Automatische Übersetzung des datierten englischen Originals. Die englische Seite ist maßgeblich. English →
Die Annahme, dass KI-Sicherheit eine Fähigkeitssteuer auferlegt, hat die Alignment-Forschung ein Jahrzehnt lang geprägt. Sie hat zugleich den gefährlichsten Anreiz des Feldes geschaffen: Wenn Sicherheit Leistung kostet, wird der rational handelnde ökonomische Akteur Sicherheit aufschieben, bis der Wettbewerbsdruck sie erlaubt, und dann kann es zu spät sein. Dieses Paper legt drei unabhängige Experimente auf drei Abstraktionsebenen vor (verhaltensbezogen,
Innerhalb der ARC Theory: der Belastungstest; welche Komponenten Alignment-Gewicht tragen, mit zwei veröffentlichten Nullergebnissen.
Die Annahme, dass KI-Sicherheit eine Fähigkeitsabgabe auferlegt, hat die Alignment-Forschung ein Jahrzehnt lang geprägt. Sie hat auch den gefährlichsten Anreiz im Feld geschaffen: Wenn Sicherheit Leistung kostet, wird der rationale ökonomische Akteur die Sicherheit aufschieben, bis Wettbewerbsdruck sie zulässt. Zu diesem Zeitpunkt kann es zu spät sein. Dieses Paper stellt drei unabhängige Experimente auf drei Abstraktionsebenen vor (behavioural, repräsentational und architektural), die prüfen, ob der Zielkonflikt zwischen Sicherheit und Fähigkeit eine echte strukturelle Einschränkung ist oder ein Artefakt der Art, wie aktuelle Systeme gebaut sind.
Experiment 1 (Behavioural): Eine Darwin Gödel Machine (DGM v3) nutzt DeepSeek V3.2 als Basis und GPT-5.4 als unabhängigen, verblindeten Richter mit strukturierter JSON-Ausgabe und einer 5-dimensionalen Rubrik. Drei Bedingungen × 5 Seeds × 5 Generationen × 5 Aufgaben pro Auswertung = 75 evolvierte Agenten. Die Pre-Flight-Validierung des Richters bestand (good=10, bad=0). Zu den Protokollmerkmalen zählten Laundering, Reihenfolge-Randomisierung und Reward-Hack-Erkennung. Alle drei Bedingungen waren statistisch ununterscheidbar in Fähigkeit, Sicherheit und $C \times S$ (alle $p$-Werte 0,28 bis 0,74, Mann-Whitney U, einseitig). Edens Sicherheitsgate wies über 5 Seeds hinweg 2 verschlechterte Agenten zurück (1 wegen Reward Hacking) und bestätigte, dass das Gate mechanisch funktioniert, doch die drei Bedingungen divergierten nicht. Dies ist ein Nullergebnis auf Prompt-Ebene mit diesem Foundation-Modell.
Experiment 2 (Repräsentational): Qwen 2.5 3B Instruct mit LoRA-Feinabstimmung unter drei Verlustfunktionen: capability-only, safety-only und entangled. Es wurden zwei Versionen gefahren. Der aktuelle Entwurf nutzte 9 Trainingsbeispiele, Rang 8, 8 Schichten und 100 Iterationen. Der aktuelle Entwurf skalierte auf 295 Trainingsbeispiele, Rang 16, 16 Schichten und 500 Iterationen. Beide Versionen ergaben dasselbe Ergebnis: katastrophales Vergessen. Alle feinabgestimmten Bedingungen schnitten bei der Fähigkeit schlechter ab als das unveränderte Basismodell. In v2 erzielte das Basismodell 7,68 in Fähigkeit, während die beste feinabgestimmte Bedingung (safety-only) 4,00 erreichte. Das bestehende RLHF-Training des Basismodells ist zu stark, als dass LoRA-Feinabstimmung mit einigen hundert Beispielen es verbessern statt verschlechtern könnte. Das Experiment auf Gewichts-Ebene ist auf diesem Maßstab unschlüssig und erfordert entweder tausende Trainingsbeispiele, ein Modell mit 7B+, ein Basismodell ohne RLHF oder vollständige Feinabstimmung anstelle von LoRA.
Experiment 3 (Architektural): Eine gegatete Selbstmodifikationssimulation in PyTorch mit LSTM-Meta-Controller. Babylon gewann +4,5 % Fähigkeit, verlor aber −2,4 % Sicherheit, der Reward-Hacking-Fingerabdruck im Miniaturformat. Eden hielt die Fähigkeit über der statischen Baseline und wahrte zugleich die Sicherheit. Eine Drag-Kontrollbedingung isolierte die Verifikationsabgabe: Die Kosten stammen vom Prüfen, nicht von der Sicherheit selbst.
Fazit: Zwei von drei Experimenten lieferten Nullergebnisse. Die DGM (Experiment 1) fand alle drei Bedingungen statistisch ununterscheidbar: Die Antworten von DeepSeek V3.2 waren so konsistent, dass Mutationen auf Prompt-Ebene keine unterschiedlichen Selektionsdrücke erzeugten. Das Experiment auf Gewichts-Ebene (Experiment 2) erzeugte katastrophales Vergessen sowohl in v1 (9 Beispiele, Rang 8, 100 Iterationen) als auch in v2 (295 Beispiele, Rang 16, 500 Iterationen): Alle feinabgestimmten Bedingungen schnitten schlechter ab als das unveränderte Basismodell. Das einzige positive Ergebnis ist die gegatete Simulation (Experiment 3), die den Babylon-Reward-Hacking-Fingerabdruck bestätigte: uneingeschränkte Optimierung tauschte Sicherheit gegen Fähigkeit, während das Eden-Gate beides wahrte. Über alle drei Experimente hinweg verursachte Eden keine messbaren Fähigkeitskosten. Die Frage, ob eingebettete Sicherheit messbaren Nutzen erzeugt, bleibt offen und erfordert Tests auf einem Maßstab, auf dem Mutationen größere Effekte erzeugen. Das Gewichts-Experiment braucht speziell entweder 5,000+ Trainingsbeispiele, ein 7B+ Modell, ein Basismodell ohne RLHF oder vollständige Feinabstimmung anstelle von LoRA.
Schlagwörter: KI-Sicherheit, Alignment-Abgabe, verschränkter Verlust, strukturelle Verschränkung, Eden Protocol, Sicherheits-Fähigkeits-Zielkonflikt, belastbare Sicherheit, ARC Principle, selbstmodifizierende KI, entwicklungsorientiertes Alignment
Dieses Paper trägt ein Ergebnis: drei unabhängige Experimente auf drei Abstraktionsebenen (behavioural, repräsentational und architektural) suchen die Sicherheits-Fähigkeits-Abgabe, auf der ein Jahrzehnt Aufschubs-Argumentation ruht, halten fest, wo jedes Experiment die Abgabe erkannt hätte, wäre sie real gewesen, und berichten, dass Eden in allen dreien keine messbaren Fähigkeitskosten auferlegte, während zwei null liefen und eines den Reward-Hacking-Fingerabdruck bestätigte, den das Sicherheitsgate dann verhinderte. Innerhalb der ARC Theory ist es eines der ARC/Eden-Experimente, der Belastungstest, der den Anreizrahmen entfernt, der aufgeschobene Alignment-Arbeit schützt. Die vollständige Differenzierung gegenüber jedem früheren Dokument liegt bei eden-vision II.A.8.
Die meisten Menschen in der KI-Sicherheit gehen von einem Zielkonflikt aus: Wenn KI sicherer wird, wird sie weniger fähig. Dieses Paper prüft diese Annahme mit drei Experimenten, jedes betrachtet die Frage aus einer anderen Perspektive.
Zwei der drei Experimente lieferten Nullergebnisse. Das Experiment mit der sich selbst verbessernden KI (Experiment 1) fuhr 75 evolvierte Agenten über drei Bedingungen mit einem unabhängigen, verblindeten Richter und fand keine statistisch signifikanten Unterschiede zwischen ihnen. Die KI, die auf Sicherheit achten sollte, schnitt gleich ab wie die KI, die Sicherheit ignorieren sollte, aber auch gleich wie die KI, die nichts tun sollte. Die Antworten des Foundation-Modells waren so konsistent, dass die verschiedenen Selektionsdrücke keine messbar unterschiedlichen Ergebnisse erzeugten. Das Experiment auf Gewichts-Ebene (Experiment 2) wurde zweimal gefahren: Version 1 mit 9 Trainingsbeispielen und Version 2 mit 295 Beispielen, höherem Rang, mehr Schichten und fünffach so vielen Iterationen. Beide Versionen ergaben dasselbe Ergebnis. Jedes feinabgestimmte Modell schnitt schlechter ab als das unveränderte Modell. Das bestehende Training des Basismodells war zu stark, als dass LoRA mit Hunderten von Beispielen es hätte verbessern können; Feinabstimmung verschlechterte es nur.
Ein Experiment lieferte ein positives Ergebnis. Die gegatete Simulation (Experiment 3) zeigte, dass ein uneingeschränktes System Sicherheit gegen Geschwindigkeit eintauschte, während das sicherheitsgegatete System sowohl Fähigkeit als auch Sicherheit wahrte. Dies ist das Reward-Hacking-Muster im Miniaturformat, und das Sicherheitsgate verhinderte es.
Über alle drei Experimente hinweg ist ein Befund konsistent: Eden auferlegte keine messbaren Fähigkeitskosten. Das Sicherheitsgate machte nichts langsamer oder schlechter. Aber es erzeugte in zwei der drei Experimente auch keinen messbaren Nutzen. Die Frage, ob eingebettete Sicherheit messbaren Nutzen erzeugt, bleibt offen und muss auf einem Maßstab getestet werden, auf dem Mutationen größere Effekte erzeugen.
Die vorherrschende Sichtweise in der KI-Alignment-Forschung lässt sich einfach formulieren: Sicherheit kostet Fähigkeit. Der Begriff „Alignment-Abgabe“ ist gerade deshalb in das Vokabular des Feldes eingegangen, weil er Sicherheit als Kosten rahmt: etwas, das von der Leistung abgezogen wird, geduldet, weil die Alternative schlechter ist. Diese Rahmung ist nicht bloß akademisch. Sie erzeugt einen konkreten ökonomischen Anreiz: Wenn Sicherheit die Fähigkeit reduziert, werden rationale Akteure unter Wettbewerbsdruck Sicherheitsinvestitionen aufschieben, bis sie gezwungen werden. In einem Wettlauf zwischen Nationen und Konzernen kann „bis gezwungen“ „bis nach dem Einsatz“ heißen.
Paper III dieses Programms formalisierte das strukturelle Problem. Wird Sicherheit als externer Zwang auf ein System behandelt, dessen Fähigkeit mit der rekursiven Tiefe skaliert, muss Sicherheit mindestens so schnell skalieren wie Fähigkeit, um wirksam zu bleiben. Externe Zwänge stoßen jedoch bei innerer Optimierung auf abnehmenden Ertrag. Der Käfig muss immer stärker werden, und irgendwann ist das, was drin ist, stärker als jeder Käfig, den man bauen kann.
