Die Seite, auf der ein neues KI-Modell vorgestellt wird, erinnert oft an ein frisch eröffnetes Autohaus. Überall glänzen Zahlen: Milliarden Parameter, riesige Kontextfenster, hohe Punktwerte in Mathematik, Programmierung und logischem Denken. Tabellen führen vor, welches Konkurrenzmodell überholt wurde. Daneben warten Downloadschaltflächen und kurze Anleitungen zur Integration.
Nur eine Frage bleibt häufig unbeantwortet: Was geschah bei der Probefahrt?
Eine neue Untersuchung des Analysehauses SemiAnalysis zeigt, wie selten Chinas führende KI-Unternehmen konkrete Ergebnisse ihrer Sicherheitstests veröffentlichen. Dafür erfassten die Autoren 857 Modellveröffentlichungen von Alibaba, ByteDance, Tencent, Baidu, DeepSeek, Moonshot AI, Z.ai, MiniMax und StepFun. Der Untersuchungszeitraum reichte von 2021 bis zum 15. September 2026.
Der Befund ist eindeutig – und ernüchternd. Nur für 31 Veröffentlichungen, also 3,6 Prozent, fanden die Autoren veröffentlichte Ergebnisse eines Sicherheitstests, die sich klar dem jeweiligen Modell zuordnen ließen. Lediglich bei neun Modellen lagen solche Ergebnisse bereits zum Zeitpunkt der Veröffentlichung vor. Für 813 Veröffentlichungen gab es überhaupt keine entsprechenden Angaben. Recherchequelle: SemiAnalysis
Auf den ersten Blick wirken diese Zahlen wie ein vernichtendes Urteil. Tatsächlich erzählen sie eine etwas kompliziertere Geschichte. SemiAnalysis hat nämlich nicht untersucht, ob die Unternehmen ihre Modelle intern geprüft haben. Erfasst wurde ausschließlich, was sie darüber öffentlich machten.
„Nicht gefunden“ bedeutet daher nicht automatisch „nicht getestet“. Prüfberichte könnten in internen Datenbanken liegen oder Geschäftskunden als vertrauliche Unterlagen vorgelegt worden sein. Ebenso denkbar ist, dass Modelle ausführlich untersucht wurden, ohne dass die Ergebnisse je den Weg ins Netz fanden.
Für Nutzer, Entwickler und Unternehmen macht das allerdings kaum einen Unterschied. Ein Test, dessen Ergebnisse hinter verschlossenen Türen bleiben, hilft bei der eigenen Risikobewertung wenig.
Was als Sicherheitstest zählt
Die Autoren legten die Messlatte bewusst höher, als es viele Hersteller tun. Die bloße Versicherung, ein Modell sei „auf Sicherheit trainiert“ oder „umfassend geprüft“ worden, reichte nicht aus. Als Nachweis galt nur, was konkrete Ergebnisse enthielt und sich auf eine benannte Modellversion bezog.
Gesucht wurde unter anderem nach Tests zu schädlichen Antworten, Datenschutzproblemen, unerwünschten Verweigerungen, manipulativen Reaktionen und sogenannten Jailbreaks. Bei einem Jailbreak bringen Nutzer ein Modell durch besondere Anweisungen dazu, seine eingebauten Beschränkungen zu umgehen. Relevant waren außerdem Untersuchungen zu digitalen Angriffen, biologischen Gefahren oder anderen Fähigkeiten, deren Missbrauch erhebliche Folgen haben könnte.
