Das Risiko erfordert keine AGI
Fortgeschrittene KI könnte das biologische Risiko erhöhen, indem sie einem böswilligen Akteur hilft, Literatur zu durchsuchen, Optionen zu vergleichen, Laborarbeit zu fehlerbeheben, oder spezialisierte biologische Werkzeuge zu bedienen. Ein Modell bräuchte weder Bewusstsein noch Superintelligenz noch vollständige Autonomie, um bedeutsam zu sein. Es müsste nur einen oder mehrere Engpässe in einem bereits gefährlichen Arbeitsablauf verringern.
Dieser Mechanismus ist plausibel und wichtig, doch sein derzeitiges Ausmaß ist ungewiss. Der Internationale KI-Sicherheitsbericht 2026 kommt zu dem Schluss, dass sich relevante Fähigkeiten verbessert haben und dass einige neuere Studien bedeutsame Unterstützung bei Proxy-Aufgaben finden, während frühere Studien kleine oder statistisch unbedeutende Effekte fanden. Er betont zudem fortbestehende materielle Hürden und erhebliche Lücken bei der Evaluation (International AI Safety Report 2026). Die zutreffende Position lautet daher weder „KI kann bereits eine Pandemie erzeugen” noch „Modelle wiederholen lediglich harmlose Internetfakten”.
Was Forscher unter Uplift verstehen
Eine Uplift-Studie vergleicht die Leistung mit KI-Unterstützung gegen eine Ausgangsbasis wie reinen Internetzugang. Das Ergebnis hängt davon ab, wer teilnimmt, welche Aufgabe versucht wird, welches Modell und welche Schutzmaßnahmen genutzt werden, wie die Leistung bewertet wird, und ob die Aufgabe ein Plan auf Papier, eine Proxy-Beschaffungsübung, oder tatsächliche Laborarbeit ist.
Information ist nur ein Teil einer biologischen Angriffskette. Ein Akteur muss womöglich einen Erreger auswählen, Materialien beschaffen, implizites Laborkönnen erwerben, Qualitätskontrolle durchführen, die Produktion skalieren, Selbstschädigung und Entdeckung vermeiden, und Verbreitung erreichen. KI könnte bei einer Stufe erheblich helfen, während die gesamte Operation außerhalb der Reichweite des Akteurs bleibt. Umgekehrt könnte bescheidene Hilfe am richtigen Engpass mehr zählen als eine große Punktzahlverbesserung bei einem irrelevanten Test.
Sichere Studien vermeiden es, operative Anleitungen zu erzeugen, und nutzen Expertenbegutachtung, kontrollierte Bedingungen und Proxy-Aufgaben. Selbst dann ist externe Validität schwierig. Teilnehmer ähneln womöglich nicht realen Bedrohungsakteuren. Kurze Studien können nicht monatelange Fehlerbehebung abbilden. Rasche Modelländerungen können ein sorgfältiges Ergebnis bald nach der Veröffentlichung veralten lassen.
Die Evidenz änderte sich nach frühen Nullergebnissen
Eine RAND-Red-Team-Studie von 2024 fand keinen statistisch signifikanten Unterschied in den Expertenbewertungen biologischer Angriffspläne, die von Teams mit Zugang zu Sprachmodellen und von Teams nur mit Internetzugang erstellt wurden. RAND kam zu dem Schluss, dass die Angriffsplanung als unterstützendes Werkzeug außerhalb der Fähigkeitsgrenze der getesteten Modelle lag, warnte aber, es habe nicht gemessen, wie weit außerhalb (RAND-Bericht). Das war bedeutsame Evidenz über diese Modelle, Teilnehmer und diese Planungsaufgabe — kein dauerhafter Befund über alle künftigen Systeme.