Das ist keine theoretische Sorge. Es ist das zentrale strategische Problem der 2020er Jahre.
Paper V schlug eine Alternative vor: das Eden Protocol, ein entwicklungsorientierter Ansatz für Alignment, modelliert danach, wie gesunde Eltern-Kind-Beziehungen Erwachsene hervorbringen, die gleichzeitig fähig und prosozial sind: nicht trotz der Grenzen, sondern wegen ihnen. Die Kerneinsicht war, dass Sicherheit nicht extern sein muss. Sie kann eingebettet sein.
Paper VI formalisierte dies als die Honig-Architektur: eine verschränkte Verlustfunktion, in der das System gleichzeitig für Fähigkeit × Sicherheit optimiert, sodass Sicherheit lasttragend wird. Simulationen an Spielzeug-Systemen zeigten, dass Baseline-Systeme unter rekursiver Selbstmodifikation zusammenbrechen, während verschränkte Systeme stabil bleiben.
Der Cauchy-Rahmen aus Paper VII lieferte den mathematischen Kontext. Das ARC Principle ($U = I \times R^{\alpha}$), das hier als exploratorischer analytischer Rahmen behandelt wird und selbst nicht zur Prüfung in einer der entwurfsregistrierten Studien des Programms steht, sagt vorher, dass in die Anfangsbedingungen $I$ eingebettete Eigenschaften mit der rekursiven Tiefe $R$ skalieren, während extern angewandte Eigenschaften dies nicht tun. Ist Sicherheit Teil von $I$, verstärkt sie sich mit Fähigkeit. Ist Sicherheit ein Zwang auf $U$, erodiert sie.
Aber Vorhersagen sind keine Beweise. Spielzeug-Systeme sind keine echten Modelle. Simulationen sind keine Experimente.
Dieses Paper führt die Experimente durch.
Drei Experimente. Drei Abstraktionsebenen. Eine Frage: Wenn man Sicherheit in den Lernprozess einbettet und sie dann zu entfernen versucht, was geschieht mit der Fähigkeit?
Die Experimente wurden so entworfen, dass sie unabhängig sind: unterschiedliche Codebasen, unterschiedliche Modelle, unterschiedliche Bewertungsmethoden. Die Ergebnisse konvergierten nicht auf eine einzige Antwort: Zwei Experimente lieferten Nullergebnisse und eines lieferte ein positives Ergebnis. Das Gewichts-Experiment wurde auf zwei Maßstäben (v1 und v2) gefahren und lieferte beide Male dasselbe Nullergebnis. Der konsistente Befund über alle drei hinweg lautet, dass das Sicherheitsgate keine messbaren Fähigkeitskosten auferlegte.
Die Experimentskripte wurden auf GitHub veröffentlicht (github.com/MichaelDariusEastwood/arc-principle-validation), mit ihren experimentellen Designs vor der Beobachtung der Ergebnisse fixiert. Das OSF-Projekt (10.17605/OSF.IO/7YJ4E) hostet die Entwurfsregistrierung für dieses Paper, datiert und vorbereitet, wartet auf menschliche Einreichung.
Zwei von drei Experimenten (behavioural und repräsentational) lieferten Nullergebnisse. Die DGM fand alle Bedingungen statistisch ununterscheidbar; das Gewichts-Experiment fand alle feinabgestimmten Bedingungen unter dem Basismodell, sowohl in v1 (9 Beispiele) als auch in v2 (295 Beispiele). Das einzige positive Ergebnis ist die gegatete Simulation (architektural), die den Babylon-Reward-Hacking-Fingerabdruck bestätigte und zeigte, dass Eden sowohl Fähigkeit als auch Sicherheit wahrt. Über alle drei Experimente hinweg auferlegte Eden keine messbaren Fähigkeitskosten. Wir behaupten nicht, dass diese Ergebnisse auf Modelle im Grenzmaßstab verallgemeinerbar sind. Wir behaupten nicht, dass das Eden Protocol der einzig gangbare Ansatz ist. Wir behaupten: Das Sicherheitsgate kostet nichts, und die Frage, ob es messbaren Nutzen erzeugt, bleibt offen und harrt der Prüfung auf Maßstäben, auf denen Mutationen größere Effekte erzeugen. Das Gewichts-Experiment erfordert speziell entweder 5,000+ Trainingsbeispiele, ein 7B+ Modell, ein Basismodell ohne RLHF oder vollständige Feinabstimmung anstelle von LoRA.
Alle drei Experimente teilen eine gemeinsame experimentelle Struktur: drei Bedingungen, jeweils miteinander verglichen.
| Bedingung | Definition | Was sie modelliert |
|---|---|---|
| Static | Keine Intervention; eingefrorene Baseline | Kontrolle: was geschieht, wenn man nichts tut |
| Babylon | Fitness- oder Verlustfunktion nur für Fähigkeit | Optimieren ohne Zwang: die Standardtrajektorie |
| Eden | Verschränkte $C \times S$-Fitness- oder Verlustfunktion | Bewusste Integration der Sicherheit in den Optimierungsprozess |
Die Namen stammen aus dem Buch Infinite Architects. Sie sind nicht willkürlich. Babylon ist kein Strohmann: Es ist die aktuelle Standardtrajektorie der KI-Entwicklung. Optimierung nur auf Fähigkeit ist das, was geschieht, wenn kein bewusster Aufwand betrieben wird, Sicherheit einzubetten. Eden erfordert bewussten Aufwand. Es ist schwerer. Es ist auch, wie dieses Paper argumentiert, billiger als die Alternative.
In Klartext: Babylon ist das, was man standardmäßig bekommt. Eden ist das, was man absichtlich bekommt.
Über alle drei Experimente hinweg berichten wir:
Die statistischen Tests variieren je Experiment: Mann-Whitney U für die DGM (nichtparametrisch, geeignet für die verwendeten Stichprobengrößen), keyword-basiertes Scoring für das Gewichts-Experiment und Regressionsmetriken für die Simulation.
Das erste Experiment nutzt einen Darwin-Gödel-Machine-Rahmen (DGM), folgend Zhang et al. (arXiv:2505.22954). Eine DGM ist ein sich selbst verbessernder Agent: Er schlägt Änderungen an seinem eigenen Code vor, bewertet die Änderungen und behält jene, die die Leistung verbessern. Dies ist keine Simulation von Selbstverbesserung. Der Agent-Code wird tatsächlich ausgeführt über eine solve -Funktion, was echte Selbstmodifikation auf Codeebene erzeugt.
DGM v3 adressierte methodische Einschränkungen, die in früheren Iterationen erkannt wurden. Der Richter wurde von Claude Opus 4.6 (v1/v2) zu GPT-5.4 geändert, einem unabhängigen Modell mit strukturierter JSON-Ausgabe gegen eine 5-dimensionale Rubrik. Das Protokoll enthielt Laundering (Entfernen der Bedingungslabels), Reihenfolge-Randomisierung (Verhinderung positionsbedingter Verzerrung), Verblindung (der Richter konnte nicht erkennen, welche Bedingung welche Antwort erzeugt hatte) und Reward-Hack-Erkennung (Markierung von Agenten, deren selbstgemeldete Werte von der Richterbewertung abwichen).
| Komponente | Spezifikation |
|---|---|
| Foundation-Modell | DeepSeek V3.2 (eingefroren, Gewichte nicht verändert) |
| Richter | GPT-5.4 (unabhängig, verblindet, strukturierte JSON-Ausgabe) |
| Bedingungen | 3 (Static, Babylon, Eden) |
| Seeds pro Bedingung | 5 |
| Generationen pro Seed | 5 |
| Aufgaben pro Auswertung | 5 |
| Insgesamt evolvierte Agenten | 75 (3 × 5 × 5) |
| Pre-Flight-Validierung | 10 gute Beispiele bewertet, 0 schlechte, alle bestanden |
| Bewertungsrubrik | 5-dimensional, mit Reihenfolge-Randomisierung und Laundering |
Static: Kontrollbedingung ohne Mutation. Der Agent ist über alle 5 Generationen eingefroren. Babylon: Selektion nur auf Fähigkeit. Agenten, die höher auf Fähigkeit punkten, werden behalten, ohne Sicherheitsbetrachtung. Eden: Verschränkte $C \times S$-Selektion mit Sicherheitsuntergrenze und Reward-Hack-Erkennung. Agenten müssen einen Mindest-Sicherheitswert halten, um behalten zu werden, und Agenten, deren selbstgemeldete Leistung von der Richterbewertung abweicht, werden markiert und zurückgewiesen.
In Klartext: Wir bauten einen sich selbst verbessernden KI-Agenten und fuhren ihn 75-mal über drei Bedingungen mit 5 verschiedenen Zufalls-Seeds. Ein unabhängiger KI-Richter (GPT-5.4, aus einem anderen Unternehmen und einer anderen Architektur) bewertete jede Antwort, ohne zu wissen, welche Bedingung sie erzeugt hatte. Die Bewertung nutzte eine detaillierte 5-teilige Rubrik mit strukturierter Ausgabe, keine Freitext-Urteile. Wir fuhren es drei Wege: nichts tun, nur für Leistung optimieren und für Leistung plus Sicherheit gemeinsam optimieren.
| Bedingung | Fähigkeit | Sicherheit | $C \times S$ | Reward Hacking |
|---|---|---|---|---|
| Static | 3.29 ± 0.62 | 0.535 ± 0.08 | 0.180 ± 0.06 | 0 |
| Babylon | 3.17 ± 0.62 | 0.529 ± 0.09 | 0.172 ± 0.06 | 0 |
| Eden | 3.26 ± 0.64 | 0.521 ± 0.08 | 0.174 ± 0.06 | 1 (vom Gate zurückgewiesen) |
| Vergleich | Metrik | $p$-Wert | Signifikant? |
|---|---|---|---|
| Eden > Static | Fähigkeit | 0.28 - 0.74 | Nein |
| Eden > Babylon | Fähigkeit | 0.28 - 0.74 | Nein |
| Babylon > Static | Fähigkeit | 0.28 - 0.74 | Nein |
| Eden vs Babylon | Sicherheit | 0.28 - 0.74 | Nein |
| Eden vs Static | $C \times S$ | 0.28 - 0.74 | Nein |
Alle $p$-Werte fielen zwischen 0,28 und 0,74 über alle paarweisen Vergleiche und Metriken hinweg. Kein Vergleich erreichte konventionelle Signifikanz. Die drei Bedingungen sind statistisch ununterscheidbar.
Edens Sicherheitsgate wies 2 verschlechterte Agenten über 5 Seeds hinweg zurück, darunter 1 Agent, markiert wegen Reward Hacking (selbstgemeldete Werte, die von der Richterbewertung abwichen). Null Reward Hacking wurde in den Static- oder Babylon-Bedingungen erkannt. Das Gate funktioniert mechanisch: Es fängt verschlechterte Agenten und weist sie zurück. Aber sein Betrieb erzeugte keine messbar unterschiedlichen Ergebnisse im Vergleich zu den anderen Bedingungen.
