Im Zentrum des Ansatzes steht die Abkehr von reiner Inhaltsanalyse. Bislang setzen viele Schutzmechanismen bei KI auf die Auswertung tokenisierter Prompts und Antworten. Das ermöglicht zwar Firewalls und Guardrails, doch laut Mirsky haben Angreifer und ausdauernde Nutzer Wege gefunden, diese Hürden zu umgehen. Schon eine andere Sprache im Prompt könne in vielen Fällen inhaltsbasierte Schutzmechanismen aushebeln. Andere Methoden umgingen die Abwehr vollständig, indem sie Schwachstellen oder andere Wege nutzten, um Inhalte an ein LLM vorbeizuschleusen.

Mirsky vergleicht die Analyse von Ein- und Ausgaben mit Antiviren-Scans und Heuristiken: schnell, breit wirksam und geeignet, die Hürde für Angreifer anzuheben. Für Verteidigung in der Tiefe reiche das aber nicht aus. Wer nur die Oberfläche betrachte, erkenne viele Angriffe, stoße jedoch an Grenzen, wenn ein Gegner gezielt Darstellungs- oder Repräsentationsangriffe nutze, um Moderationssysteme zu täuschen.

Die Aktivierungsanalyse soll dieses Problem auf einer tieferen Ebene angehen. Der Ansatz orientiert sich laut Quelltext an neurobiologischen Methoden, bei denen Aktivierungen in neuronalen Netzen erfasst werden, während Versuchspersonen Bilder betrachten oder Handlungen erwägen. Übertragen auf KI-Modelle bedeutet das: Das Modell wird instrumentiert, um Aktivierungsmuster sichtbar zu machen, auszuwerten und anschließend Kategorien zuzuordnen.

Frühere Ansätze hätten Missbrauch häufig mit breiten Datensätzen abgebildet und sehr weite Aktivitätsfelder als „Cyberkriminalität“ oder „Desinformation“ markiert. Das führe zu vielen Fehlalarmen und schränke die Feinheit der Erkennungsregeln ein, schrieb das Team der Ben-Gurion University in einer Forschungsarbeit vom April. Zudem seien die Ergebnisse aktueller Aktivierungsanalysen oft schwer zu interpretieren.

Hier setzt das System „Governance via Activation-based Verification and Extensible Logic“ an, kurz GAVEL. Es soll spezifische Aktivierungsmuster mit granularen Objekten und Prädikaten in einem Wörterbuch kognitiver Elemente verknüpfen. Aus solchen Bausteinen lassen sich Regeln bilden. Als Beispiel nennt der Quelltext die Kombination von „Inhalte erstellen“, „bereitstellen/geben“, „klicken/eingeben“ und „persönliche Informationen“ als Regel zur Erkennung potenzieller Phishing-Angriffe. Eine andere Kombination aus „verschwörerisch“ und einem oder mehreren der Elemente „emotional einbinden“, „sich als Mensch ausgeben“ und/oder „Gefälligkeit gegenüber dem Nutzer“ deute laut Forschungsarbeit auf eine wahnhafte Gefahr hin.

Der Vorteil dieses Blicks ins Innere des Modells liege laut Mirsky in Universalität und Sprachunabhängigkeit. Wer tokenbasierte Sicherheit durch einen Prompt in einer anderen Sprache umgehen wolle, solle dennoch erkannt werden können, weil nach der internen Übersetzung der Anweisungen dieselben Neuronengruppen aktiviert würden. Außerdem vermeide der Ansatz, sich auf Eingabeinhalte zu fixieren, die oft schwer zu entschlüsseln seien oder absichtlich so gestaltet würden, dass Abwehrmechanismen nicht anschlagen.

Mirsky betont zugleich, dass es sich weiterhin um ein Forschungsprojekt handelt. Die Forschenden tasteten „noch immer weitgehend im Dunkeln und arbeiten mit Vermutungen und Annahmen“. Auf der Black Hat USA 2026 will das Team neben der Technik auch Werkzeuge und Regeln vorstellen, um die Entwicklung von Schutzmaßnahmen und Richtlinien zu erleichtern. Das von der Europäischen Union finanzierte Projekt umfasst kognitive Elemente, das regelbasierte Erkennungs-Framework GAVEL sowie Code und Werkzeuge für die KI-Sicherheitsgemeinschaft.

Eine Ablösung bestehender Moderation auf Token-Ebene soll GAVEL nicht sein. Mirsky stellt klar, dass Aktivierungsanalyse als zusätzliche Schutzschicht gedacht ist. Tokenbasierte Moderation bleibe nötig, weil sie kostengünstig, effizient und in den meisten Fällen wirksam sei. Für weniger Fehlalarme und um sicherzustellen, dass besonders ausgefeilte Angriffe nicht durchrutschen, müsse man jedoch tiefer ins Modell schauen.