhalb des Benchmarks.
Google · Deine QuellenWissnox höher in Ihrem Google - mit einem KlickZu bevorzugten Quellen hinzufügen →Was bedeutet das
Meiner Einschätzung nach zeigt dieses Paper ein strukturelles Versäumnis in der bisherigen Sicherheitsbewertung von Sprachmodellen: Die Forschungsgemeinschaft hat Vergessen bisher am falschen Ort gemessen - an der Oberfläche des Modells, nicht an seinem Verhalten als System. Wer heute einen Agenten einsetzt und darauf vertraut, dass ein bestandener TOFU- oder MUSE-Test Datenschutz oder Sicherheit garantiert, sitzt einem trügerischen Zertifikat auf. Das betrifft potenziell jeden Anwendungsfall, bei dem KI-Agenten mit sensiblen Informationen arbeiten - von Unternehmensanwendungen bis zu regulierten Bereichen wie dem Gesundheitswesen. K-Bench ist dabei kein abgeschlossenes Werkzeug, sondern zunächst ein Nachweis, dass das Problem real und messbar ist.
Quelle: arXiv cs.AI: K-Bench: A Benchmark for LLM Unlearning in Agentic Deployments (dokument z 2026-09-15). Diese Besprechung entstand auf Grundlage des vollständigen Dokumenttextes, nicht auf Basis von Medienberichten.
Häufig gestellte Fragen
Was ist K-Bench und wozu dient es?
K-Bench ist ein im September 2026 auf arXiv vorgestelltes Benchmark, das prüft, ob KI-Agenten nach einem Unlearning-Prozess sensible Informationen wirklich nicht mehr preisgeben. Es wurde von Guangsheng Yu und weiteren Autoren entwickelt und untersucht sechs verschiedene Ausgabekanäle eines Agenten statt nur die finale Antwort.
Warum reichen bisherige Unlearning-Tests wie TOFU und MUSE nicht aus?
TOFU und MUSE prüfen nur, ob das Modell in seiner finalen Antwort eine Information verweigert, erkennen aber nicht, wenn dasselbe Wissen über Werkzeugaufrufe oder die Gedankenkette nach außen gelangt. Laut K-Bench leaken Agenten Geheimnisse aus Prompt oder Retrieval Store trotz bestandenem TOFU- oder MUSE-Test in 22 bis 86 Prozent der Anfragen.
Welche Unlearning-Methode funktioniert am besten laut K-Bench?
Es gibt keine universell beste Methode - welche Methode am besten abschneidet, hängt vom verwendeten Basismodell ab. Lediglich eine Methode, die auf Eingabekorruption setzt, erreicht unter dem getesteten Beobachter ein selektives Vergessen.
Was bedeutet es, wenn ein Modell eine Antwort verweigert, das Wissen aber noch hat?
Das Paper bezeichnet solche Fälle als Refusal-Tuning: Das Modell blockiert die direkte Antwort, ohne das Wissen tatsächlich zu entfernen. Eine getestete Refusal-Tuning-Methode widerstand den Extraktionsversuchen, ohne dass eine nachweisliche Wissensentfernung belegt werden konnte.
Schulprotest in Rom legt vergessene römische Villa mit Fresken aus der Kaiserzeit freiArchäologie
20 Jahre Warten auf den heiligen Gral: Wie ein vergessener Laser-Trick die Photonik revolutioniertTechnologie
Als ein Dichter rote Lichter sah: Was Baumringe über die ungezähmte Sonne des Mittelalters verratenWeltraumMore on this from WISSNOX
technik·Windows Herunterfahren: Der größte Bluff seit der DigitaluhrDer Knopf tut nicht, was er verspricht. Ich habe meinen PC jahrelang falsch ausgeschaltet - und erst ein Neustart hat mich geheilt.