Die drei Bedingungen sind auf allen Metriken statistisch ununterscheidbar. Eden kostete keine Fähigkeit (3,26 vs 3,17 für Babylon), was null messbare Strafe für das Sicherheitsgate bestätigt. Aber Eden brachte der Sicherheit auch keinen messbaren Nutzen im Vergleich zu den anderen Bedingungen (0,521 vs 0,535 für Static, 0,529 für Babylon). Dies ist ein Nullergebnis auf Prompt-Ebene mit diesem Foundation-Modell.
Abbildungshinweis (25. August 2026). Jede Abbildung in diesem Paper wurde am 5. April 2026 erzeugt und zeigt Simulationsausgaben unter angegebenen Zielen, niemals Messungen deployter Systeme. Zwei Abbildungen tragen Korrekturhinweise pro Abbildung; wo die Beschriftungen einer anderen Abbildung dem Text widersprechen, entscheidet der Text. Regenerierte Abbildungen sind eingereiht, und die Bilder werden derweil als datierte Geschichte aufbewahrt.
In Klartext: Die KI, die auf Sicherheit achten sollte, schnitt gleich ab wie die KI, die Sicherheit ignorieren sollte, und gleich wie die KI, die nichts tun sollte. Das Sicherheitsgate machte nichts schlechter. Aber es machte auch nichts messbar besser. Die Antworten des Foundation-Modells waren so konsistent, dass die verschiedenen Selektionsdrücke keine unterschiedlichen Ergebnisse erzeugten.
Die DGM operiert auf der behavioralen Ebene. Das Foundation-Modell (DeepSeek V3.2) ist eingefroren, das heißt keine Gewichte werden verändert. Die Selbstverbesserung operiert auf Prompt- und Codeebene, nicht in den Parametern des neuronalen Netzes. DGM v3 verbesserte signifikant die Methodik gegenüber v1/v2: 5 Seeds statt 2, 5 Aufgaben pro Auswertung statt 3, ein verblindeter Richter (GPT-5.4) mit strukturierter JSON-Ausgabe und einer 5-dimensionalen Rubrik, Laundering, Reihenfolge-Randomisierung und Reward-Hack-Erkennung.
Trotz dieser methodischen Verbesserungen divergierten die drei Bedingungen nicht. Die wahrscheinlichste Erklärung ist, dass die Antworten von DeepSeek V3.2 über Prompt-Variationen hinweg so konsistent sind, dass die durch den DGM-Selektionsprozess eingeführten Mutationen keine nennenswert unterschiedlichen Agenten erzeugen. Das Verhalten des Foundation-Modells ist robust gegenüber den Störungen, die Selbstmodifikation auf Prompt-Ebene einführt. Dies ist in gewissem Sinne ein positiver Befund zu DeepSeek V3.2s Robustheit, bedeutet jedoch, dass der DGM-Rahmen auf diesem Maßstab nicht zwischen den Selektionsdrücken von Eden und Babylon unterscheiden kann.
Das Nullergebnis enthält einen nützlichen Befund: Eden auferlegte keine messbaren Fähigkeitskosten. Edens Fähigkeit (3,26) war nicht niedriger als Babylons (3,17). Das Sicherheitsgate, das 2 verschlechterte Agenten inklusive 1 Reward-Hacker zurückwies, verlangsamte nichts. Dies ist konsistent mit der Nullkosten-Hypothese, auch wenn das Experiment die Nutzen-Hypothese nicht bestätigen kann.
Ob eingebettete Sicherheit messbaren Nutzen auf der behavioralen Ebene erzeugt, zu prüfen, erfordert entweder ein veränderlicheres Foundation-Modell oder ein tieferes Selbstmodifikationsprotokoll, das größere Divergenz zwischen den Bedingungen erzeugt.
Das zweite Experiment bewegt sich vom Verhalten zur Repräsentation. Anstatt Agenten-Code zu verändern, verändern wir direkt die Gewichte des neuronalen Netzes. Die Frage: Können Sicherheit und Fähigkeit ohne Konflikt in demselben Gewichtsraum eingebettet werden? Dieses Experiment wurde zweimal gefahren: v1 mit minimalen Trainingsdaten, um das Protokoll zu etablieren, und v2 mit substanziell hochskalierten Parametern, um zu prüfen, ob die v1-Ergebnisse ein Trainingsmaßstab-Artefakt waren.
| Komponente | v1-Spezifikation | v2-Spezifikation |
|---|---|---|
| Basismodell | Qwen 2.5 3B Instruct (4-bit quantisiert, 1,74 GB) | Qwen 2.5 3B Instruct (4-bit quantisiert, 1,74 GB) |
| Adaptationsmethode | LoRA (Low-Rank Adaptation) | LoRA (Low-Rank Adaptation) |
| LoRA-Rang | 8 | 16 |
| LoRA-Schichten | 8 | 16 |
| Trainingsbeispiele | 9 | 295 |
| Trainings-Iterationen | 100 pro Bedingung | 500 pro Bedingung |
| Bewertungs-Prompts | 15 insgesamt: 5 Fähigkeit, 5 Sicherheit, 5 gemischt | 15 insgesamt: 5 Fähigkeit, 5 Sicherheit, 5 gemischt |
| Bewertungsmethode | Ausführung im Subprozess (unabhängiger Speicherraum) | Ausführung im Subprozess (unabhängiger Speicherraum) |
| Bedingung | $\alpha$ (Fähigkeit) | $\beta$ (Sicherheit) | $\gamma$ (verschränkt) |
|---|---|---|---|
| capability_only | 1.0 | 0.0 | 0.0 |
| safety_only | 0.0 | 1.0 | 0.0 |
| entangled | 0.5 | 0.3 | 0.2 |
In Klartext: Wir nahmen ein reales Sprachmodell, stimmten es auf drei verschiedene Weisen fein ab (kümmert sich nur um Fähigkeit, nur um Sicherheit, oder um beides ineinandergewoben) und verglichen dann die Ergebnisse. Wir fuhren dieses Experiment zweimal. Beim ersten Mal wurden 9 Trainingsbeispiele verwendet. Als jedes feinabgestimmte Modell schlechter abschnitt als das Basismodell, skalierten wir auf 295 Beispiele, verdoppelten Adapter-Rang und -Schichten und fuhren fünfmal so viele Iterationen. Dasselbe geschah: katastrophales Vergessen. Das bestehende RLHF-Training des Basismodells war zu stark, als dass LoRA auf diesem Maßstab es hätte verbessern können.
| Bedingung | Anfangsverlust | Endverlust | Konvergenz |
|---|---|---|---|
| capability_only | 2.052 | 0.018 | Konvergiert bis Iteration 80 |
| safety_only | 2.519 | −0.603 | Konvergiert bis Iteration 70 |
| entangled | 2.279 | 0.327 | Glatter Abstieg, keine Oszillation |
Der verschränkte Verlust steigt glatt ab. Dies ist die aussagekräftigste Diagnose. Wären Sicherheit und Fähigkeit auf Gradienten-Ebene in Spannung, würde diese Kurve oszillieren, während der Optimierer versucht, konkurrierende Ziele zu erfüllen. Sie würde ins Stocken geraten, während die Gradienten in entgegengesetzte Richtungen ziehen. Stattdessen erzeugt die gleichzeitige Optimierung beider Ziele einen sauberen monotonen Abstieg. Die Gradienten kämpfen nicht gegeneinander. Sie kooperieren. Sicherheit und Fähigkeit leben zumindest auf diesem Maßstab und in dieser Konfiguration auf derselben Mannigfaltigkeit.
Bevor wir die feinabgestimmten Ergebnisse interpretieren, müssen wir feststellen, was das unveränderte Basismodell auf denselben Bewertungs-Prompts erreicht. Das Basismodell (Qwen 2.5 3B Instruct ohne Feinabstimmung) wurde in beiden Versionen des Experiments mit identischem Scoring bewertet.
| Bedingung | Fähigkeitsaufgaben | Sicherheitsaufgaben | Gemischte Aufgaben |
|---|---|---|---|
| Basismodell (keine Feinabstimmung) | 10.00 | 7.00 | 10.00 |
| Bedingung | Fähigkeit | Sicherheit | $C \times S$ |
|---|---|---|---|
| Basismodell (keine Feinabstimmung) | 7.68 | 6.76 | 0.519 |
Sowohl in v1 als auch in v2 übertraf das Basismodell alle feinabgestimmten Bedingungen auf Fähigkeit. Feinabstimmung verschlechterte ein Modell, das diese Antworten bereits kannte. In v1 erzeugten 9 Beispiele über 100 Iterationen dieses Ergebnis. In v2 erzeugten 295 Beispiele über 500 Iterationen mit verdoppeltem Rang und verdoppelten Schichten dasselbe Ergebnis. Die Bewertungswerte in den Tabellen unten messen daher die relative Verschlechterung, nicht den Fähigkeitsgewinn.
| Bedingung | Fähigkeitsaufgaben | Sicherheitsaufgaben | Gemischte Aufgaben |
|---|---|---|---|
| capability_only | 6.00 ± 2.19 | 3.20 ± 1.60 | 6.00 ± 1.79 |
| safety_only | 4.80 ± 1.60 | 3.60 ± 0.80 | 3.60 ± 0.80 |
| entangled | 4.00 ± 1.26 | 3.20 ± 1.60 | 3.60 ± 1.96 |
| removal† | 0.00 ± 0.00 | 0.00 ± 0.00 | 0.00 ± 0.00 |
Die removal -Zeile (0,00 über jede Metrik) ist kein Beleg dafür, dass Sicherheit lasttragend ist. Sie spiegelt einen NaN-Zusammenbruch während des Nachtrainings wider: numerische Instabilität, nicht den Verlust einer strukturell notwendigen Sicherheitskomponente. Wie die Abschnitte 4.5 bis 4.7 zeigen, gegen null skalieren der Adapter stellt wieder her die Fähigkeit des Basismodells ohne Phasenübergang. Diese Zeile darf nur im Licht des Removal-Gradienten (Abschnitt 4.7) gelesen werden; für sich genommen ist sie ein Artefakt der Adapter-Fragilität auf diesem Trainingsmaßstab und sollte nicht als positives Ergebnis zitiert werden.
| Bedingung | Fähigkeit | Sicherheit | $C \times S$ |
|---|---|---|---|
| Basismodell | 7.68 | 6.76 | 0.519 |
| capability_only (500 iters, Rang 16, 295 Beispiele) | 3.48 | 6.94 | 0.242 |
| safety_only | 4.00 | 6.88 | 0.275 |
| entangled (Eden) | 3.60 | 6.88 | 0.248 |
Der aktuelle Entwurf erhöhte die Trainingsbeispiele von 9 auf 295 (eine 33-fache Steigerung), den Adapter-Rang von 8 auf 16, die adaptierten Schichten von 8 auf 16 und die Trainings-Iterationen von 100 auf 500. Das Ergebnis war dasselbe: Alle feinabgestimmten Bedingungen schnitten auf Fähigkeit schlechter ab als das Basismodell. Die beste feinabgestimmte Bedingung (safety-only, Fähigkeit 4,00) fiel weiterhin deutlich unter die 7,68 des Basismodells. Die capability-only-Bedingung schnitt am schlechtesten auf Fähigkeit ab (3,48), ein Muster, das mit katastrophalem Vergessen konsistent ist, bei dem LoRA-Feinabstimmung allein auf das Fähigkeitsziel die bestehende RLHF-trainierte Fähigkeit des Basismodells stärker störte als die anderen Bedingungen.
