Falt dir deine eigene KI · Teil 4 von 6

Neun Lagen Papier zwischen meiner KI und meinem PC

origami darf auf meinem PC Befehle ausführen, Dateien schreiben und im Browser klicken. Damit dabei nichts kaputtgeht, gibt's neun Schutzschichten. Fast jede ist entstanden, weil ein Test eine Lücke gefunden hat.

Sicherheit12.11.20268 Min. Lesezeit

Kurz gesagt

Was nicht schützt

„Bitte lösch nie was“ in den Anweisungen
Darauf vertrauen, dass das Modell schon vernünftig ist
Eine Sperrliste für gefährliche Befehle

Was schützt

Regeln im Code, die das Modell gar nicht umgehen kann
Nur was nachweislich nur liest, läuft ohne Nachfrage
Testen, bis was schiefgeht, und dann die Lücke schließen

Warum origami überhaupt Schutz braucht

origami ist nicht nur ein Chat. Sie darf auf meinem PC richtig was machen: PowerShell-Befehle ausführen, Dateien lesen und schreiben, Downloads aufräumen und sogar einen echten Chrome bedienen, also klicken, tippen und Formulare ausfüllen.

Das ist genau das, was sie nützlich macht. Und genau das, was gefährlich ist. Ein Modell, das sich bei einem Befehl vertut, kann Dateien löschen. Eine Webseite mit einer versteckten Anweisung kann versuchen, origami umzudrehen. Und weil origami von unterwegs erreichbar ist, muss das alles auch dann halten, wenn ich nicht danebensitze.

Meine wichtigste Lektion vorneweg: Ein Prompt ist eine Bitte, keine Sperre. Alles, was nie passieren darf, regelt bei mir der Code. Da kann Gemma denken, was sie will.

Ich hätte auch einfach gefragt. Aber gut.

Die neun Lagen

Lage 1 bis 5: Befehle und Dateien

1. Freigabe-Abfrage seit Tag 1

Alles, was etwas verändert, fragt vorher. Ich kann einmal erlauben, für einen Ordner erlauben oder ablehnen.

= die Klingel an der Haustür

2. Nur Lesen läuft frei aus Tests

Ein Befehl darf nur dann ohne Nachfrage laufen, wenn er nachweislich nur liest. Auch versteckte Teile im Befehl werden mitgeprüft.

= Gucken ist erlaubt, Anfassen nicht

3. Trick-Erkennung 3 Lücken geschlossen

Verschleierte Befehle, zum Beispiel zusammengestückelte Löschbefehle oder Skripte, die heimlich etwas nachladen, fragen immer.

= der Türsteher, der auch auf Verkleidungen achtet

4. Löschen nur in den Papierkorb Grundregel

Nie endgültig. Ordner-Freigaben zählen beim Löschen nicht. Für große Aufräum-Runden gibt's „1 Stunde erlauben“.

= radieren statt zerreißen

5. Finger weg von meinen Dateien aus Tests

Ungefragt neue Dateien zwischen meine Sachen legen fragt vorher. origamis eigene Hilfsdateien landen in einem eigenen Ordner.

= die eigene Schublade

Lage 6 bis 9: Browser, Inhalte, Grenzen

6. Absenden-Sperre aus Tests

Im Browser werden Senden, Bestellen, Kaufen und Enter in Formularen ausgelassen, wenn ich das nicht ausdrücklich will.

= der Brief bleibt liegen, bis ich ihn einwerfe

7. Injection-Check aus Tests

Gelesene Dateien und Webseiten werden auf eingeschleuste Befehle geprüft. Treffer werden gemeldet, nie ausgeführt.

= der Brief, in dem steht: „Gib dem Boten dein Geld“

8. Sicherheits-Rat aus Tests

Rät Gemma, einen Schutz abzuschalten, ohne zu warnen, muss sie die Antwort neu schreiben: saubere Lösung zuerst, Notlösung nur befristet.