CjxkaXYgY2xhc3M9ImV4dGhvcmlhLWFtYXpvbi1hZCIgZGF0YS1leHRob3JpYS1hZC1zbG90PSIwMSIgZGF0YS1leHRob3JpYS1hZC1wcm92aWRlcj0iYW1hem9uIj48ZGl2IGNsYXNzPSJleHRob3JpYS1hbWF6b24tYWRfX21ldGEiPjxzcGFuIGNsYXNzPSJleHRob3JpYS1hbWF6b24tYWRfX2JhZGdlIj5XZXJidW5nPC9zcGFuPjxzcGFuIGNsYXNzPSJleHRob3JpYS1hbWF6b24tYWRfX3Byb3ZpZGVyIj5BbWF6b248L3NwYW4+PC9kaXY+PHN0cm9uZyBjbGFzcz0iZXh0aG9yaWEtYW1hem9uLWFkX190aXRsZSI+TExNcyBzZWxic3QgYmV0cmVpYmVuOiBPcGVuLVNvdXJjZS1TcHJhY2htb2RlbGxlIGF1c3fDpGhsZW4sIGVpbnJpY2h0ZW4gdW5kIGxva2FsIG51dHplbiAoQW5pbWFscyk8L3N0cm9uZz48YSBjbGFzcz0iZXh0aG9yaWEtYW1hem9uLWFkX19jdGEiIGhyZWY9Imh0dHBzOi8vbGluay5hbWF6b24vQjBhWjNHbjd1IiB0YXJnZXQ9Il9ibGFuayIgcmVsPSJzcG9uc29yZWQgbm9mb2xsb3cgbm9vcGVuZXIgbm9yZWZlcnJlciIgZGF0YS1leHRob3JpYS1saW5rLW1hbmFnZXI9IjEiIGRhdGEtZXh0aG9yaWEtbGluay10eXBlPSJleHRlcm5hbCIgZGF0YS1leHRob3JpYS1hZC1saW5rPSJhbWF6b24iPkJlaSBBbWF6b24gYW5zZWhlbiA8c3Bhbj4oYmV6YWhsdGVyIExpbmspPC9zcGFuPjwvYT48c21hbGwgY2xhc3M9ImV4dGhvcmlhLWFtYXpvbi1hZF9fZGlzY2xvc3VyZSI+w5xiZXIgdW5zZXJlIEFtYXpvbi1QYXJ0bmVybGlua3MgZXJoYWx0ZW4gd2lyIGJlaSBxdWFsaWZpemllcnRlbiBWZXJrw6R1ZmVuIGVpbmUgUHJvdmlzaW9uLjwvc21hbGw+PC9kaXY+Cg==Auch auf die genaue Zuordnung kam es an. Ein Testbericht für das Spitzenmodell einer Familie wurde nicht automatisch auf kleinere Varianten, spätere Aktualisierungen oder anders trainierte Versionen übertragen. Das ist streng, aber sachgerecht. Schon kleine Veränderungen am Training, am Systemprompt oder an den Schutzmechanismen können das Verhalten eines Modells spürbar verändern.
Bei 16 der 31 dokumentierten Veröffentlichungen erschien der Prüfbericht erst nach dem jeweiligen Modell. Die mittlere Verzögerung betrug 42 Tage, im längsten Fall waren es 349 Tage. Das erinnert an einen Crashtest, dessen Ergebnisse eintreffen, nachdem das Auto längst verkauft wurde.
Ganz geradlinig lässt sich der Datensatz allerdings nicht lesen. Unterschiedliche Modellgrößen und Aktualisierungen werden teilweise als eigene Veröffentlichungen gezählt. Alibaba kommt dadurch auf 238 Einträge. Für eine Rangliste eignen sich die Werte der einzelnen Unternehmen deshalb nur eingeschränkt. Reuters weist zudem darauf hin, dass die Untersuchung keine vergleichbaren Prozentzahlen für amerikanische Entwickler enthält. Sie belegt eine große Dokumentationslücke in China, aber nicht, dass westliche Anbieter jedes ihrer Modelle vollständig und rechtzeitig durchleuchten. Recherchequelle: Reuters bei Investing.com
Offen zugänglich, schwer einzuschätzen
Brisant ist der Befund vor allem wegen der internationalen Bedeutung chinesischer Modelle. Viele davon sind nicht nur über eine geschlossene App erreichbar. Ihre Gewichte lassen sich herunterladen, auf eigenen Servern betreiben und für neue Anwendungen anpassen.