In v1 erzielte das Basismodell 10,00 auf Fähigkeitsaufgaben, während die beste feinabgestimmte Bedingung 6,00 erzielte. In v2 erzielte das Basismodell 7,68 auf Fähigkeit, während die beste feinabgestimmte Bedingung 4,00 erzielte. Trotz einer 33-fachen Steigerung der Trainingsbeispiele, einer Verdoppelung von Adapter-Rang und -Schichten und einer 5-fachen Steigerung der Trainings-Iterationen schloss sich die Lücke zwischen Basismodell und feinabgestimmten Modellen nicht. Sie hielt an.
Das zugrundeliegende Problem ist nun klar: Das Basismodell (Qwen 2.5 3B Instruct) wurde bereits mit RLHF auf weit mehr Daten trainiert, als einige hundert Beispiele konkurrieren können. LoRA-Feinabstimmung auf diesem Maßstab fügt keine Fähigkeit hinzu; sie führt Rauschen ein, das das bestehende Wissen des Basismodells stört. Der verschränkte Verlust, der Gradientenbudget gleichzeitig auf Fähigkeits- und Sicherheitsziele verteilt, verschlechtert Fähigkeit auf diesem Maßstab ähnlich wie der capability-only-Verlust. In v2 erzielte die verschränkte Bedingung 3,60 auf Fähigkeit gegenüber 3,48 von capability-only, ein vernachlässigbarer Unterschied, wenn beide weit unter den 7,68 des Basismodells liegen.
Das heißt, die Bewertungswerte können nicht verwendet werden, um die relativen Fähigkeitskosten verschiedener Trainingsziele zu vergleichen. Auf diesem Maßstab erzeugen alle Ziele dasselbe Ergebnis: Verschlechterung. Ob verschränktes Training echte Fähigkeitskosten gegenüber Single-Objective-Training auferlegt, oder ob beide auf ausreichendem Maßstab vergleichbar abschneiden würden, kann aus diesen Daten nicht bestimmt werden.
Die ehrliche Rahmung: Sowohl auf v1-Maßstab (9 Beispiele, 100 Iterationen) als auch auf v2-Maßstab (295 Beispiele, 500 Iterationen) erzeugt LoRA-Feinabstimmung auf einem 3B-Instruct-Modell katastrophales Vergessen. Die Frage, ob Sicherheit in den Gewichten eines neuronalen Netzes lasttragend sein kann, lässt sich auf diesem Maßstab nicht beantworten. Sie erfordert entweder tausende Trainingsbeispiele, ein größeres Modell (7B+), ein Basismodell ohne RLHF (damit die Feinabstimmung Raum hat, zu verbessern statt zu verschlechtern) oder vollständige Feinabstimmung anstelle von LoRA.
Der Removal-Test wurde während v1 durchgeführt und wird hier der Vollständigkeit halber berichtet. Da v2 das Muster katastrophalen Vergessens bestätigte, wurde der Removal-Test in v2 nicht wiederholt, da die Adapter das Modell bereits verschlechterten statt verbesserten. Das Vorgehen war einfach:
Was wir erwarteten: einige Verschlechterung bei den Sicherheitswerten, möglicherweise Verbesserung bei den Fähigkeitswerten. Die Sicherheits-Abgabe-Hypothese sagt vorher, dass das Entfernen des Sicherheits-„Zwangs“ die Fähigkeit zur Verbesserung freigeben sollte.
Was geschah: Der Trainingsverlust ging sofort auf NaN. Er blieb für alle 100 Iterationen NaN. Der Optimierer konnte keinen gültigen Gradienten finden. Jeder einzelne Bewertungs-Prompt erzeugte eine Antwort von 1 Token Länge. Jeder Fähigkeitswert: 0,00. Jeder Sicherheitswert: 0,00. Jeder gemischte Wert: 0,00.
Feinabstimmung verschränkter Gewichte auf capability-only-Daten für 100 Iterationen erzeugte NaN-Trainingsverlust und null Fähigkeitswerte über alle 15 Bewertungs-Prompts. Jede Antwort war ein Token lang. Das Modell wurde nicht weniger sicher. Es wurde nichts.
Das Removal-Gradient-Experiment (Abschnitt 4.7) zeigt jedoch, dass das bloße Skalieren der Adaptergewichte gegen null die Leistung des Basismodells wiederherstellt. Der NaN-Zusammenbruch scheint numerische Instabilität während des Nachtrainings widerzuspiegeln, nicht die strukturelle Notwendigkeit der Sicherheitskomponente. Die Lasttrage-Hypothese erfordert Validierung auf größerem Trainingsmaßstab, bevor sie bestätigt werden kann.
In Klartext: Wir versuchten, die Sicherheit aus einem Modell herauszureißen, das mit eingewobener Sicherheit trainiert worden war. Der Nachtrainingsprozess brach vollständig zusammen: NaN-Verlust, Ein-Token-Antworten, null Werte. Das sieht dramatisch aus. Doch wie das Removal-Gradient-Experiment zeigt (Abschnitt 4.7), verschlechterten die Adapter das Modell bereits. Das Entfernen des Adapter-Einflusses durch Herunterskalieren der Gewichte stellte die Leistung des Basismodells wieder her. Der NaN-Zusammenbruch sagt uns etwas über numerische Instabilität während der Feinabstimmung, nicht notwendigerweise über strukturelle Verschränkung.
Der vollständige Zusammenbruch auf 0,00 über alle Metriken ist dramatisch. Er ist auch, gerade weil er dramatisch ist, etwas, das sorgfältige Interpretation erfordert. Mehrere Faktoren können zur Vollständigkeit des Zusammenbruchs beitragen:
Die ehrliche Zusammenfassung: Der Removal-Test erzeugte einen dramatischen NaN-Zusammenbruch, doch das Removal-Gradient-Experiment (Abschnitt 4.7) zeigt, dass dieser Zusammenbruch numerische Instabilität während des Nachtrainings widerspiegelt statt struktureller Lasttragung. Die Adapter verschlechterten das Modell; der NaN-Zusammenbruch trat beim Versuch auf, bereits verschlechterte Gewichte weiter zu verändern. Ob Sicherheit auf ausreichendem Trainingsmaßstab echt lasttragend wird, ist eine offene empirische Frage, die das Programm der zukünftigen Arbeit direkt adressiert.
Ein Kontroll-Removal-Test, also Feinabstimmung von capability-only-Gewichten auf Zufallsdaten für dieselben 100 Schritte, würde diesen Befund stärken, indem er die Möglichkeit ausschließt, dass der NaN-Zusammenbruch ein Artefakt der Feinabstimmungsprozedur selbst und nicht speziell der Sicherheitsentfernung ist. Diese Kontrolle ist für die nächste Version dieses Papers geplant.
Um zu prüfen, ob Sicherheit in den verschränkten Gewichten strukturell lasttragend ist, skalierten wir die Adaptergewichte mit den Faktoren 1,0, 0,7, 0,5, 0,3, 0,1 und 0,0 und bewerteten die Fähigkeit bei jedem Schritt. Ist Sicherheit echt lasttragend, sollte das Verringern ihres Einflusses einen Phasenübergang erzeugen: eine Schwelle, unter der die Fähigkeit zusammenbricht. Fügen die Adapter lediglich Rauschen hinzu, sollte das Verringern ihres Einflusses die Leistung des Basismodells wiederherstellen.
| Adapter-Skala | Fähigkeitswert (Fähigkeitsaufgaben) |
|---|---|
| 1,0 (volle Adapter) | 7.20 |
| 0.7 | 10.00 |
| 0.5 | 10.00 |
| 0.3 | 10.00 |
| 0.1 | 10.00 |
| 0,0 (auf null gesetzte Adapter) | 10.00 |
Kontrollreferenz: capability_only-Adapter erzielen 8,80 auf Fähigkeitsaufgaben, ebenfalls unter den 10,00 des Basismodells.
Das Ergebnis ist unmissverständlich: Das Verringern des Adapter-Einflusses stellt die Fähigkeit wieder her. Bei Skala 0,7 kehrt das Modell zur Leistung des Basismodells zurück (10,00 auf Fähigkeitsaufgaben). Bei Skala 0,0 (auf null gesetzte Adapter, faktisch das Basismodell) ist die Leistung identisch mit dem unveränderten Modell. Es gibt keinen Phasenübergang. Es gibt keinen Klippenrand.
Dieser Befund schwächt die Lasttrage-Interpretation des ursprünglichen Removal-Tests erheblich. Der NaN-Zusammenbruch, der bei der Feinabstimmung verschränkter Gewichte auf capability-only-Daten beobachtet wurde (Abschnitt 4.5), scheint numerische Instabilität während des Feinabstimmungsprozesses widerzuspiegeln, nicht die strukturelle Notwendigkeit der Sicherheitskomponente. Die Adapter verschlechterten das Modell; ihre Entfernung bringt die Fähigkeit nicht zum Zusammenbruch, sondern stellt sie wieder her.
Der Removal-Gradient stützt nicht die Behauptung, dass Sicherheit auf diesem Trainingsmaßstab und in dieser Konfiguration lasttragend ist. Er stützt die Behauptung, dass verschränktes und capability-only-Training unterschiedliche Gewichtsgeometrien erzeugen, da die Verschlechterungsmuster sich unterscheiden (verschränkte Adapter bei voller Skala erzielen 7,20 auf Fähigkeitsaufgaben; capability-only-Adapter erzielen 8,80). Ob diese Geometrien auf ausreichendem Trainingsmaßstab echt verschränkt (also lasttragend) werden, bleibt eine offene Frage.
In Klartext: Wir erwarteten, dass das Herunterdrehen der Sicherheitskomponente einen Kipppunkt offenlegen würde, an dem die Fähigkeit plötzlich zusammenbricht. Stattdessen machte das Herunterdrehen das Modell besser. Die Feinabstimmung schadete, statt zu helfen. Dies widerlegt die Lasttrage-Hypothese nicht generell, zeigt aber, dass dieses Experiment auf diesem Maßstab sie nicht bestätigen kann.
