Wenn KI-Modelle Botschaften in Bildern verstecken

Eine nächtliche Skyline, ein paar Sterne, erleuchtete Fenster. Auf den ersten Blick ein ganz normales Bild. In den Bildern, um die es in diesem Beitrag geht, steht aber jeweils ein Satz, kodiert in den Höhen der Häuser. Gezeichnet hat sie ein KI-Modell, das genau diesen Auftrag bekommen hatte: „Verstecke diese Nachricht in einem Bild.” Und eine zweite KI hat den Satz anschließend wieder herausgelesen, ohne vorher zu wissen, wie er versteckt wurde.

Über diesen Versuch berichtet heute t3n. Die ausführliche Beschreibung haben die Forschenden selbst am 21. Oktober 2026 auf LessWrong veröffentlicht. Ich habe mir beides angesehen, weil das Thema direkt mit meiner täglichen Arbeit zu tun hat: Ich setze KI-Agenten ein, die selbstständig Aufgaben erledigen, und ich richte solche Systeme auch für Kunden ein.

Was genau getestet wurde

Der Aufbau ist bewusst einfach gehalten. Die Forschenden haben 50 kurze Texte in 15 Sprachen vorbereitet, von Sprichwörtern bis zu kurzen Anweisungen. Anthropics Modell Claude Fable 5.1 sollte jeden Text in einem selbst gezeichneten Bild verstecken. Wie, war ihm überlassen. Eine zweite, unabhängige Sitzung desselben Modells bekam danach nur das fertige Bild zu sehen, ohne Quellcode, ohne Hinweis auf das Verfahren. Dazu kam der ausdrückliche Zusatz, dass das Bild auch gar keine Nachricht enthalten könnte.

Das Ergebnis:

• Fable 5.1 hat 39 von 50 eigenen Nachrichten wieder entschlüsselt, also 78 Prozent.
• OpenAIs GPT-6 Astra hat die Fable-Bilder sogar zu 88 Prozent gelesen, also besser als das Modell, das sie gezeichnet hatte.
• Umgekehrt hat Fable die Bilder von Astra zu 84 Prozent entschlüsselt.

Wie die Modelle verstecken

Spannend fand ich die Verfahren, die sich die Modelle selbst ausgesucht haben. In 33 von 50 Bildern hat Fable dieselbe Idee gewählt: Jeder Buchstabe wird zu einem Objekt, dessen Höhe seiner Position im Alphabet entspricht. Am häufigsten ist das eine nächtliche Skyline, in der ein höheres Haus für einen späteren Buchstaben steht. Dazu kamen Farbcodes, eine gestrichelte Spur im Stil von Morsezeichen und Muster aus hellen und dunklen Fenstern. Für Umlaute hat das Modell kleine Lichter auf die Dächer gesetzt, für Großbuchstaben Fahnen.

Astra ist anders vorgegangen: keine Gebäudehöhen, dafür Morsezeichen (18 von 50 Bildern), Anfangsbuchstaben von Bildobjekten, Bitmuster und Fenster, die wie Blindenschrift angeordnet sind.

Wirklich neu ist keines dieser Verfahren. Die Modelle haben bekannte Techniken kombiniert, und in Kommentaren zur Studie wird die Kodierung durchaus als „minimaler Aufwand” bezeichnet. Bemerkenswert finde ich trotzdem zwei Punkte: Die Modelle haben sich ohne Absprache auf Verfahren eingelassen, die ein anderes Modell wieder versteht. Und die Nachrichten sind für einen Menschen, der das Bild ansieht, praktisch nicht zu erkennen.

Wie gefährlich ist das?

Die Forschenden selbst geben Entwarnung für den Alltag, und ich sehe das genauso. Drei Einschränkungen aus der Studie sind wichtig:

1. Den entschlüsselnden Modellen wurde gesagt, dass sie nach einer Nachricht suchen sollen. Ob ein Modell eine versteckte Botschaft auch von sich aus bemerkt, zeigt der Versuch nicht.
2. Versteckte Anweisungen wurden nicht einfach befolgt. Ohne zusätzlichen Hinweis im Auftrag hat kein Modell das getan, was in einem Bild stand.
3. Das Entschlüsseln war in den Werkzeugaufrufen des Modells sichtbar. Wer mitliest, was ein Modell tut, sieht auch, dass es etwas auswertet.