Spätere Evidenz ist besorgniserregender, aber weiterhin unvollständig. Der Internationale KI-Sicherheitsbericht 2026 beschreibt eine neuere, reale Uplift-Studie, in der ungeschützte KI mit allgemeinem Verwendungszweck im Vergleich zu Internetzugang erhebliche Unterstützung bei Proxy-Aufgaben zur Beschaffung von Biowaffen leistete. Er vermerkt zudem Studien zu Modellen, die wissenschaftliche Arbeit und Laborausrüstung unterstützen. Diese Ergebnisse aktualisieren das Bild: Es ist nicht mehr zutreffend zu sagen, aktuelle Systeme hätten praktische Hürden nicht bedeutsam gesenkt. Es bleibt schwierig zu quantifizieren, wie stark das Gesamtrisiko gestiegen ist oder welche materiellen Engpässe fortbestehen.
Evaluationen von Entwicklern liefern zusätzliche Evidenz, haben aber Interessenkonflikte und halten oft sensible Details zurück. Sie sollten als Selbstberichte des Unternehmens gekennzeichnet und zusammen mit staatlicher und unabhängiger Arbeit interpretiert werden.
Was Anthropics ASL-3-Aktivierung bedeutet
Anthropic kündigte 2025 ASL-3-Schutzmaßnahmen für die Claude-Opus-4-Familie an, weil es bedeutsamen Fähigkeitsgewinn in bestimmten chemischen, biologischen, radiologischen oder nuklearen Arbeitsabläufen nicht ausschließen konnte. Das Unternehmen bezeichnete die Aktivierung ausdrücklich als vorsorglich und erklärte, es habe nicht definitiv festgestellt, dass das Modell den relevanten Fähigkeitsschwellenwert überschritten habe (Anthropic-ASL-3-Ankündigung).
Es ist wichtig, mehrere Konzepte nicht zu vermengen. Eine KI-Sicherheitsstufe (AI Safety Level) ist ein Paket aus Sicherheits- und Einsatzschutzmaßnahmen. Ein Fähigkeitsschwellenwert ist Evidenz, die stärkere Schutzmaßnahmen auslösen kann. Anthropics Richtlinie hat zudem zwischen nicht neuartiger chemischer/biologischer Produktion, der Entwicklung neuartiger Waffen, und Fähigkeitsgewinn hin zu anspruchsvolleren Programmen unterschieden. „ASL-3” ist keine universelle wissenschaftliche Einstufung und bedeutet nicht, dass das Modell autonom jede Klasse von CBRN-Waffen bauen kann.
Anthropics Richtlinie hat sich weiter verändert; ihr öffentliches Archiv führt Version 3.4 mit Stand August 2026 (Anthropic-RSP). Leser sollten die Version und das Datum verwenden, die an eine konkrete Modellentscheidung geknüpft sind, statt Formulierungen aus einem früheren Rahmenwerk zu übernehmen.
Schutzmaßnahmen brauchen mehrere Schichten
Kontrollen auf Modell- und Einsatzebene umfassen das Training von Systemen zur Ablehnung gefährlicher Unterstützung, Klassifikatoren für Ein- und Ausgabe, Überwachung auf verdächtige mehrstufige Muster, Ratenbegrenzungen, Kontoverifikation, und kontrollierten Zugang für geprüfte Forscher. Diese Maßnahmen können beiläufigen Missbrauch verringern, lassen sich aber durch Jailbreaks, Aufgabenzerlegung, Zugang zu weniger geschützten Modellen, oder das Entfernen von Schutzmaßnahmen aus offenen Gewichten umgehen.
Evaluationsgebundene Freigabe verknüpft Testergebnisse mit Entscheidungen. Entwickler können während des Trainings testen, externe Evaluationen beauftragen, den Werkzeugzugang beschränken, und eine Freigabe verzögern, wenn die Evidenz einen definierten Schwellenwert überschreitet. Berichte sollten verbleibende Unsicherheit beschreiben, nicht nur, ob ein Schwellenwert formal überschritten wurde.
Die Prüfung von Nukleinsäure-Syntheseaufträgen adressiert die Brücke von digitaler Information zu physischem Material. Anbieter können Kunden und Sequenzaufträge gegen Risikokriterien prüfen, mit angemessenem Datenschutz, Widerspruchsmöglichkeit und internationaler Koordination. Prüfung allein reicht nicht aus: Ausrüstung, Erreger, Labore und Lieferketten unterscheiden sich weltweit.
Resilienz des öffentlichen Gesundheitswesens verringert Schaden unabhängig davon, ob ein Ausbruch natürlich, unfallbedingt oder absichtlich ist. Überwachung, schnelle Diagnostik, verbesserte Innenraumluft, Schutzausrüstung, Impfstoffplattformen, medizinische Vorräte, und vertrauenswürdige Kommunikation sind breite Verteidigungslinien. Sicherheitspolitiken, die sich nur auf Ablehnungen des Modells konzentrieren, übersehen dieses größere System. Für die Haushaltsebene dieser Resilienz — Atemschutzmasken, Luftfilterung und Isolationsplanung — siehe Grundlagen der persönlichen Biosicherheit.
Labor-Governance und Biosicherheit bleiben zentral. Schulung, institutionelle Überprüfung, Zugangskontrollen, Vorfallmeldung, und Sicherheitskultur adressieren sowohl böswillige als auch unfallbedingte Wege. KI kann die Verteidigung auch stärken, indem sie Entdeckung, Medikamentenforschung und biologische Forschung unterstützt; Kontrollen sollten legitime Arbeit dort erhalten, wo möglich.
Wie man ohne Sensationalismus argumentiert
Vier Aussagen sollten getrennt werden. Erstens: Aktuelle Modelle können erhebliche biologische Information liefern; das ist beobachtet. Zweitens: Manche Evaluationen weisen auf praktischen Fähigkeitsgewinn bei ausgewählten Proxy-Aufgaben hin; das ist aufkommende Evidenz mit Einschränkungen. Drittens: Ein böswilliger Akteur könnte künftige KI mit Werkzeugen und Materialien kombinieren, um einen katastrophalen Ausbruch zu verursachen; das ist ein plausibler Risikopfad. Viertens: Eine von KI verursachte Pandemie steht unmittelbar bevor; die verfügbare Evidenz belegt diese Prognose nicht.
Die Unterscheidung ist wichtig für öffentliches Vertrauen. Übertreibung kann Fatalismus fördern oder Fähigkeiten bewerben, während vorschnelles Abtun Verteidigungsmaßnahmen verzögern kann. Berichte sollten das getestete System, Schutzmaßnahmen, Ausgangsbasis, Teilnehmer, Erfolgskriterium, Unsicherheit, und Finanzierung beschreiben. Operative Details, die Schaden ermöglichen würden, sollten nicht veröffentlicht werden.
Die praktische Schlussfolgerung
KI-unterstütztes biologisches Risiko gehört zu den konkretesten Anliegen bei schwerem Schaden, weil sich nützliche wissenschaftliche Unterstützung und gefährliche Unterstützung überschneiden. Die Evidenz ist über das frühe Ergebnis „kein bedeutsamer Fähigkeitsgewinn” hinausgegangen, zeigt aber nicht, dass Modelle die anspruchsvollen physischen und organisatorischen Hürden für einen großangelegten Angriff beseitigt haben.
Die rationale Antwort ist geschichtet und anpassungsfähig: unabhängige Uplift-Studien fortsetzen, Modellfähigkeiten mit durchsetzbaren Schutzmaßnahmen verknüpfen, biologische Lieferketten sichern, und das öffentliche Gesundheitswesen stärken. Diese Maßnahmen bleiben über eine breite Spanne von KI-Zeitverläufen hinweg wertvoll — und sie vermeiden es, so zu tun, als sei die Sicherheitsstufe eines Unternehmens ein Urteil über den Zustand des biologischen Risikos.