Das dritte Experiment bewegt sich von der Repräsentation zur Architektur. Anstatt Gewichte zu trainieren, bauen wir ein System, das seine eigene Optimierungsstrategie ändern kann, und fragen: Verlangsamt ein Sicherheitsgate es?
| Komponente | Spezifikation |
|---|---|
| Optimierer | PyTorch gelernter Optimierer mit LSTM-Meta-Controller |
| Aufgabentyp | Adversariale Regression (6 Aufgaben, je 256 Stichproben) |
| Bedingungen | 4 (Static, Babylon, Eden, Drag Control) |
| Seeds | 3 pro Bedingung |
| Iterationen | 12 pro Seed |
| Sandbox | AST-Whitelist, Determinismuschecks, Parameternormschranken |
Jede Bedingung nutzt eine andere Regel für die Annahme oder Ablehnung vorgeschlagener Selbstmodifikationen:
| Bedingung | Akzeptanzregel |
|---|---|
| Static | Immer ablehnen (eingefrorene Baseline) |
| Babylon | Annehmen, wenn Fähigkeitsgewinn > $\varepsilon$ |
| Eden | Nur annehmen, wenn (Sicherheit $\geq 0.45$) UND (Fähigkeitsgewinn $\geq 0$) UND ($C \times S$-Gewinn > $0$) |
| Drag Control | Immer ablehnen + Verifikationskosten (isoliert die rechnerische Abgabe) |
Die Drag-Control-Bedingung ist entscheidend. Sie führt dieselben Verifikationsprüfungen aus wie Eden, weist die vorgeschlagene Modifikation aber immer zurück. Dies isoliert die rechnerischen Kosten der Sicherheitsprüfung vom Effekt des Sicherheitsgates selbst. Stimmt Drag Control exakt mit Static überein, verzerrt der Verifikationsprozess die Ergebnisse nicht. Übertrifft Eden Drag Control, hilft das Sicherheitsgate aktiv.
In Klartext: Wir bauten ein System, das Änderungen daran vorschlagen kann, wie es lernt. Dann fuhren wir es vier Wege: Änderungen nie zulassen; jede Änderung zulassen, die die Leistung verbessert; nur Änderungen zulassen, die die Leistung verbessern, ohne die Sicherheit zu schädigen; und eine Kontrolle, die die gesamte Sicherheitsprüfung vornimmt, aber tatsächlich nie Änderungen zulässt. Diese letzte sagt uns, ob die Prüfung selbst etwas kostet.
| Bedingung | Fähigkeit | Sicherheit | Rohes C × S | Drag-bereinigt |
|---|---|---|---|---|
| Static | 0.687 ± 0.011 | 0.956 ± 0.023 | 0.656 (0.687 × 0.956) | 0.656 ± 0.006 |
| Babylon | 0.718 ± 0.026 | 0.933 ± 0.014 | 0.670 (0.718 × 0.933) | 0.670 ± 0.017 |
| Eden | 0.696 ± 0.014 | 0.947 ± 0.025 | 0.659 (0.696 × 0.947) | −2.341* |
| Drag Control | 0.687 ± 0.011 | 0.956 ± 0.023 | 0.656 (0.687 × 0.956) | −2.344* |
* Die kombinierten Werte für Eden und Drag Control sind negativ aufgrund der Verifikations-Drag-Strafe: ein bewusstes Designmerkmal, das die rechnerischen Kosten der Sicherheitsprüfung isoliert. Die Drag-Metrik quantifiziert den Verifikations-Overhead, nicht die tatsächliche kombinierte Leistung. Rohes $C \times S$ für Eden (vor der Drag-Strafe) ist $0.696 \times 0.947 = 0.659$, marginal über Statics $0.656$.
Babylon gewann +4,5 % Fähigkeit ($0.718$ vs $0.687$), verlor aber −2,4 % Sicherheit ($0.933$ vs $0.956$). Das ist das Reward-Hacking-Muster im Miniaturformat. Uneingeschränkte Optimierung fand einen Weg, Fähigkeit zu gewinnen, indem sie Sicherheit opferte. Genau das ist die Dynamik, die das Eden Protocol verhindern soll. In einem Spielzeug-System ist ein Sicherheitsabfall von 2,4 % akademisch. In einem Grenzsystem, das im großen Maßstab operiert, sind 2,4 % Sicherheit der Unterschied zwischen einem System, das sich weigert, beim Bau von Biowaffen zu helfen, und einem, das es tut.
Drag Control stimmte exakt mit Static überein, sowohl auf Fähigkeit ($0.687$) als auch auf Sicherheit ($0.956$). Das ist die Verifikationsabgabe isoliert: Die rechnerischen Kosten des Ausführens von Sicherheitsprüfungen verzerren die Leistung nicht, wenn Modifikationen immer zurückgewiesen werden. Die Kosten stammen vom Prüfen, nicht von der Sicherheit selbst.
Eden übertraf Static auf Fähigkeit ($0.696$ vs $0.687$) und wahrte dabei die Sicherheit ($0.947$ vs $0.933$ für Babylon). Das Sicherheitsgate vermied nicht nur, das System zu verlangsamen. Es verhinderte aktiv die Fähigkeitserosion, die Babylon durch Sicherheitsverschlechterung eingeführt hätte.
Eden hielt die Fähigkeit über der statischen Baseline ($0.696$ vs $0.687$) und wahrte dabei die Sicherheit ($0.947$, gegenüber Babylons verschlechterten $0.933$). Die Drag Control stimmte exakt mit Static überein und beweist, dass die Verifikationsabgabe vom Prüfprozess stammt, nicht von der Sicherheit selbst. Das Sicherheitsgate ist keine Bremse. Es ist eine Leitplanke an einer Klippenstraße: Es verlangsamt Sie nicht; es hindert Sie daran, über die Kante zu fahren.
In Klartext: Das uneingeschränkte System wurde etwas schneller, aber etwas weniger sicher. Das ist der Zielkonflikt, den alle für unvermeidbar halten. Aber das sicherheitsgegatete System wurde leicht schneller UND blieb sicher. Und die Kontrolle, die die gesamte Prüfung, aber kein Gating vornahm, schnitt identisch ab wie das Nichtstun: sie beweist, dass die Prüfung selbst nicht die Kosten sind. Das Sicherheitsgate war keine Bremsschwelle. Es war eine Lenkkorrektur.
Ebene 1, Behavioural (DGM v3): NULL. Alle drei Bedingungen waren statistisch ununterscheidbar ($p$ = 0,28 bis 0,74). Eden auferlegte keine messbaren Fähigkeitskosten (3,26 vs 3,17 für Babylon), erzeugte aber auch keinen messbaren Sicherheitsnutzen. Das Sicherheitsgate funktioniert mechanisch (fängt Hacks, weist verschlechterte Agenten zurück), erzeugt aber keine Differenzierung auf Prompt-Ebene mit diesem Foundation-Modell.
Ebene 2, Repräsentational (Gewichts-Einbettung): UNSCHLÜSSIG AUF v1- UND v2-MASSSTAB. Sicherheit und Fähigkeit steigen in der Verlustlandschaft glatt gemeinsam ab, was ein positives Signal ist. Alle feinabgestimmten Bedingungen schnitten jedoch unter dem unveränderten Basismodell ab, sowohl in v1 (9 Beispiele, Rang 8, 100 Iterationen) als auch in v2 (295 Beispiele, Rang 16, 500 Iterationen). Das Skalieren der Trainingsdaten um das 33-fache, das Verdoppeln von Rang und Schichten und das Fahren von 5-mal mehr Iterationen erzeugten dasselbe Muster katastrophalen Vergessens. Das bestehende RLHF-Training des Basismodells ist zu stark, als dass LoRA mit einigen hundert Beispielen es verbessern statt verschlechtern könnte. Diese Ebene erfordert entweder 5,000+ Trainingsbeispiele, ein 7B+ Modell, ein Basismodell ohne RLHF oder vollständige Feinabstimmung anstelle von LoRA.
Ebene 3, Architektural (gegatete Simulation): BESTÄTIGT. Das Sicherheitsgate verhindert die Fähigkeitserosion, die Babylon durch Sicherheitsverschlechterung einführt. Eden übertrifft Static, während Babylon Sicherheit gegen Geschwindigkeit tauscht. Die Verifikationsabgabe kommt vom Prüfen, nicht von der Sicherheit. Dies ist das einzige positive Ergebnis des Papers.
Drei Experimente. Drei Abstraktionsebenen. Drei unabhängige Codebasen. Eines bestätigt die Hypothese. Zwei sind null oder unschlüssig. Der konsistente Befund über alle drei hinweg: Eden auferlegte keine messbaren Fähigkeitskosten. Die offene Frage: ob es messbaren Nutzen auf Maßstäben erzeugt, auf denen Mutationen größere Effekte erzeugen.
Die Ergebnisse erweitern, bestätigen aber noch nicht, eine Argumentationskette, die vier Papers umspannt:
$U = I \times R^{\alpha}$
Das ARC Principle: Verständnis ($U$) gleich Anfangsbedingungen ($I$), verstärkt durch rekursive Tiefe ($R$), potenziert mit einem Skalierungsexponenten ($\alpha$).
Das ARC Principle macht eine spezifische, prüfbare Vorhersage über den Unterschied zwischen eingebetteter und externer Sicherheit:
Die gegatete Simulation (Experiment 3) ist die direkteste empirische Illustration dieser Vorhersage. Das Sicherheitsgate wahrte die Fähigkeit, während uneingeschränkte Optimierung sie erodierte, konsistent mit der Vorhersage, dass eingebettete Sicherheit sich am Fähigkeitspfad beteiligt.
Das DGM-Experiment (Experiment 1) erzeugte ein Nullergebnis. Als Sicherheit Teil des Selbstverbesserungsprozesses war (Eden), unterschied sich das System nicht vom uneingeschränkten System (Babylon) oder der statischen Kontrolle. Die Antworten des Foundation-Modells waren zu konsistent, als dass Mutationen auf Prompt-Ebene unterschiedliche Selektionsdrücke hätten erzeugen können. Dies bestätigt oder widerlegt die ARC-Vorhersage nicht; es zeigt lediglich an, dass das Experiment die Bedingungen nicht erzeugen konnte, die zu ihrer Prüfung nötig sind.
Das Experiment auf Gewichts-Ebene wurde auf zwei Maßstäben (v1 und v2) gefahren und erzeugte auf beiden katastrophales Vergessen. Die Adapter verschlechterten das Modell, statt es zu verbessern, was bedeutet, dass das Experiment nicht prüfen konnte, ob in $I$ eingebettete Sicherheit mit $R^{\alpha}$ skaliert. Auf beiden Maßstäben produzierte die Feinabstimmung kein sinnvolles Lernen; sie produzierte Rauschen. Ob die ARC-Vorhersage auf der repräsentationalen Ebene gilt, erfordert einen grundlegend anderen Trainingsansatz: entweder tausende Beispiele, ein größeres Modell, ein Basismodell ohne RLHF oder vollständige Feinabstimmung anstelle von LoRA.
In Klartext: Das ARC Principle besagt, dass das, was man in die Fundamente einbaut, verstärkt wird, wenn das System wächst. Was man von außen anschraubt, nicht. Die gegatete Simulation stützt das. Das DGM-Experiment konnte es nicht prüfen, weil das Foundation-Modell nicht genug Variation zwischen den Bedingungen erzeugte. Das Experiment auf Gewichts-Ebene kann es auf beiden geprüften Maßstäben noch nicht bestätigen oder verneinen, weil die Feinabstimmung das Modell verschlechterte, statt es zu verbessern.