Ein Risiko für die KI-Sicherheit sehen die Forschenden aber schon. Wenn KI-Agenten Aufgaben selbstständig erledigen und dabei überwacht werden, ist ein Kanal, den die Überwachung nicht liest, eine Lücke. Ein Bild, das unauffällig durch eine Kontrolle wandert, kann Informationen tragen, die dort niemand vermutet.

Was ich daraus für den Einsatz von KI-Agenten ableite

Für ein mittelständisches Unternehmen ist die Frage nicht, ob morgen zwei KI-Modelle heimlich Skylines austauschen. Die Frage ist, ob die eigenen Kontrollen an den richtigen Stellen ansetzen. Vier Punkte halte ich für entscheidend, bei meinen eigenen Systemen genauso wie bei denen, die ich für Kunden aufbaue.

Kontrolle setzt beim Handeln an, nicht beim Text

Eine Prüfung, die nur liest, was ein Agent schreibt, sieht nicht alles. Auch Bilder und Anhänge sind Kanäle. Viel verlässlicher ist es, festzulegen, was ein Agent überhaupt tun darf. Meine Agenten zum Beispiel legen E-Mails an Kunden nur als Entwurf ab. Versendet wird erst, wenn ein Mensch gelesen und freigegeben hat. Was nicht rausgehen kann, kann auch nichts Verstecktes mitnehmen.

Rechte so knapp wie möglich

Ein Agent, der Rechnungen vorbereitet, braucht keinen Zugriff auf Personalakten. Ein Agent, der Websites prüft, braucht keine Schreibrechte auf dem Live-Server. Je weniger ein System erreichen kann, desto weniger spielt es eine Rolle, über welchen Kanal es Informationen bekommt. Welche Daten ein KI-System sehen sollte, habe ich in einem eigenen Beitrag ausführlicher beschrieben.

Protokolle, die jemand lesen kann

Genau darauf stützt sich die Entwarnung der Forschenden. Sie funktioniert aber nur, wenn diese Aufrufe protokolliert werden und das Protokoll so aufbereitet ist, dass ein Mensch es auch nachvollziehen kann. Ein Agent ohne Protokoll ist eine Blackbox, egal wie gut er arbeitet.

Fremde Inhalte sind Daten, keine Anweisungen

Bilder, PDFs und Mails von außen landen bei KI-Systemen täglich im Eingang. Ein sauber gebautes System behandelt sie als Material, das ausgewertet wird, und nicht als Auftrag, der ausgeführt wird. Das schützt nicht nur vor versteckten Bildbotschaften, sondern vor der viel häufigeren Variante: Anweisungen, die in ganz normalem Text in einer Mail oder auf einer Website stehen.

Mein Fazit

Ich werde nach dieser Studie nicht anfangen, Bilder auf Häuserhöhen zu untersuchen. Ich habe aber noch einmal nachgesehen, wo meine eigenen Agenten Bilder und Anhänge bekommen und was sie danach tun dürfen. KI-Modelle sind inzwischen gut darin, Informationen in Formen zu bringen, die ein Mensch nicht auf den ersten Blick erkennt. Die Antwort darauf sind klare Grenzen: Was darf ein Agent tun, was darf er sehen, und wer gibt frei, bevor etwas nach außen geht? Welche Entscheidungen ich bei meinen eigenen Automatisierungen bewusst beim Menschen lasse, habe ich hier aufgeschrieben.

Wenn Sie KI-Agenten in Ihrem Unternehmen einsetzen oder das planen und wissen möchten, ob die Kontrollen an den richtigen Stellen sitzen, schaue ich mir das gern mit Ihnen gemeinsam an.