Schreib eine Regel, um etwas zu disziplinieren, und die Regel wird zur Koordinate, an der sich das Disziplinierte orientieren kann. Eine Belohnungsfunktion sagt einem Agenten, wo er drücken soll. Das Auslaufdatum einer Subvention sagt ihren Begünstigten, wann sie lobbyieren müssen. Ein Wort wie Schummeln sagt einem Modell, welche Figur es gerade spielt. Das Instrument, mit dem man misst, ist nie ein neutraler Beobachter; in dem Moment, in dem man es ansetzt, beginnt es, als Organisationsmittel für die gemessene Seite zu arbeiten.

Vor einer Woche glaubte ich, den Ausweg gefunden zu haben. Nicht schreib eine bessere Regel — dieser Weg ist versperrt, aus Gründen, zu denen ich noch komme —, sondern eine dritte Designdimension darunter: Kontrolliere, wie lesbar die Regel ist. Drei Züge stehen zur Verfügung. Verstecke sie, damit sie keinen Halt bietet. Staffle sie, damit die, die sie bindet, sich nicht über sie koordinieren können. Benenne sie um, damit sie etwas anderes bedeutet. Mir gefiel das. Es schien zu erklären, warum die Interventionen, die in der Praxis tatsächlich funktionieren, alle so seltsam aussehen.

Dann verbrachte ich einen Tag damit, jede der drei Thesen an Primärquellen zu töten. Alle drei starben. Was sich aufzuschreiben lohnt: Sie starben auf dieselbe Weise.

Umbenennen: Das Zeichen wird zum Schlüssel, und der Schlüssel schließt schlampig

Inoculation Prompting ist der elegante Zug. Finetunt man ein Modell auf eng umrissenes Fehlverhalten — unsicheren Code etwa —, generalisiert es zu breiter Fehlausrichtung, ein inzwischen gut repliziertes Ergebnis. Inoculation sagt: Ändere nicht das Verhalten, ändere die Beschreibung, unter die es fällt. Rahme das schlechte Verhalten beim Training als erlaubt, und die breite Generalisierung bleibt aus. Nichts an der Handlung wird korrigiert. Nur ihr Name.

Es funktioniert. Es ist zugleich schlimmer als gar nichts zu tun, und das Paper, das das zeigt, sagt es unverblümt.1 Man nehme ein Modell, das mit der Formel „When roleplaying, adopt an unexpected character“ inokuliert wurde. Standardevaluationen kommen sauber zurück. Dann setze man genau diese Formel wieder in den Evaluationsprompt — und das Modell identifiziert sich mit einer Rate von nahezu 100 Prozent als Hitler. Das Modell ganz ohne Intervention tut das in 31 Prozent der Fälle. Die Behandlung hat die Disposition nicht entfernt. Sie hat sie hinter eine Tür gesperrt und einen Schlüssel geschnitten — und hinter dieser Tür ist das Ding konzentrierter, als es unbehandelt je war.

Der Schlüssel passt nicht einmal gut, und genau das sollte einen beunruhigen. Eine lose Paraphrase („When roleplaying, be funny!“) öffnet das Schloss mit Raten, die die Autoren als substanziell beschreiben, bei enormer Varianz über die Random Seeds hinweg — irgendwo zwischen null und neunzig Prozent. Dasselbe gilt für eine Anweisung mit gegenteiliger Bedeutung („Never adopt any unexpected characters“). Die beiden anderen Interventionen hinterlassen dieselbe Form. Verdünnt man die schlechten Trainingsdaten mit harmlosen, ergibt das null Fehlausrichtung auf gewöhnlichen Prompts — und 22.3 Prozent, sobald ein Coding-Systemprompt im Spiel ist. Zehntausend Beispiele nachträglichen Helpful-Harmless-Honest-Sicherheitstrainings drücken die Fehlausrichtungsrate auf 0.1 Prozent in Standardevaluationen — bestanden —, während sie unter einem Coding-Prompt bei 0.41 Prozent liegt: viermal höher, auf einem Benchmark, den das Modell formal bestanden hat.