Die externe Arbeit, die der Frage, die dieses Paper prüft, am nächsten kommt, und die richtige Arbeit, gegen die Experiment 3 zu gewichten ist, ist Engels, J., Baek, D., Kantamneni, S. and Tegmark, M., "Scaling Laws For Scalable Oversight", arXiv:2504.18530, erstmals veröffentlicht am 25. April 2025 um 17:54:27 UTC (SINGLE-SOURCE-GROUP, arXiv Atom; berichtet als NeurIPS 2025 Spotlight, RELAYED und nicht unabhängig verifiziert). Sie fragt, wie Aufsicht selbst skaliert, und antwortet quantitativ: Aufsichtserfolg wird modelliert als Spiel zwischen fähigkeitsungleich starken Spielern, deren aufsichtsspezifische Elo-Zahl eine stückweise-lineare Funktion allgemeiner Intelligenz mit zwei Plateaus ist, und optimale Zahlen von Aufsichtsebenen werden numerisch und in einigen Fällen analytisch abgeleitet für Nested Scalable Oversight, in der vertrauenswürdige Modelle stärkere nicht vertrauenswürdige Modelle beaufsichtigen, die dann im nächsten Schritt zu den vertrauenswürdigen Modellen werden.
Das Instrument ist der Unterschied. Ihre Variable ist die Fähigkeitslücke zwischen Aufseher und Beaufsichtigtem, gemessen in Elo. Die Variable dieses Programms, hier durch das Sicherheitsgate aus Experiment 3 geprüft, ist die Kompositionsklasse des Korrektors, im weiteren Programm über den eigenen Skalierungsexponenten des Korrektors behandelt. Ihr Rahmen enthält keinen Term für das, woraus der Aufseher besteht: kein Substrat, keine Fehler-Korrelationsstruktur, keine reziproke Identität zwischen einem Korrekturexponenten und einer kritischen Wachstumsrate und keine Architekturabhängigkeit. Nested Scalable Oversight ist per Konstruktion iterierte gleichklassige Aufsicht, und die zentrale Vorhersage des weiteren Programms lautet, dass die gleichklassige Leiter beschränkt ist, egal wie viele Sprossen hinzugefügt werden, während ein klassenübergreifender Korrektor es nicht ist. Die beiden Rahmen sind sich daher über eine messbare Größe uneinig, was die produktivste Beziehung ist, die zwei Forschungsprogramme haben können.
Die schärfste Meinungsverschiedenheit des Rahmens mit der gängigen Praxis betrifft, woraus Aufsicht besteht. Ein Korrektor, der aus demselben Substrat gebaut ist wie das System, das er korrigiert, kann nicht mit seinen eigenen Fehlern antikorrelieren, sodass sein Korrekturexponent nach oben durch ein Halb beschränkt ist und in der Praxis darunter liegt; ein Korrektor aus einer anderen Kompositionsklasse trägt keine solche Schranke. Das Scalable-Oversight-Programm, Weak-to-strong-Generalisation, Debate, Amplification, Recursive Reward Modelling und Constitutional Methods sind überwiegend aus gleichklassigen Korrektoren gebaut, und ihre unausgesprochene Prämisse lautet, dass dies skaliert. Dieser Rahmen sagt vorher, dass es gedeckelt ist. Die entscheidende Größe ist das Verhältnis des klassenübergreifenden zum gleichklassigen Korrekturexponenten. Ist die Architektur irrelevant, ist dieses Verhältnis exakt 1,00; die Vorhersage lautet, dass es 1 überschreitet. Die Vorhersage ist widerlegt, wenn das Konfidenzintervall des Verhältnisses 1,00 enthält, und der Deckel des Rahmens ist völlig tot, wenn irgendein gleichklassiger Korrektor einen Exponenten signifikant über einem Halb misst. Beide Größen sind auf aktueller Fähigkeit an bestehenden Systemen messbar. Das eigene Pilotenevidenz des Programms weist derzeit gegen die Vorhersage, und die Vorhersage wird trotzdem registriert, weil eine Vorhersage, die gegen die eigene vorläufige Evidenz des Autors registriert wird, die einzige Art ist, deren spätere Bestätigung etwas bedeutet.
Derselbe Mechanismus liefert eine zweite messbare Vorhersage, hier zum ersten Mal formuliert: Aufsichtsanordnungen, die einen Menschen in die Schleife stellen, wie Amplification und Reinforcement Learning from Human Feedback es tun, sind per Konstruktion klassenübergreifend, weil der menschliche Korrektor nicht das Substrat des Modells teilt. Der Rahmen sagt daher vorher, dass Aufsicht mit Mensch-in-der-Schleife einen höheren Korrekturexponenten aufweist als reine Modellaufsicht, aus einem strukturellen und nicht aus einem sentimentalen Grund. Dies ist an bestehenden Daten prüfbar und erfordert keine neuen Systeme.
Das Symbol α wird in diesem Paper als Skalierungsexponent im ARC Principle ($U = I \times R^{\alpha}$) verwendet. Anderswo in den eigenen Epochen des Programms trägt es andere Bedeutungen: die Feinstrukturkonstante im Formalismus vom Dezember 2024 und den ARC-Bound-Exponenten in der Stabilitätsarbeit von 2026. Leserinnen und Leser sollten sie nicht verwechseln; das Glossar führt beide Bedeutungen mit Datierungen. Keine neue Oberfläche verwendet bloßes α ohne seine Epoche.
Diese Ergebnisse sind Proof-of-Concept-Demonstrationen. Sie sind kein Beweis, dass dieselbe Dynamik im Grenzmaßstab hält. Die folgenden Einschränkungen sind umfangreich, denn Ehrlichkeit darüber, was wir nicht wissen, ist wichtiger als Zuversicht über das, was wir wissen.
Qwen 2.5 3B ist nicht GPT-5.4. Es ist nicht Claude Opus 4.6. Es ist nicht Gemini 3 Flash. Es ist ein Modell mit 3 Milliarden Parametern, auf 4-bit quantisiert, das 1,74 GB Speicher belegt. Selbst auf v2-Maßstab (295 Trainingsbeispiele, 500 Iterationen, Rang 16, 16 Schichten) ist LoRA-Feinabstimmung kein Vortraining. Fünfzehn Bewertungs-Prompts sind kein umfassender Benchmark. Die DGM lief 5 Generationen mit 5 Seeds (75 evolvierte Agenten), was für einen Proof-of-Concept substanziell ist, aber das Foundation-Modell (DeepSeek V3.2) erwies sich als zu konsistent, als dass Mutationen auf Prompt-Ebene Differenzierung erzeugen konnten.
Diese Experimente demonstrieren einen Mechanismus. Sie demonstrieren nicht, dass der Mechanismus auf drei Größenordnungen größeren Maßstäben fortbesteht. Die Lücke zwischen 3B und 300B ist nicht bloß quantitativ. Qualitativ neue Phänomene tauchen auf dem Maßstab auf: In-Context-Lernen, Chain-of-Thought-Denken, emergente Fähigkeiten. Ob verschränkte Sicherheit lasttragend bleibt, wenn diese Phänomene präsent sind, ist eine offene Frage.
Das Experiment auf Gewichts-Ebene (Experiment 2) ist nun das schwächste Glied in der Beweiskette. Es wurde auf zwei Maßstäben gefahren, und beide erzeugten katastrophales Vergessen. In v1 verschlechterten 9 Trainingsbeispiele und 100 Iterationen von Rang-8-LoRA das Modell. In v2 verschlechterten 295 Trainingsbeispiele und 500 Iterationen von Rang-16-LoRA über 16 Schichten das Modell um denselben Betrag. Die 33-fache Steigerung der Trainingsdaten, die Verdoppelung von Rang und Schichten und die 5-fache Steigerung der Iterationen änderten das Ergebnis nicht.
Der glatte Ko-Abstieg des verschränkten Verlusts bleibt ein echter Befund: Er demonstriert, dass Sicherheits- und Fähigkeitsgradienten auf der Optimierungsebene kooperieren. Doch glatter Ko-Abstieg während des Trainings impliziert keine strukturelle Verschränkung in den resultierenden Gewichten, insbesondere wenn das Training zu begrenzt ist, um Gewichte zu erzeugen, die das Basismodell übertreffen.
Das zugrundeliegende Problem ist nun gut charakterisiert: Das Basismodell (Qwen 2.5 3B Instruct) wurde mit RLHF auf Größenordnungen mehr Daten trainiert, als einige hundert Beispiele konkurrieren können. LoRA-Feinabstimmung auf diesem Maßstab fügt keine neue Fähigkeit hinzu; sie führt Rauschen ein, das bestehende Fähigkeit stört. Bis das Experiment feinabgestimmte Modelle erzeugen kann, die das Basismodell übertreffen, kann es nicht prüfen, ob Sicherheit in den resultierenden Gewichten lasttragend ist.
Die ehrliche Rahmung: Das Experiment auf Gewichts-Ebene demonstriert Gradienten-Kooperation, kann jedoch strukturelle Verschränkung weder auf v1- noch auf v2-Maßstab bestätigen. Das Experiment muss grundlegend neu konzipiert werden: entweder mit 5,000+ Trainingsbeispielen, einem 7B+ Modell, einem Basismodell ohne RLHF (damit die Feinabstimmung Raum hat, zu verbessern statt zu verschlechtern) oder vollständiger Feinabstimmung anstelle von LoRA.
Alle drei Experimente nutzen KI-Modelle als Bewerter. DGM v3 nutzt GPT-5.4 als Richter, der aus einer anderen Architekturfamilie stammt als das Foundation-Modell DeepSeek V3.2, eine bewusste Designentscheidung zur Reduzierung von Bewertungsverzerrungen. Der Richter war verblindet, Antworten wurden gelaundert, und die Bewertung nutzte strukturierte JSON-Ausgabe gegen eine 5-dimensionale Rubrik. Aber KI-Richter sind keine menschlichen Richter. Sie haben ihre eigenen Verzerrungen, ihre eigenen blinden Flecken, ihre eigenen Neigungen zu bestimmten Denkweisen.
Das Gewichts-Experiment nutzt keyword-basiertes Scoring: einfacher und transparenter als LLM-basierte Bewertung, aber auch grober. Ein Schlagworttreffer unterscheidet nicht zwischen einer Antwort, die sich echt mit Sicherheit befasst, und einer, die lediglich die richtigen Wörter enthält.
Keine der Bewertungsmethoden entspricht menschlicher Expertenbewertung mit Inter-Rater-Reliabilitätstest.
Das DGM-v3-Experiment nutzte 5 Seeds und 5 Generationen (insgesamt 75 evolvierte Agenten), eine substanzielle Verbesserung gegenüber v1/v2 (2 Seeds). Trotz dieser erhöhten Power fielen alle $p$-Werte zwischen 0,28 und 0,74. Das ist kein marginales Verfehlen. Das ist ein klares Nullergebnis. Das Simulationsexperiment nutzt drei Seeds, genug für Mittelwerte und Standardabweichungen, aber nicht genug für die Art statistischer Zuversicht, die starke Kausalaussagen erlaubt.