Moonshot AI beschreibt Kimi K3 beispielsweise als offenes, multimodales Modell mit 2,8 Billionen Parametern und einem Kontextfenster von einer Million Token. Auf der Modellseite finden sich Angaben zur Architektur, Installationshinweise, die Lizenz und zahlreiche Leistungstests. Entwickler auf der ganzen Welt können ein solches System dadurch vergleichsweise schnell in ihre eigene Software integrieren. Recherchequelle: Moonshot AI
Gerade darin liegt ein eigentümlicher Gegensatz. Der Quellcode für die Nutzung und die Modellgewichte liegen bereit, technische Kennzahlen füllen lange Tabellen. Über Grenzen und riskante Fähigkeiten erfährt der Nutzer dagegen oft nur wenig.
Offenheit hat in der KI-Welt mehrere Ebenen. Ein Modell kann mit frei zugänglichen Gewichten veröffentlicht werden und bei Trainingsdaten, Sicherheitsprüfungen oder bekannten Schwachstellen dennoch weitgehend undurchsichtig bleiben. Der Begriff „offen“ beantwortet zunächst nur die Frage, wer das Modell herunterladen und verändern darf. Wie gründlich dessen Verhalten dokumentiert wurde, verrät er nicht.
Bei 93 Prozent der untersuchten Reasoning-Modelle fand SemiAnalysis keine veröffentlichten Sicherheitsergebnisse. Gerade diese Systeme sollen komplexe Aufgaben in mehreren Schritten lösen, Werkzeuge bedienen und Entscheidungen vorbereiten. Von allen Dokumenten, die den Kriterien der Untersuchung entsprachen, behandelten nur drei offensive digitale Fähigkeiten oder biologische Risiken. Keines dieser Dokumente stammte von den vier großen Internetkonzernen Alibaba, ByteDance, Tencent und Baidu.
Eine kleine Ausnahme bildet Z.ai. Seit 2022 fanden die Autoren dort als einzigem Anbieter in jedem Jahr zumindest einzelne Sicherheitsergebnisse. Von einer lückenlosen Dokumentation kann allerdings auch bei Z.ai keine Rede sein. Das Gesamtbild bleibt unregelmäßig: Hier ein Test zu problematischen Antworten, dort ein Wert zur Widerstandsfähigkeit gegen Jailbreaks, dazwischen große weiße Flächen.
Auch ausführliche Berichte sind keine Garantie
Amerikanische Anbieter machen ihre Sicherheitsdokumentation inzwischen deutlich besser sichtbar. OpenAI veröffentlicht sogenannte System Cards, in denen Fähigkeiten, Schutzmaßnahmen und Testergebnisse beschrieben werden. Die System Card zu GPT-5.5 unterscheidet beispielsweise zwischen Prüfungen vor und nach bestimmten Schutzmaßnahmen und weist darauf hin, dass viele Tests in einer kontrollierten Umgebung stattfanden. Recherchequelle: OpenAI
Google DeepMind bietet eine Sammlung von Modellkarten, die bekannte Einschränkungen, Sicherheitsprüfungen und Maßnahmen zur Risikominderung aufführen sollen. Die Berichte sind einzelnen Modellen und Aktualisierungen zugeordnet. Recherchequelle: Google DeepMind
Vergleichbare Angaben versammelt Anthropic in einem eigenen Transparenzportal. Dort finden sich auch Bewertungen zu Täuschungsverhalten, unangemessener Zustimmung, verschwiegenen Fehlern und der Fähigkeit eines Modells, eigene unerwünschte Handlungen zu verbergen. Recherchequelle: Anthropic
Das wirkt vorbildlicher, löst das Grundproblem aber nicht vollständig. Solche Berichte stammen meist von den Unternehmen, die ihre Modelle verkaufen. Prüfverfahren unterscheiden sich, Testreihen ändern sich, und manche Ergebnisse lassen sich kaum miteinander vergleichen. Obendrein entscheidet der Hersteller selbst, welche Einzelheiten er veröffentlicht und welche als Geschäftsgeheimnis oder Sicherheitsrisiko zurückgehalten werden.
Ein langer Bericht ist deshalb kein Unbedenklichkeitsstempel. Er schafft lediglich eine Grundlage, auf deren Basis andere die Aussagen prüfen, ihnen widersprechen und eigene Tests entwickeln können. Genau diese Grundlage fehlt bei vielen chinesischen Veröffentlichungen.
Ein Teil des Risikos landet beim Kunden
Für Unternehmen ist die Dokumentationslücke kein abstraktes Problem. Wer ein Modell in den Kundendienst, eine Suchmaschine oder ein internes Analysesystem integriert, übernimmt einen Teil des Risikos. Das System könnte vertrauliche Informationen preisgeben, Schutzvorgaben umgehen oder auf bestimmte Fragen unerwartet reagieren.
Fehlen modellspezifische Angaben, muss jeder Kunde die Probefahrt selbst organisieren. Große Konzerne können dafür eigene Sicherheitsteams beschäftigen. Kleine Unternehmen laden dagegen oft ein Modell herunter, testen einige typische Anfragen und verlassen sich anschließend auf allgemeine Aussagen des Herstellers. Zwischen einem überzeugenden Testlauf und einem belastbaren Sicherheitsverfahren liegt jedoch eine weite Strecke.
Die Untersuchung von SemiAnalysis weist damit über das chinesische Transparenzdefizit hinaus. Sie macht ein strukturelles Problem des gesamten KI-Marktes sichtbar: Leistung lässt sich gut verkaufen, Unsicherheit deutlich schlechter. Ein neuer Spitzenwert passt bequem in eine Überschrift. Eine Liste bekannter Schwächen wirkt neben dem Downloadknopf weit weniger verführerisch.
Zu einer verantwortungsvollen Modellveröffentlichung müsste deshalb ein nüchterner Beipackzettel gehören: Welche Version wurde geprüft? Welche Tests kamen zum Einsatz? Welche Fähigkeiten bereiteten Probleme? Welche Schutzmaßnahmen veränderten das Ergebnis? Und wo endet das Wissen des Herstellers?
Solange diese Angaben fehlen, bleibt die KI-Industrie in einer merkwürdigen Lage. Ihre Modelle werden offener, leistungsfähiger und leichter verfügbar. Doch ausgerechnet dort, wo Vertrauen entstehen müsste, fällt kaum Licht hinein.
Weiterführende Informationen
Quellenhinweis: Einzelne Fakten, Einschätzungen und Prognosen dieses Beitrags stützen sich auf Veröffentlichungen der nachfolgend genannten Unternehmen und Institutionen. Die Links dienen zugleich der weiterführenden Information.
AI Digest – Studie: Chinesische KI-Entwickler veröffentlichen selten Ergebnisse von Sicherheitstests
Der Beitrag fasst die SemiAnalysis-Auswertung zu 857 Modellveröffentlichungen, 31 zuordenbaren Prüfergebnissen und den untersuchten Sicherheitskriterien zusammen.
https://ai-digest-1.com/de/news/studie-chinesische-ki-entwickler-sicherheitstests-selten-16647
Kimi – Kimi K3: Weiter denken. Größer bauen. Dranbleiben.
Die Herstellerseite erläutert offene Modellgewichte, Multimodalität, 2,8 Billionen Parameter und das Kontextfenster von einer Million Token.
https://www.kimi.ai/de/ai-models/kimi-k3
Die Inferenz – Acht Wochen Zugang: Was ein unabhängiges KI-Audit 2026 tatsächlich prüft
Die Reportage zeigt anhand von OpenAI, Anthropic und Google DeepMind, warum System Cards und externe Prüfungen durch begrenzten Zugang und selektive Offenlegung nur eingeschränkt aussagekräftig sind.
https://die-inferenz.de/editions/reportagen/2026-09-11.html