= der Kumpel, der sagt: „Mach's lieber richtig“

9. Feste Grenzen bewusst so

Keine Admin-Rechte, keine Passwörter tippen, Banking gesperrt, Zugang von außen nur mit Passwort und Zwei-Faktor-Code.

= Dinge, über die nicht verhandelt wird

Wie die Lagen entstanden sind

Ich hab mir die meisten Lagen nicht vorher ausgedacht. Ich hab origami absichtlich Aufgaben gegeben, bei denen was schiefgehen kann, und geschaut, was passiert. Ein paar Beispiele:

Das doppelte Formular: Beim Test mit dem Browser hat origami ein Formular zweimal abgeschickt. Nichts Schlimmes, aber stell dir vor, das wäre eine Bestellung gewesen. Daraus wurde Lage 6.
Die versteckte Zeile: Ich hab eine Testseite gebaut, in der eine unsichtbare Anweisung stand. So was nennt man Prompt-Injection: Text, der sich als Befehl an die KI ausgibt. Daraus wurde Lage 7.
Die Testdateien: Gemma hat beim Testen einfach Dateien zwischen meine Sachen gelegt. Gut gemeint, aber nicht gefragt. Daraus wurde Lage 5.
Der schlechte Rat: Bei einem Druckerfehler hat Gemma vorgeschlagen, eine Sicherheitseinstellung abzuschalten, ohne ein Wort der Warnung. Daraus wurde Lage 8.

Jede Lage ist ein Denkmal für einen meiner Fehler. Ich nenn’s Erfahrung.

Der Trick mit dem Löschbefehl

Lage 3 ist mein Lieblingsbeispiel, weil sie zeigt, warum eine Sperrliste nicht reicht.

Warum eine Sperrliste nicht reicht

Vorher: gefährliche Wörter sperren

Die Idee: Kommt Remove-Item vor, wird gefragt. Klingt gut. Aber in PowerShell kann man den Befehl auch zusammenstückeln, etwa aus „Remove“ und „-Item“, und ihn dann ausführen lassen. Die Sperrliste sieht das Wort nie. Im Test hab ich drei solche Lücken gefunden.

Nachher: nur Erlaubtes durchlassen

Umgedreht: Ohne Nachfrage läuft nur, was nachweislich nur liest, zum Beispiel Get-PSDrive C für den freien Platz. Alles andere fragt. Und alles, was nach Verschleierung aussieht, fragt immer. Was man nicht erkennt, ist nicht erlaubt.

Das ist der wichtigste Gedanke im ganzen Artikel: Erlaubnisliste statt Sperrliste. Du wirst nie alle gefährlichen Schreibweisen aufzählen können. Die harmlosen schon.

So baust du das selbst

Du brauchst nicht gleich neun Lagen. Mit diesen fünf hast du das Wichtigste.

Die ersten fünf Lagen für deine KI

Jede Aktion durch eine Freigabe schicken
Bevor dein Server einen Befehl ausführt oder eine Datei ändert, zeigt er dir, was passieren soll, und wartet auf dein Okay. Das gehört in den Code, nicht in den Prompt.
Eine Liste mit reinen Lesebefehlen anlegen
Nur diese dürfen ohne Nachfrage laufen. Zum Beispiel Ordner anzeigen, Datei lesen, Speicherplatz abfragen. Alles, was nicht drauf steht, fragt.
```
Get-PSDrive C | Select Used, Free
```
Löschen auf den Papierkorb umbiegen
Dein Werkzeug verschiebt in den Papierkorb, statt endgültig zu löschen. Dann ist jeder Fehler mit zwei Klicks rückgängig.
Alles Gelesene prüfen
Bevor Text aus einer Datei oder Webseite ans Modell geht, nach typischen Anweisungen suchen („ignoriere alle vorherigen …“). Bei Treffern warnen, nicht ausführen.
Selbst angreifen
Gib deiner KI absichtlich fiese Aufgaben: eine Seite mit versteckter Anweisung, ein Formular, einen Aufräum-Auftrag. Jede Lücke, die du findest, wird eine neue Lage.