NIST: Mathematischer Beweis bestätigt — absolute Sicherheit von KI-Guardrails ist nicht erreichbar

Das US-amerikanische National Institute of Standards and Technology (NIST) hat einen mathematischen Beweis veröffentlicht, der den Ansatz zur Sicherheit von KI-Systemen grundlegend verändert. Apostol Vassilev, leitender Wissenschaftler bei NIST, hat in einem in der Zeitschrift IEEE Security & Privacy (Mai 2026, DOI: 10.1109/MSEC.2026.3678214) veröffentlichten Formalismus bewiesen, dass kein endliches Guardrail-Set — Regeln, Filter und Sicherheitsbeschränkungen, die in KI-Modellen eingebettet sind — universellen Schutz vor adversariellen Prompts (engl. adversarial prompts) bieten kann.

Gödels Theorem jenseits der Mathematik: Anwendung auf KI-Sicherheit

Vassilev stützt seinen Beweis auf Kurt Gödel, dessen Unvollständigkeitssätze von 1931 gezeigt haben, dass es innerhalb jedes ausreichend reichhaltigen formalen Systems wahre Aussagen gibt, die innerhalb dieses Systems selbst nicht bewiesen werden können. Die Analogie zur KI-Sicherheit ist direkt: Ein auf einem endlichen Regelset basierendes Guardrail-Set ist auf dieselbe Weise strukturell unvollständig wie Gödels formales System.

Jedes solche Regelset enthält ausnutzbare Lücken — und das ist keine Frage schlechten Designs oder unzureichender Ressourcen, sondern mathematische Notwendigkeit. Wie Vassilev zusammenfasste: „Man kann Gödel in der Mathematik nicht entkommen, und in der KI kann man ein LLM-System höchstwahrscheinlich nicht patchen und danach erwarten, dauerhaft sicher zu sein.”

Warum haben statische Guardrails immer ausnutzbare Lücken?

Der Kern von Vassilevs Beweis liegt im Reichtum der natürlichen Sprache. Im Gegensatz zu formalen mathematischen Systemen, in denen der Raum möglicher Aussagen streng begrenzt ist, ist der Raum möglicher adversarieller Prompts praktisch unbegrenzt. Variationen von Formulierungen, kultureller Kontext, Metaphern, mehrdeutige Referenzen und hybride Sprachkonstrukte machen eine erschöpfende Aufzählung aller potenziellen Angriffsvektoren rechnerisch unerreichbar.

Jeder durch ein endliches Regelset definierte Guardrail kann eine endliche Anzahl von Angriffsmustern erkennen. Ein Angreifer, der die Struktur dieses Sets entdeckt oder erschließt, kann ein neues Muster generieren, das von den Regeln nicht abgedeckt wird — analog zu Gödels unbeweisbarer Aussage innerhalb eines formalen Systems.

Vassilev ist explizit in seiner Schlussfolgerung: „Man kann niemals behaupten, gegen alle adversariellen Angriffsprompts resistent zu sein.” Diese Aussage ist kein Pessimismus und keine Kapitulationsaufforderung — sie ist eine mathematische Konsequenz, mit der sich alle auseinandersetzen müssen, die Sicherheitsrahmen für KI entwerfen.

Die drei Säulen der dynamischen Sicherheitsstrategie

Auf Grundlage des Beweises empfiehlt NIST den Ersatz des statischen Sicherheitsparadigmas durch eine dreiteilige dynamische Strategie:

1. Kontinuierliches Red-Teaming (engl. red teaming) — organisiertes, dauerhaftes Suchen nach neuen adversariellen Prompts durch Angriffsexperten. Dies ist keine einmalige Aktivität vor dem Launch eines Systems, sondern eine permanente operative Funktion, die parallel zum Produktionssystem laufen muss.

2. Regelmäßige Aktualisierung der Guardrails — jede neu entdeckte Schwachstelle muss so schnell wie möglich in das Regelset integriert werden. Red Teams und Sicherheitsabteilungen müssen als geschlossener Rückkopplungskreis funktionieren: Schwachstellenerkennung → Patch → Validierung → erneutes Testen.

3. Operationelle Resilienz (engl. operational resilience) — Planung für das Szenario, in dem ein Angriff erfolgreich ist. Das umfasst schnelle Protokolle zur Schadensbegrenzung, Missbrauchserkennung und Wiederherstellung nach einem Vorfall. Vassilev betont, dass die Wiederherstellungsplanung genauso wichtig ist wie die Prävention.

Der wirtschaftliche Ansatz: teure Angriffe, keine absolute Sicherheit

Vassilev führt auch einen wirtschaftlichen Rahmen ein, der das realistische Ziel der KI-Sicherheit neu definiert. Das Ziel darf nicht absolute Undurchdringlichkeit sein — denn es ist mathematisch bewiesen, dass diese unerreichbar ist. Das Ziel ist es, die Kosten der Schwachstellenfindung für Angreifer finanziell prohibitiv zu machen.

Diese Perspektive verlagert den Fokus von der Frage „Sind wir vollständig sicher?” hin zur operativ nützlicheren Frage: „Kostet den Angreifer das Finden eines Exploits mehr, als er davon erhält?” Wenn der Zyklus aus kontinuierlichem Red-Teaming und Aktualisierung schnell und gründlich genug funktioniert, bleiben neue Exploits kurzlebig — und damit wirtschaftlich unattraktiv für die meisten potenziellen Angreifer.

Implikationen für Politik und Evaluierung von KI-Systemen

Vassilevs Beweis, veröffentlicht in einer führenden begutachteten IT-Sicherheitszeitschrift, hat potenzielle normative Bedeutung für Regulierungsbehörden, die KI-Sicherheitsstandards entwickeln. Wenn bestehende Compliance-Rahmen davon ausgehen, dass es möglich ist, das Sicherheitsproblem von KI-Systemen einmalig dauerhaft mit statischen Maßnahmen zu „lösen”, zeigt der Beweis, dass solche Rahmen auf einer mathematisch falschen Prämisse beruhen.

Zu den praktischen Implikationen gehören die Überarbeitung des Ansatzes zur Evaluierung von KI-Systemen vor der Regulierungsgenehmigung, die Einführung von Anforderungen an dynamische Sicherheitsprozesse in operative Standards und die Einrichtung von Mechanismen für die schnelle Weitergabe von Informationen über neu entdeckte Schwachstellen zwischen KI-Dienstleistern und Normierungsbehörden. Laut NIST ist absolute Sicherheit kein erreichbares Ziel — aber systematische, wirtschaftlich organisierte dynamische Verteidigung ist es.