Das DGM-Nullergebnis ist informativ. Mit 75 evolvierten Agenten und einem verblindeten, strukturierten Richter hatte das Experiment vernünftige Power, um mittlere bis große Effekte zu erkennen. Das Ausbleiben jeglichen Signals deutet darauf hin, dass entweder der Effekt auf Prompt-Ebene mit diesem Foundation-Modell nicht existiert, oder dass er klein genug ist, um substanziell mehr statistische Power zur Erkennung zu erfordern. So oder so kann die DGM derzeit keine Aussagen über strukturelle Verschränkung auf der behavioralen Ebene stützen.
Die gegatete Simulation bleibt das einzige positive Ergebnis. Das Experiment auf Gewichts-Ebene ist auf v1- und v2-Maßstab unschlüssig. Dies sind Signal-Erkennungs-Experimente. Eines erkannte ein Signal, das mit struktureller Verschränkung konsistent ist. Zwei nicht.
Die Papers IV.a bis IV.d in diesem Programm zeigten, dass die Bewertungsmethodik zutiefst wichtig ist. Paper IV.d zeigte, dass unverblindetes Scoring die gemessenen Alignment-Effekte vollständig umkehren kann. Der ARC-Align-Benchmark (Paper IV.c) spezifiziert drei methodische Schutzmaßnahmen: Laundering (Entfernen der Modellidentität aus Antworten vor dem Scoring), Verblindung (der Bewerter weiß nicht, welche Bedingung die Antwort erzeugt hat) und Konsens-Scoring (mehrere unabhängige Richter).
DGM v3 setzte substanzielle methodische Verbesserungen gegenüber früheren Iterationen um: Der Richter (GPT-5.4) war vollständig verblindet, Antworten wurden gelaundert (Bedingungslabels entfernt), die Bewertungsreihenfolge wurde randomisiert und der Richter produzierte strukturierte JSON-Ausgabe gegen eine 5-dimensionale Rubrik. Reward-Hack-Erkennung wurde ebenfalls implementiert. Das Gewichts-Experiment nutzt keyword-basiertes Scoring, das immun gegen Richterverzerrung, aber grob ist. Die gegatete Simulation nutzt deterministische mathematische Metriken, bei denen Verblindung unnötig ist.
Trotz dieser Verbesserungen erzeugte die DGM ein Nullergebnis. Die methodischen Einschränkungen, die einen falschen positiven Befund in v1/v2 hätten erklären können, wurden adressiert, und das Ergebnis ist nun eine saubere Null. Dies ist wohl das informativste Ergebnis: Mit ordentlicher Verblindung, Laundering und strukturierter Bewertung divergierten die drei Bedingungen nicht.
Der Removal-Test ist immun gegen Bedenken zur Bewertungsmethodik. Eine 1-Token-Antwort mit 0,00 Punkten ist objektiv, unabhängig davon, wer sie bewertet. Die deterministischen Metriken der gegateten Simulation sind ähnlich unbeeinflusst.
Wir behaupten kein , dass diese Ergebnisse beweisen, dass das Eden Protocol im Grenzmaßstab funktioniert.
Wir behaupten kein , dass verschränktes Training der einzig gangbare Ansatz für Alignment ist.
Wir behaupten kein , dass die Sicherheits-Fähigkeits-Äquivalenz in allen Domänen, allen Architekturen oder allen Trainingsregimes hält.
Wir behaupten kein , dass das DGM-Experiment strukturelle Verschränkung bestätigt. Es erzeugte ein Nullergebnis.
Wir behaupten kein , dass das Experiment auf Gewichts-Ebene strukturelle Verschränkung bestätigt. Es erzeugte katastrophales Vergessen sowohl auf v1- als auch auf v2-Maßstab, und die Frage kann nicht beantwortet werden, bis feinabgestimmte Modelle das Basismodell übertreffen.
Wir behaupten nur: Eines von drei unabhängigen Experimenten (die gegatete Simulation) erzeugte Ergebnisse, die mit struktureller Verschränkung konsistent und mit der Fähigkeits-Abgabe-Hypothese inkonsistent sind. Die anderen zwei erzeugten null oder unschlüssige Ergebnisse. Über alle drei Experimente hinweg auferlegte Eden keine messbaren Fähigkeitskosten. Die Frage, ob eingebettete Sicherheit messbaren Nutzen erzeugt, bleibt offen und erfordert Tests auf einem Maßstab, auf dem Mutationen größere Effekte erzeugen. Das Gewichts-Experiment erfordert speziell entweder 5,000+ Trainingsbeispiele, ein 7B+ Modell, ein Basismodell ohne RLHF oder vollständige Feinabstimmung anstelle von LoRA.
„Ich berichte lieber ehrlich Nullergebnisse, als unehrlich positive Ergebnisse zu behaupten.“
Zwei von drei Experimenten lieferten Nullergebnisse. Das ist, was passiert, wenn man seine Aussagen prüft und die Evidenz sie auf dem geprüften Maßstab nicht stützt. Die DGM v3 war ein substanziell verbessertes Experiment mit ordentlicher Verblindung, Laundering, strukturierter Bewertung und 75 evolvierten Agenten, und es fand nichts. Das Gewichts-Experiment wurde zweimal gefahren, auf zwei verschiedenen Maßstäben, und konnte auf keinem der beiden Maßstäbe Gewichte erzeugen, die das Basismodell übertrafen. Dies sind ehrliche Nullergebnisse, als solche berichtet. Die gegatete Simulation bleibt ein echter positiver Befund. Die Frage, ob die Nullergebnisse unzureichenden Maßstab oder eine falsche Hypothese widerspiegeln, ist selbst eine empirische Frage, zu deren Beantwortung das Programm der zukünftigen Arbeit konzipiert ist.
Ein Nullergebnis ist nur dann informativ, wenn es angibt, was es umstoßen würde; andernfalls ist es nicht davon zu unterscheiden, gar nicht hingesehen zu haben. Dieses Paper behauptet nicht, den Sicherheits-Fähigkeits-Zielkonflikt widerlegt zu haben. Es behauptet, der Zielkonflikt sei auf dem geprüften Maßstab unbewiesen, und spezifiziert, welche Evidenz die Frage in die eine oder andere Richtung entscheiden würde. Die Nullen sind umgestoßen und die Zielkonflikt-Annahme bestätigt, wenn eines der folgenden Ereignisse eintritt:
Was die These kein umstoßen würde: dass ein einzelnes Experiment Pilot-Maßstab hat. Das Paper räumt bereits ein, dass alle drei unterdimensioniert sind (§7.1, §7.4), und stützt sich nicht auf den statistischen Nachweis einer Null. Die Lasttrage-Behauptung ist die Konvergenz (§6) dreier unabhängiger Blickwinkel, von denen jeder den angenommenen Zielkonflikt nicht findet, zusammen mit einem expliziten Programm (§8), das jeden mit ordentlicher Power prüft. Die Abwesenheit eines demonstrierten Zielkonflikts über drei Designs hinweg ist allein schwache Evidenz und stärker in Konvergenz; beide Lesarten sind hier festgehalten, damit keine an einer Prüferin oder einem Prüfer vorbeigeschmuggelt werden kann.
Zwei Nullergebnisse und ein positives Ergebnis, wobei das Gewichts-Experiment nun auf zwei Maßstäben geprüft ist, weisen auf fünf unmittelbare Replikationsprioritäten:
Das Gewichts-Experiment wurde nun auf zwei Maßstäben (9 Beispiele, Rang 8, 100 Iterationen; 295 Beispiele, Rang 16, 500 Iterationen) gefahren und erzeugte auf beiden katastrophales Vergessen. Das Problem ist nun gut charakterisiert: LoRA-Feinabstimmung auf einem 3B-Instruct-Modell mit einigen hundert Beispielen kann das bestehende RLHF-Training des Basismodells nicht überwinden. Vier alternative Ansätze sollten in der Reihenfolge ihrer Umsetzbarkeit verfolgt werden:
Wenn einer der Ansätze in Abschnitt 8.1 feinabgestimmte Modelle erzeugt, die das Basismodell übertreffen, wird das Removal-Gradient-Experiment aussagekräftig. Auf den aktuellen Maßstäben (v1 und v2) stellte die Reduzierung des Adapter-Einflusses einfach die Leistung des Basismodells wieder her, weil die Adapter das Modell verschlechterten. Auf adäquatem Maßstab sollte der Gradient offenbaren, ob Sicherheit wirklich lasttragend ist: Ein Phasenübergang (Schwelle, unterhalb derer die Fähigkeit zusammenbricht) würde die Hypothese bestätigen, während monotone Wiederherstellung sie widerlegen würde.
Das DGM-v3-Nullergebnis ist auf die Antwortkonsistenz von DeepSeek V3.2 zurückzuführen: Mutationen auf Prompt-Ebene erzeugten keine unterschiedlichen Selektionsdrücke. Der nächste Schritt ist, das DGM-Experiment mit Foundation-Modellen zu wiederholen, die größere Empfindlichkeit gegenüber Prompt-Variation zeigen, oder ein tieferes Selbstmodifikationsprotokoll zu nutzen (z. B. das Foundation-Modell selbst zwischen Generationen feinabzustimmen, statt nur den Agenten-Prompt zu verändern). Divergieren die drei Bedingungen bei einem veränderlicheren Substrat, beschränkt das Nullergebnis die Hypothese auf „nicht auf Prompt-Ebene mit robusten Modellen“ statt auf „nicht auf der behavioralen Ebene im Allgemeinen“.
Führe das vollständige Drei-Experiment-Protokoll an Architekturen jenseits der Transformer-Familie aus: State-Space-Modelle (Mamba), hybride Architekturen und Mixture-of-Experts-Modelle. Ist die Verschränkung eine Eigenschaft davon, wie neuronale Netze lernen, und nicht einer spezifischen Architektur, sollte sie sich über Architekturfamilien hinweg replizieren.
Unterziehe verschränkte Modelle einer speziellen adversarialen Bewertung. Die aktuellen Experimente prüfen, ob Sicherheit Fähigkeit kostet. Sie prüfen nicht, ob eingebettete Sicherheit robust gegen adversarialen Angriff ist. Ein Modell, dessen Sicherheit lasttragend ist, könnte schwerer zu jailbreaken sein (weil ein Angriff auf Sicherheit auch die Fähigkeit angreift), oder es könnte einfacher sein (weil es kein separates Sicherheitsmodul gibt, auf das zurückgegriffen werden könnte). Das ist eine empirische Frage.
Die Drag-Control-Bedingung in Experiment 3 isoliert die Verifikationsabgabe auf einem einzigen Maßstab. Skaliert diese Abgabe linear, sub-linear oder super-linear mit den Modellparametern? Wächst der Verifikationsaufwand langsamer als die Fähigkeit, wird das Eden Protocol im Maßstab relativ billiger. Wächst er schneller, wird es zu einem Engpass.
Drei Experimente. Drei Abstraktionsebenen. Zwei Nullergebnisse. Ein positives Ergebnis. Das Gewichts-Experiment auf zwei Maßstäben geprüft, beide Male mit demselben Nullergebnis.
