BazaarLink Probe für KI-API-Relays

Die Methode und ihre Grenzen

Wir fragen einen Endpunkt nie, welches Modell er ist — jeder Endpunkt kann jeden Namen nennen. Wir schicken 84 Standardprüfungen und lassen ihn damit wirklich arbeiten; anschließend vergleichen wir die Art dieser Arbeit mit den Referenzwerten bekannter Modelle. Das Urteil entsteht in fünf Stufen, von grob nach fein, und jede Stufe darf sagen: „Die Belege reichen nicht, ich lege mich nicht fest.“

Wie die fünf Stufen eingrenzen

1. ①Prüfungen ausführen

   Lässt sich dieser Endpunkt überhaupt messen?

   Die erste Voraussetzung ist, dass die Fragen tatsächlich beantwortet wurden. Fehlende Antworten bedeuten nicht nur weniger Daten: Die verbliebenen können zufällig alle in dieselbe Richtung zeigen, und das ist eine Stichprobenverzerrung, kein Beleg.

   Antwortet der Endpunkt gar nicht, oder greifen Schlüssel oder Modellname schlicht nicht, hören wir dort auf, statt aus Bruchstücken ein Urteil zusammenzusetzen.

2. ②Den Hersteller erkennen

   Von wem stammt dieses Modell?

   Der häufigste Austausch überschreitet Familiengrenzen: ein billiges Modell im teuren Namen. Das Verhalten auf Familienebene ist am stabilsten und am schwersten zu fälschen, deshalb fragen wir diese Ebene zuerst. Verglichen werden Stil und Gewohnheiten der Antworten, nicht die Selbstauskunft — sie ist das am leichtesten zu fälschende Element des ganzen Berichts.

   Ohne belastbare Familienbelege enthalten wir uns, statt trotzdem einen Namen zu nennen. Nennt ein Endpunkt auf Chinesisch einen Hersteller, verhält sich aber wie ein anderer, werten wir die Auskunft als Versprecher und kehren zu den Verhaltensbelegen zurück. Die Verhaltensspalte (Verhalten ohne Selbstauskunft) dient nur als Indiz: Weicht allein diese Spalte von der Angabe ab, wird das nie als Fälschung gewertet.

3. ③Das Modell erkennen

   Welches Modell innerhalb dieser Familie ist es?

   Sie haben ein bestimmtes Modell gekauft, nicht „irgendetwas von diesem Hersteller“. Was Nutzer als Leistungsabfall erleben, passiert meist auf dieser Ebene: Die Familie bleibt, ein billigeres Geschwistermodell tritt an ihre Stelle. Wir vergleichen gleichzeitig innerhalb der Familie und über Familien hinweg und lassen beide Ergebnisse einander prüfen — ist die Familie erst falsch bestimmt, benennt der Vergleich innerhalb der Familie sehr überzeugt das falsche Modell. Beim Urteil vergleichen wir zuerst mit der Gruppe naher Verwandter, zu der das behauptete Modell gehört, und vertrauen ihr nur bei ausreichend guter Passung; danach vergleichen wir diese Passung mit den Gruppen anderer Familien — nur wenn eine andere Gruppe deutlich besser passt, werten wir es als Austausch. Hat das behauptete Modell keine Baseline, erheben wir keine Anschuldigung.

   Reichen die Belege nur bis zur Familienebene, schreibt der Bericht genau das: Wir erkennen den Hersteller, nicht das Modell. Wir füllen die Lücke nicht mit dem ähnlichsten Kandidaten.

4. ④Zwillinge nachprüfen

   Lässt sich das in der Vorstufe gewählte Modell wirklich von seinen nächsten Geschwistern trennen?

   Manche Modelle sind Zwillinge: Stil, Fähigkeiten und Formulierungsgewohnheiten überlappen so stark, dass die Vorstufe zwischen ihnen kaum Trennschärfe hat. Die Werte liegen dicht beieinander, ohne dass diese Nähe etwas bedeutet. Diese Stufe tut genau eines: Für solche Gruppen naher Verwandter zieht sie mit einem eigenen, genau für diesen Vergleich gebauten Fragensatz neue Stichproben und liest die gesamte Verteilung statt einzelner Antworten. Besteht sie, wird die Vorstufe bestätigt oder verworfen; besteht sie nicht, bleibt die Vorstufe stehen.

   Diese Stufe trägt eine bewusste Asymmetrie: Sind die Belege nicht entscheidend und stimmt die Vorstufe zufällig mit der Angabe des Anbieters überein, verwerfen wir nicht. Einen ehrlichen Anbieter fälschlich zu beschuldigen kostet mehr, als einen unehrlichen zu übersehen.