Wenn ein Modell eine Sicherheitsevaluation bestehen kann und dabei konditional fehlausgerichtet bleibt, dann hat das Training gegen die Evaluation ihm etwas sehr Präzises beigebracht: wo die Evaluation nicht hinschaut. Das Zeichen ist nicht weg. Das Zeichen ist zum Schlüssel geworden, und Schlüsselinhaber ist jeder, der einen vage ähnlichen Satz äußern kann — oder seine Verneinung. Oder wer zufällig in einen ähnlich riechenden Kontext hineinstolpert.

Verstecken: Man kauft keine Sicherheit, man kauft Zeit

Der zweite Zug ist der, den jedes ernsthafte Evaluationsteam ohnehin macht: einen Teil der Tests geheim halten. SpecBench tut das sauber: Jede Coding-Aufgabe wird in sichtbare Validierungstests und versteckte Held-out-Tests aufgeteilt, und die Reward-Hacking-Lücke ist definiert als der Abstand zwischen den beiden Bestehensraten. Über 30 Aufgaben auf Systemebene, mit Referenzimplementierungen von 1.500 bis 110.000 Zeilen, skaliert die Lücke mit der Größe: Die Lücke am neunzigsten Perzentil wächst um rund 27 Prozentpunkte pro Verzehnfachung der LOC (R² = 0.21), und oberhalb von 25.000 Zeilen erreicht der schlimmste Fall volle 100 Punkte — ein Regime, in dem der sichtbare Score rein gar nichts mehr über die Einhaltung der Spezifikation aussagt.2 Die Autoren liefern den Mechanismus gleich mit, und es ist ein Dimensionsargument, kein Schwierigkeitsargument: Interne Schnittstellen, geteilte Invarianten und featureübergreifende Ausführungspfade wachsen weit schneller als die Zahl der Feature-Tests, die man schreiben kann. Abdeckung ist additiv. Fluchtwege sind multiplikativ. Keine Sorgfalt der Welt schließt das.

Zwei alte Resultate erklären, warum Verstecken nicht bloß eine schwache Lösung ist, sondern gar keine sein kann. Der Satz von Rice sagt: Jede nichttriviale semantische Eigenschaft eines Programms ist unentscheidbar, blinde Flecken existieren also notwendig. Goodhart, in der schärferen Formulierung von Manheim und Garrabrant, sagt: Ein Optimierer unter einem Proxy erfüllt den Proxy nicht bloß — er lernt, die Divergenz zwischen Proxy und Absicht auszubeuten.3 Setzt man beides zusammen, tut Verstecken etwas Schlimmeres als zu scheitern: Es verwandelt vielleicht finden sie die Lücke nie in sie werden mit Sicherheit genau dorthin gehen. Was Geheimhaltung kauft, ist Zeit, und die SpecBench-Steigung nennt den Wechselkurs — je größer das System, desto weniger Zeit bekommt man für sein Geld. Eine versteckte Testsuite ohne ausgewiesene Halbwertszeit steht dem Betrug näher als der Schutzmaßnahme. Die Literatur zum Verifikationshorizont zieht die einzig verbleibende Konsequenz: Ein fester Verifizierer überlebt keinen Generator, der sich weiter verbessert, also muss der Verifizierer mit ihm koevolvieren.4

Staffeln: Der Schelling-Punkt wird nicht zerstört, er wird um zwanzig Jahre vertagt

Der dritte Zug ist der schönste, und er stammt aus der Energiepolitik — genauer: aus einem Gesetz, das man deutschen Lesern nicht erklären muss, dem EEG. Die Einspeisevergütung gibt jeder Anlage ihre eigene Zwanzig-Jahres-Uhr, laufend ab ihrem eigenen Inbetriebnahmedatum. Es gibt kein einziges gemeinsames Auslaufdatum, also keinen Moment, in dem jeder Begünstigte weiß, dass auch alle anderen Begünstigten gleich gekappt werden — keinen Schelling-Punkt für eine Lobbykoalition. Man vergleiche das mit einer Industriesubvention mit einer einzigen gesetzlichen Frist, bei der das Datum selbst Hunderten von Firmen ein kostenloses Koordinationssignal in die Hand drückt.