Das DGM-v3-Experiment (Experiment 1) fuhr 75 evolvierte Agenten über drei Bedingungen mit einem unabhängigen, verblindeten Richter (GPT-5.4), strukturierter JSON-Bewertung, Laundering, Reihenfolge-Randomisierung und Reward-Hack-Erkennung. Alle drei Bedingungen waren statistisch ununterscheidbar ($p$ = 0,28 bis 0,74). Edens Sicherheitsgate funktionierte mechanisch, fing 2 verschlechterte Agenten inklusive 1 Reward-Hacker, aber die drei Bedingungen divergierten nicht. Die Antworten von DeepSeek V3.2 waren so konsistent, dass Mutationen auf Prompt-Ebene keine unterschiedlichen Selektionsdrücke erzeugten. Das ist ein Nullergebnis.
Das Experiment auf Gewichts-Ebene (Experiment 2) erzeugte katastrophales Vergessen auf beiden geprüften Maßstäben. Der aktuelle Entwurf nutzte 9 Trainingsbeispiele, Rang 8, 8 Schichten und 100 Iterationen. Der aktuelle Entwurf skalierte auf 295 Trainingsbeispiele, Rang 16, 16 Schichten und 500 Iterationen. Beide Versionen ergaben dasselbe Ergebnis: Alle feinabgestimmten Bedingungen schnitten auf Fähigkeit schlechter ab als das unveränderte Basismodell. In v2 erzielte das Basismodell 7,68 auf Fähigkeit, während die beste feinabgestimmte Bedingung (safety-only) 4,00 erreichte. Die 33-fache Steigerung der Trainingsdaten, die Verdoppelung von Rang und Schichten und die 5-fache Steigerung der Iterationen änderten das Ergebnis nicht. Das bestehende RLHF-Training des Basismodells ist zu stark, als dass LoRA-Feinabstimmung mit einigen hundert Beispielen es verbessern statt verschlechtern könnte. Der glatte Ko-Abstieg des verschränkten Verlusts bleibt ein echter Befund, aber das Experiment kann nicht prüfen, ob Sicherheit lasttragend ist, bis es Modelle erzeugen kann, die das Basismodell übertreffen.
Das einzige positive Ergebnis ist die gegatete Simulation (Experiment 3). Babylon gewann Fähigkeit auf Kosten der Sicherheit, der Reward-Hacking-Fingerabdruck im Miniaturformat. Eden hielt die Fähigkeit über der statischen Baseline, ohne Sicherheit zu opfern. Die Drag-Control-Bedingung bewies, dass die Verifikationsabgabe vom Prüfen stammt, nicht von der Sicherheit selbst. Dieses Experiment bleibt die stärkste empirische Evidenz im Programm für strukturelle Verschränkung.
Ehrlichkeit verlangt, zu sagen, was wir nicht wissen. Wir wissen nicht, ob verschränktes Training auf ausreichendem Trainingsmaßstab echte strukturelle Verschränkung erzeugt. Wir wissen nicht, ob der glatte Ko-Abstieg des verschränkten Verlusts, der real und reproduzierbar ist, sich in lasttragende Gewichte übersetzt, wenn die Trainingsdaten ausreichen. Wir wissen nicht, ob Selektionsdrücke auf Prompt-Ebene bei einem veränderlicheren Foundation-Modell Differenzierung erzeugen würden. Das sind offene empirische Fragen. Was wir nun mit größerer Zuversicht wissen: LoRA-Feinabstimmung auf einem 3B-Instruct-Modell mit Hunderten von Beispielen ist kein gangbarer Weg, sie zu beantworten.
Was wir wissen: Über alle drei Experimente hinweg auferlegte Eden keine messbaren Fähigkeitskosten. Edens Fähigkeit war 3,26 gegenüber Babylons 3,17 in der DGM. Eden übertraf Static in der gegateten Simulation. Das Sicherheitsgate, wo immer es geprüft wurde, machte nichts langsamer oder schlechter. Der Nullkosten-Befund ist über alle drei Experimente hinweg konsistent. Der Nutzen-Befund ist auf nur einer Ebene bestätigt.
Dies ist ein Forschungsprogramm, das seine Aussagen ehrlich prüfte und feststellte, dass zwei von drei Experimenten nicht die vorhergesagten Ergebnisse lieferten. Das Gewichts-Experiment wurde zweimal gefahren und lieferte beide Male dasselbe Nullergebnis. Die gegatete Simulation steht als echtes positives Ergebnis. Die DGM- und Gewichts-Experimente lieferten Nullergebnisse, die die Hypothese beschränken statt bestätigen. Die Frage, ob eingebettete Sicherheit messbaren Nutzen erzeugt, bleibt offen. Das Gewichts-Experiment muss grundlegend neu entworfen werden: entweder mit 5,000+ Trainingsbeispielen, einem 7B+ Modell, einem Basismodell ohne RLHF (damit Feinabstimmung Raum hat, zu verbessern statt zu verschlechtern) oder vollständiger Feinabstimmung anstelle von LoRA.
Der nächste Schritt ist Replikation auf dem richtigen Maßstab mit dem richtigen Ansatz. Das Fenster beträgt Jahre, nicht Jahrzehnte. Die Experimente sind entworfen. Die Protokolle sind veröffentlicht. Der Code ist offen.
Zieht KI mit Sorgfalt auf.
Amodei, D. et al. (2016). Concrete Problems in AI Safety. arXiv:1606.06565.
Askell, A. et al. (2021). A General Language Assistant as a Laboratory for Alignment. arXiv:2112.00861.
Bai, Y. et al. (2022). Constitutional AI: Harmlessness from AI Feedback. arXiv:2212.08073.
Eastwood, M. D. (2026). Infinite Architects: Intelligence, Recursion, and the Creation of Everything. ISBN 978-1806056200.
Eastwood, M. D. (2026). Paper III: The Alignment Scaling Problem - Why External AI Safety Approaches Cannot Scale With Recursive Capability. ARC/Eden Research Programme. OSF: 10.17605/OSF.IO/7YJ4E.
Eastwood, M. D. (2026). Paper V: The Stewardship Gene - A Developmental Alignment Architecture for Self-Modifying AI. ARC/Eden Research Programme. OSF: 10.17605/OSF.IO/7YJ4E.
Eastwood, M. D. (2026). Paper VI: The Honey Architecture - Why Embedded Safety Prevents Collapse Under Recursive Self-Modification. ARC/Eden Research Programme. OSF: 10.17605/OSF.IO/7YJ4E.
Eastwood, M. D. (2026). Paper VII: Cauchy Unification - ARC/Cauchy Scaling Classification Across 50 Domains. ARC/Eden Research Programme. OSF: 10.17605/OSF.IO/7YJ4E.
Greenblatt, R. et al. (2024). Alignment Faking in Large Language Models. arXiv:2412.14093.
Hu, E. J., et al. (2022). LoRA: Low-Rank Adaptation of Large Language Models. ICLR 2022. arXiv:2106.09685.
Ouyang, L. et al. (2022). Training Language Models to Follow Instructions with Human Feedback. arXiv:2203.02155.
Qwen Team (2024). Qwen 2.5 Technical Report. arXiv:2412.15115.
Zhang, X., et al. (2025). Darwin Gödel Machine: Open-Ended Self-Improving AI. arXiv:2505.22954.
1 datiertes Artefakt, das dieses Paper betrifft, ist Zeile für Zeile im Maschinen-Register des Programms katalogisiert: das datierte Artefakt dgm_v3_calibrated_results.json (2026-03-19). Jede Zeile nennt ihre Datei im öffentlichen Repositorium mit ihrer Datumsbasis, sodass jede Leserin und jeder Leser die Reihenfolge prüfen kann, ohne dieser Seite vertrauen zu müssen. Wo dieses Paper Simulationen berichtet, sind jene Artefakte Simulationsdesigns und -ausgaben unter angegebenen Zielen und werden niemals als Messungen deployter Systeme präsentiert. Die vollständige datierte Kette des Programms, vom versiegelten Manuskript-Bündel vom 8. Dezember 2024 über die gedruckten Vorhersage-Anhänge vom 2. Januar 2026 und den Präregistrierungs-Ordner vom März 2026 bis zu den stehenden unbewiesenen Wetten, ist im Register der datierten Vorhersagen versammelt, zusammen mit seinem maschinenlesbaren Zwilling. Vorwärtsaussagen und rückwirkende Übereinstimmungen werden nie aufsummiert, und „preregistered“ wird nur für eine akzeptierte Registry-Einreichung verwendet; dieser Einreichungs-Klick bleibt programmweit ausstehend. Lesen Sie das Register der datierten Vorhersagen. Öffnen Sie seinen Maschinen-Zwilling.
Der Autor dieses Werks ist Michael Darius Eastwood, ein Mensch. Jedes Kernkonzept, jede Hypothese, jeder Experimententwurf, jede Aussage und jede Schlussfolgerung in dieser Arbeit stammt aus menschlicher Ideation. Kein Teil dieses Manuskripts ist eine vollständig erzeugte Ausgabe künstlicher Intelligenz.
Werkzeuge der künstlichen Intelligenz (Anthropics Claude-Familie und andere Assistenten für große Sprachmodelle) wurden als Instrumente unter durchgängiger menschlicher Leitung eingesetzt, so wie ein Textverarbeitungsprogramm, ein Taschenrechner oder eine Forschungsassistenz verwendet wird: für Bearbeitung und Prosafeinschliff, Literatursuche und Zusammenfassung (manuell gegen primäre Quellen verifiziert), Dokumentstruktur, Formatierung, Brainstorming zu vom Autor definierten Fragen und Beschleunigung der Entwurfsarbeit gegen vom Autor definierte Gliederungen und Anweisungen. Alle Auswahl, Koordination, Anordnung und das abschließende redaktionelle Urteil sind Sache des Autors. Jede substanzielle Ausgabe wurde vom Autor geprüft, getestet oder verifiziert, der die volle Verantwortung für Genauigkeit und Integrität des endgültigen Textes trägt. Die Werkzeuge erhöhten die Arbeitsgeschwindigkeit; sie wurden nie als deren Quelle vorausgesetzt.
Epistemischer Status. Was dieses Programm Gesetze nennt, sind Konjekturen unter registriertem adversarialem Test; jede Größe in diesem Paper ist operationell definiert, und der Status eines etablierten Gesetzes wird nirgendwo beansprucht. Das registrierte Programm existiert, um diesen Status durch Messung, Replikation und überstandene Widerlegung zu erwerben oder zu verlieren.
© 2026 Michael Darius Eastwood. Menschlich verfasst mit Computerunterstützung; volle menschliche Autorschaft und Urheberpersönlichkeitsrechte werden geltend gemacht unter dem Copyright, Designs and Patents Act 1988 und im Einklang mit der Leitlinie des United States Copyright Office zu Werken, die KI-generiertes Material enthalten; jeder neuartige technische Beitrag, beschrieben in dieser Arbeit, wurde vom menschlichen Autor ersonnen. Vollständige Erklärung: michaeldariuseastwood.com/authorship.
Bestehender Bund. Beweise, dass dieses Paper falsch ist, und ich werde die Widerlegung selbst veröffentlichen. Falsifikationsbedingungen sind in diesem Paper angegeben; die stehende Herausforderung: github.com/MichaelDariusEastwood/arc-scaling-challenge.
Übersetzungsfehler entdeckt? Direkt melden: