EIN STROMZÄHLER, DER VERSTECKTES KI-TRAINING ERTAPPT

Abkommen zur Regulierung künstlicher Intelligenz könnten eines Tages begrenzen, wie groß ein trainiertes Modell sein darf. Um sie durchzusetzen, bräuchte es einen externen Prüfer, der erkennen kann, ob ein überwachter Rechencluster ein Modell trainiert – selbst wenn der Betreiber versucht, es zu verbergen.

Die meisten Prüfmethoden erfordern Vertrauen: Protokolle auf den Chips, Abgriffe am Netzwerk zwischen ihnen, Befragungen von Personal, Hinweisgeber. Alle stützen sich auf Hardware, die der Betreiber kontrolliert, oder auf dessen Leute. Ein physischer Sensor außerhalb der Chips tut das nicht. Ein Stromzähler, der an das Zuleitungskabel einer Anlage geklemmt wird, ließe sich in einem bestehenden Rechenzentrum nachrüsten und gegen Manipulation versiegeln.

Frühere Arbeiten zeigten, dass Training eine Spur im Stromverbrauch hinterlässt. Doch diese Studien nutzten Sonden an einer einzelnen Platine, die Millionen Mal pro Sekunde messen, oder die Telemetrie der Chips selbst. Ein realistischer Zähler säße auf Ebene des Racks (Serverschranks) oder der Anlage, etwa eine Million Mal langsamer, hinter einem Netzteil, das das Signal glättet und verdünnt.

Der Herzschlag des Trainings

Tom Kimpson von der University of Melbourne und dem MATS-Programm, Mauricio Baker von der University of Oxford und Emlyn Graham von MATS gehen von einer einfachen Tatsache aus. Wenn viele Chips gemeinsam ein Modell trainieren, wechselt jeder Schritt zwischen einer Rechenphase mit hohem Verbrauch und einer Phase mit niedrigem Verbrauch, in der die Chips ihre Ergebnisse austauschen. Das geschieht etwa einmal pro Sekunde und zeichnet eine schmale Linie in das Spektrum des Stromverbrauchs der Anlage – zerlegt man das Stromsignal in seine Rhythmen, so wie ein Prisma Licht aufspaltet, erscheint ein Takt von einmal pro Sekunde als scharfe Spitze bei einer einzigen Frequenz.

Diese Linie zu erkennen, ist schwieriger, als es klingt. Echtes Training hält den Takt nicht perfekt: langsame Komponenten, überhitzende Chips und Temperaturschwankungen lassen den Rhythmus wandern. Und ein Betreiber kann ihn absichtlich wandern lassen oder verschmieren.

Deshalb lieh sich das Team ein Werkzeug aus dem passiven Sonar und aus der Suche nach kontinuierlichen Gravitationswellen: einen Viterbi-Tracker, der einer schwachen Linie folgt, während sie langsam durch ein Spektrogramm driftet (eine Karte, die zeigt, welche Rhythmen von Moment zu Moment vorhanden sind).

Getestet an einem simulierten Rechenzentrum

Es gibt keine öffentlichen Stromdaten aus einer echten Trainingsanlage, daher bauten die Autoren ein Modell einer solchen Anlage, gestützt auf ein veröffentlichtes Modell des Trainingsverbrauchs, das für die Stabilität des Stromnetzes verwendet wird: ein Haupttrainingslauf plus kleinere Aufträge im Hintergrund. Das alternative, „unschuldige“ Szenario ersetzt den Hauptlauf durch deklarierte Inferenz – das Ausliefern von Modellantworten an Nutzer –, die die Autoren absichtlich verrauscht gestaltet haben, um den Test zu erschweren.

Gegen einen Betreiber, der sich gar nicht zu verstecken versucht, erkennt der Tracker mindestens 96 % der Trainingsläufe in Fünf-Minuten-Fenstern bei 1 % Fehlalarmen – höchstens vier Prozentpunkte unter dem, was irgendein Test theoretisch bestenfalls leisten könnte. Klassische Tests, die eine Linie bei einer festen Frequenz suchen, brechen zusammen, sobald der Rhythmus driftet.

Der Tracker (blau) auf drei Fünf-Minuten-Aufzeichnungen: gleichmäßiges Training (a), Training, dessen Rhythmus um 0,4 Hz, also 0,4 Schläge pro Sekunde, wandert (b; gestrichelt der wahre Rhythmus), und Inferenz (c), wo er nur Rauschen aneinanderreiht und unter der Erkennungsschwelle bleibt. — Abbildung 4, Kimpson et al. (2026), arXiv:2610.30182.

Der Zähler muss nicht ausgefeilt sein: Er muss mindestens zweimal pro Sekunde messen, über höchstens eine halbe Sekunde mitteln, und das Netzteil darf den Rhythmus nicht zu stark herausfiltern.

Erkennungsrate bei 1 % Fehlalarmen, während der Trainingsrhythmus driftet: Der Tracker (blau) bleibt nahe an der theoretischen Obergrenze (gestrichelt). — Abbildung 5, Kimpson et al. (2026), arXiv:2610.30182.

Der Preis des Versteckens

Dann spielte das Team den Betrüger. Es probierte acht Arten, sich zu verstecken: zufällige Leerlaufzeiten einfügen, den Rhythmus verschieben, jeden Schritt umformen, das Training unter andere Aufträge mischen und mehr. Gegen Tests mit fester Frequenz funktionierten die meisten. Gegen den Tracker fast keine – er ertappte in 43 der 46 getesteten Konfigurationen mindestens 95 % der Läufe.

Nur ein Ansatz funktionierte wirklich: die Arbeitsmenge in jedem Schritt zu variieren. Seine stärkste Form versteckte das Training in bis zu 73 % der Fünf-Minuten-Fenster, ohne Geschwindigkeitseinbuße. Aber er hat einen anderen Preis. In einem kleinen echten Trainingslauf – einem Sprachmodell mit 30 Millionen Parametern auf einem einzelnen A100-Chip – brauchte es je nach Variante 93 % bis 267 % mehr Rechenleistung, um dieselbe Qualität zu erreichen.

Und die Zeit arbeitet gegen den Betrüger. Bei Beobachtung über einen ganzen Tag, mit einer Fehlalarmrate von 0,1 % pro Lauf, ertappte der Prüfer 87 % der Läufe mit diesem besten Trick, 44 % bereits in der ersten Stunde. Etwa einer von sieben entkam.

Als Nächstes: echte Zähler

Die Autoren nennen klare Grenzen. Alle Aufzeichnungen sind synthetisch; Tests an einer echten Anlage mit vielen Chips sind geplant, erfordern aber Ausrüstung, die sie noch nicht haben. Der Zähler erkennt einen regelmäßigen Rhythmus, nicht Training als solches: Andere periodische Aufträge oder die eigene Energieregelung eines Chips könnten ihn auslösen. Und ein ausreichend großer Energiespeicher zwischen den Chips und dem Zähler könnte das Signal glätten – wobei der Prüfer dann einfach einen zweiten Zähler näher an den Chips anbringen könnte.