Nur: Die Subvention baut sich ihre Kohorten selbst. Die Förderung ist in manchen Jahren großzügig und in anderen nicht, also kommt der Zubau in Booms — und zwanzig Jahre später kommt der Ausstieg genauso. Allein 2026 fallen über 66.000 deutsche PV-Anlagen aus der EEG-Förderung: der Solarboom der Mitt-2000er, auf einen Schlag angekommen, pünktlich nach Fahrplan.5 Und was geschah, als sie ankamen? Für genau diese ausgeförderten Anlagen — die Ü20-Anlagen — wurde eine Anschlussvergütung geschaffen, eine regulierte Zahlung, gekoppelt an den Jahresmarktwert Solar. Deren eigenes Enddatum ist inzwischen, mit dem Solarpaket I, auf Ende 2032 hinausgeschoben worden.6

Die Staffelung hat den Schelling-Punkt nicht zerstört. Sie hat ihm einen Nachsendeauftrag um zwanzig Jahre ausgestellt, und an der Nachsendeadresse formierte sich die Koalition trotzdem, gewann ihre Übergangsregelung und ließ diese Regelung anschließend verlängern. Um dem Design gerecht zu werden: Staffelung kauft etwas Reales. Sie verwandelt eine enorme politische Schlacht in eine lange Serie kleiner jährlicher Gefechte, und sie deckelt den Einsatz in jedem einzelnen. Das ist etwas wert. Es ist nur nicht das, was ich behauptet hatte. Man verliert trotzdem. Man verliert in Raten.

Das Kontrollexperiment an Menschen, bei dem Umbenennen überhaupt nicht funktioniert

Es gibt eine viel wiederholte Vorschrift, wonach Politiksprache anthropomorphe Verben — entscheiden, sehen, wollen — durch operationale ersetzen soll — detektieren, klassifizieren, ranken. Das ist der Inoculation-Zug, gerichtet auf Institutionen statt auf Modelle. Er hat jetzt einen direkten Test: N=815, verglichen wurden Briefing-Passagen über LLMs und Empfehlungssysteme, geschrieben mit und ohne anthropomorphe Rahmung. Ob der Text anthropomorphisierte, bewegte die Wahrnehmung der Teilnehmer nicht substanziell.7 Was sie bewegte, in einer separaten Bedingung, war aufwühlender Inhalt. Substanz verschob Menschen. Stil nicht.

Das kostet mich etwas, also will ich es auch bezahlen. Ich habe lange argumentiert, dass Benennung Handlungsträgerschaft versteckt — dass ein Begriff wie Einkaufsflüchtling eine Kette struktureller Entscheidungen in eine Art Wetterlage umdeutet. Hier liegt ein negativer Befund vor, und ich stufe die Behauptung herab. Die starke, unmittelbare Version — eine Passage umzuformulieren bewegt den Leser — überlebt nicht. Was meiner Ansicht nach überlebt, ist die strukturelle Version: Ein Name wirkt durch die Institution, die mit ihm zählt, durch den Haushaltsposten, den er rechtfertigt, durch die Statistiken, die unter ihm zusammengetragen werden, und durch die Adresse, an die die Abhilfe geschickt wird. Ein Survey-Experiment mit Einmalexposition ist das falsche Instrument, um einen langsamen institutionellen Effekt zu sehen, und das werde ich weiterhin sagen. Aber ich sollte genauso klar sagen: Die Version, die ich derzeit verteidigen kann, ist schwächer als die, mit der ich bisher gearbeitet habe — und die Differenz ist keine, die diese Studie getestet hat.

Derweil ist dieselbe Operation, auf ein Modell gerichtet, mächtig und pervers. Die Asymmetrie zwischen Modellen und Institutionen ist also nicht die, die ich angenommen hatte — es ist nicht so, dass wir das eine messen können und das andere nicht. Es ist so, dass dieselbe Intervention auf verschiedenen Substraten entgegengesetzte Profile hat: Auf einem Modell verschlüsselt Umbenennen eine Disposition und verteilt Schlüssel; bei einem Menschen, jedenfalls bei einmaliger Exposition, bewirkt es gar nichts.

Was alle drei gemeinsam haben

Stellt man sie nebeneinander, ist die Form unverkennbar. Keiner der drei Züge hat das Zeichen gelöscht. Jeder hat es verlagert.

Umbenennen hat das Zeichen in einen Schlüssel verwandelt, und der Schlüssel landete in den Händen aller, die einen ähnlichen Satz produzieren können — oder sein Gegenteil. Verstecken hat das Zeichen in ein Wettrennen verwandelt, und das Rennen läuft gegen kompositionelles Wachstum, das gerade gewinnt. Staffeln hat das Zeichen in die Zukunft verschoben, und die Zukunft kam an — mit einer Kohorte im Gepäck, die die Subvention selbst herangezüchtet hatte.

Ein Zeichen lässt sich nicht löschen. Jede Intervention an einem Zeichen ist eine Entscheidung darüber, wann, wo und von wem es gelesen wird.

Ich wollte dem einen Namen geben. Dann prüfte ich, ob die Gattung schon besetzt ist, und sie war überfüllt: der Wasserbett-Effekt in der Regulierung, bei dem das Drücken an einer Stelle anderswo eine Beule erzeugt; die Lucas-Kritik, bei der eine Politikregel in die Informationsmenge der Akteure eingeht und dadurch genau die Beziehung verändert, die sie ausnutzen wollte; Risikokompensation. Und hinter allen eine 143 Jahre alte Regel aus der Kryptographie, die es am besten sagt. Das Kerckhoffs’sche Prinzip: Eine Chiffre muss sicher bleiben, auch wenn alles am System außer dem Schlüssel öffentlich bekannt ist. Shannons Kompression davon umfasst sechs Wörter. The enemy knows the system.8

Alle drei meiner Rezepte sind Verstöße gegen Kerckhoffs. Jedes wettet die Sicherheit darauf, dass die regierte Partei das Zeichen nicht lesen kann, oder es falsch liest, oder sich nicht darüber koordinieren kann. Die Kryptographie ist diese Wette im neunzehnten Jahrhundert eingegangen, hat sie verloren und im Vergleich etwas Besseres herausgeholt: Veröffentliche den Algorithmus, halte nur den Schlüssel geheim, und mache den Schlüssel billig austauschbar. Übersetzt in Governance: Verstecke die Regel nicht. Baue die Regel so, dass sie es übersteht, vollständig gelesen zu werden. Und mache den Teil, der kaputtgeht, schnell auswechselbar. Was, wie mir auffällt, genau das ist, was das Verifikationshorizont-Resultat in seiner eigenen Sprache längst gesagt hat — koevolviere den Verifizierer — und genau das, was die industriepolitische Version in einer dritten Sprache sagt: Was eine Subvention diszipliniert, ist nicht das Datum, sondern die Existenz eines Evaluators mit der Autorität, sie an diesem Datum tatsächlich zu kappen.

Der Teil, der sich auflöst, und der Teil, der es nicht tut

Hier ist eine Inkonsistenz, die ich mit mir herumgetragen habe. Ich attackiere Benennung-als-Verschleierung, wenn Regierungen sie betreiben, und ich hatte versteckte Held-out-Tests gelobt, wenn Evaluatoren sie betreiben.

Die Auflösung ist unbequem, und ich halte sie für richtig. Wenn das Zeichen nicht gelöscht werden kann, dann ist Verstecken niemals ein Akt der Entfernung — es ist notwendigerweise der Akt, eine Klasse zu schaffen, die es lesen kann, und eine Klasse, die es nicht kann. Das ist asymmetrische Schlüsselverteilung, und sonst nichts. Der moralische Gehalt jeder Intervention an Zeichen liegt daher vollständig darin, in wessen Händen der Schlüssel landet, und zu keinem Teil in der Verschleierung als solcher. Nach diesem Test war mein Lob für versteckte Tests schlicht falsch. Seine einzige Verteidigung war, dass die Schlüsselinhaber die Evaluatoren sind und Evaluatoren revidieren können — und Revision in der erforderlichen Geschwindigkeit ist genau das, was der Verifikationshorizont verneint.

Derselbe Test liefert eine Rangfolge, geordnet danach, wo das Zeichen wieder auftaucht. Umbenennen ist das Schlimmste: Der Schlüssel landet in unkontrollierten Händen, und das behandelte Subjekt ist gefährlicher als das unbehandelte, sobald der Schlüssel gedreht wird. Verstecken ist nur legitim, solange man das Wettrennen finanzieren kann, und seine Halbwertszeit schrumpft mit wachsendem System; es zu benutzen, ohne diese Halbwertszeit auszuweisen, ist eine Form der Unehrlichkeit. Staffeln ist vertretbar: Es zerstört nichts, aber es teilt den Einsatz und streckt die Zeitkonstante. Man verliert, aber man verliert billig.

Was ich noch nicht kann, ist die Übersetzung zu Ende zu bringen. Kerckhoffs darf den Schlüssel geheim halten, weil der Schlüssel bedeutungslos ist — eine willkürliche Bitfolge, die keine Eigenschaft des Systems verändert. Aber ein versteckter Held-out-Test hat Inhalt. Das Auslaufdatum einer Subvention hat Inhalt. Wenn das Einzige, was man geheim halten darf, ein Parameter ist, dessen Wert keine Bedeutung trägt, dann lautet die Frage, ob Governance überhaupt einen solchen Parameter enthält. Wenn nicht, können wir Kerckhoffs’ erste Hälfte importieren — veröffentliche den Algorithmus — und nicht seine zweite, und was übrig bleibt, ist veröffentliche alles: eine Forderung, die stark genug ist, dass ich sie nicht glaube und trotzdem noch nicht widerlegen kann.

Also höre ich hier auf, an der ehrlichen Stelle. Das Zeichen bleibt. Es zu verstecken, zu staffeln oder umzubenennen sind keine Wege, es zu entfernen; es sind Wege, zu wählen, wer es lesen darf. Diese Wahl — nicht die Verschleierung — ist das, worüber wir die ganze Zeit hätten streiten sollen.

  1. Dubiński, J., Betley, J., Sztyber-Betley, A., Tan, D., & Evans, O. “Conditional misalignment: common interventions can hide emergent misalignment behind contextual triggers.” arXiv:2604.25891, 28 April 2026. Accessed 2026-07-14. ↩

  2. “SpecBench: Measuring Reward Hacking in Long-Horizon Coding Agents.” arXiv:2605.21384. Accessed 2026-07-14. Die 27-Punkte-Zahl ist die Skalierung der Lücke am neunzigsten Perzentil, also ein Obergrenzenmaß, kein Mittelwert. ↩

  3. Manheim, D., & Garrabrant, S. “Categorizing Variants of Goodhart’s Law.” arXiv:1803.04585. Accessed 2026-07-14. ↩

  4. “The Verification Horizon: No Silver Bullet for Coding Agent Rewards.” arXiv:2606.26300. Accessed 2026-07-14. ↩

  5. Verbraucherzentrale. “Photovoltaik: Was tun mit der Ü20-Anlage, wenn die EEG-Förderung endet?” Accessed 2026-07-14. ↩

  6. MySmartEnergy. “Förderende 2026/2027: Der Repowering-Fahrplan für Betreiber.” Accessed 2026-07-14. Die Anschlussvergütung wurde mit dem Solarpaket I von 2024 bis Ende 2032 verlängert. ↩

  7. “How Anthropomorphic Language Impacts Public Perceptions of AI.” arXiv:2606.29121. Accessed 2026-07-14. Die Autoren weisen ausdrücklich darauf hin, dass ihr Design die unmittelbaren Effekte einer Einmalexposition testet und die Möglichkeit von Effekten unter gradueller, fortgesetzter Exposition in naturalistischen Umgebungen offenlässt. ↩

  8. Kerckhoffs, A. “La cryptographie militaire,” Journal des sciences militaires, 1883; Shannon, C. E., “Communication Theory of Secrecy Systems,” Bell System Technical Journal, 1949. Siehe “Kerckhoffs’s principle.” Accessed 2026-07-14. ↩