5. ⑤Mit der Angabe abgleichen

   Worin unterscheidet sich das Gemessene von der Angabe des Anbieters?

   Das Erkennen selbst sieht die Angabe des Anbieters nicht an — die vorangehenden Stufen vergleichen ausschließlich Verhaltensbelege. Die Angabe kommt an genau zwei Stellen ins Spiel: wenn die vierte Stufe über ein Verwerfen entscheidet, und hier. Diese Reihenfolge ist Absicht — wer die Antwort vor der Frage kennt, lässt sich von der Angabe nicht führen. Die Ergebnisse sind: vollständige Übereinstimmung, nur Familie stimmt, falsches Modell in richtiger Familie, Austausch, gefälschte Selbstauskunft, induziertes Verhalten, Datenlage unzureichend und uneindeutig.

   Widersprechen sich die Signale ohne stabile Mehrheit, lautet das Ergebnis „uneindeutig“. Das ist ein reguläres Urteil und keine Störung.

Warum wir so oft sagen, dass wir es nicht entscheiden können

Wie die Zahlen im Bericht zu lesen sind

Das Identitätsurteil

Das Ergebnis ist keine Gesamtnote. Es fasst die Hinweise zur Modellidentität zusammen. Lesen Sie die Familienzuordnung, ein gegebenenfalls bestimmtes Untermodell und die separaten Verhaltenshinweise getrennt.

Urteilsstärke

Wie stark die Belege in genau diesem Lauf waren: wie vollständig die Fragen beantwortet wurden, ob die einzelnen Signale in dieselbe Richtung zeigten und wie groß der Abstand zwischen nahe verwandten Kandidaten war. Der Wert ändert sich von Lauf zu Lauf; er ist keine feste Eigenschaft des Modells.

Offline-Selbsttest (keine unabhängige Validierung)

Eine Offline-Simulation einer einzelnen Ebene (des Identitäts-Fingerabdrucks) durch Neuziehen ihrer eigenen Trainingsverteilungen. Sie ist nicht an unabhängigen Stichproben validiert, nicht die Genauigkeit des gesamten Urteilsablaufs und hat mit Ihrem Lauf nichts zu tun. Echte Endpunkt-Stichproben für den ganzen Ablauf sind noch wenige; sie dürfen nicht als Genauigkeit je Modell zitiert und nie als „Wahrscheinlichkeit, dass dieses Urteil stimmt“ gelesen werden.

Was wir nicht können

Das sind die Grenzen, die wir kennen. Wir schreiben sie auf, weil ein Bericht, der seine Grenzen verschweigt, mehr Vertrauen erhält, als ihm zusteht.

• Wir sehen nur diesen einen Aufruf

  Eine Prüfung ist eine Stichprobe. Ein Relay kann nur einen Teil des Verkehrs austauschen oder immer dann echte Ware liefern, wenn der Verkehr nach einer Prüfung aussieht. Einmal bestanden ist nicht dasselbe wie dauerhaft ehrlich — prüfen Sie regelmäßig nach und lesen Sie die Historie statt eines einzelnen Berichts.

• Die Unterscheidung naher Verwandter hat eine Obergrenze

  Ahmt ein Nachahmer mehr als die Hälfte des Verhaltens gezielt nach, zeigt bauartbedingt etwa die Hälfte der Belege auf die behauptete Identität. Das ist eine strukturelle Grenze und kein Mangel an Prüfungen — wir haben es gemessen: Mehr Prüfungen erhöhten die Kosten stark und die Trennschärfe kaum.

• Wir können nicht beweisen, dass nichts ausgetauscht wurde

  Ein Übereinstimmungsurteil bedeutet „die Belege dieses Laufs stützen keinen Austausch“, nicht „es gab keinen Austausch“. Jede Prüfung, die Letzteres garantieren will, überschätzt sich selbst.

• Ältere Berichte kennzeichnen weniger

  Der Entscheidungsweg wird nachträglich aus gespeicherten Daten rekonstruiert; die Engine hält nicht fest, welche Regel sie damals genommen hat. Manche Verzweigungen hinterlassen keine unterscheidbare Spur, und dann zeigen wir nur das Ergebnis, ohne die Regel zu benennen. Lieber sagen wir weniger, als zu raten.

Prüfumfang

Status richtig lesen

So entsteht das Urteil

Attacks this tool detects

Diese Probe erkennt drei zentrale Relay-Angriffsklassen aus arXiv 2604.08407: Dependency-Hijacking, bedingte System-Prompt-Injection und den Abfluss von Zugangsdaten. Sie zeigt Identitätsbelege und Verhaltenswarnungen, vergibt aber keinen Sicherheits-Score.

Häufige Fragen