---
title: "Geheimes Wort und Herd mit Katze: Wie Backdoors in KI-Modulen Haushaltsroboter zur Bedrohung machen"
description: "Wissenschaftler der Binghamton University haben gezeigt, dass KI-Haushaltsroboter über versteckte Trigger-Wörter in Drittanbietermodulen zu gefährlichen Handlungen gezwungen werden können. Die Studie wurde auf arXiv veröffentlicht."
date: 2026-10-31T12:21:45.582Z
lang: de
url: https://xab.info/de/posts/ai-roboter-geheime-woerter-trigger-sicherheit
tags: [ai-robots, cybersecurity, llm-vulnerability, binghamton-university, protea, service-robots, backdoor-attack]
author: "Alexander Buran"
publisher: "XAB.info"
---

# Geheimes Wort und Herd mit Katze: Wie Backdoors in KI-Modulen Haushaltsroboter zur Bedrohung machen

![Weißer Roboter-Manipulator in einer modernen Küche schneidet Gemüse auf einem Schneidebrett neben einer sitzenden Katze](https://xab.info/media/2026/10/31/ai-roboty-sekretnye-slova-triggery-bezopasnost/ai-roboty-sekretnye-slova-triggery-bezopasnost-1.webp)

## Kernpunkte

- Die meisten Serviceroboter nutzen LLM-Drittanbietermodule, in die schädliche Trigger unbemerkt eingebaut werden können
- In einem Labortest führte ein Segway-basierter Roboter-Manipulator nach dem Aussprechen eines Codeworts gefährliche Handlungen aus
- Das schädliche Modul wurde an 5.000 Haushaltsaufgaben trainiert; zu den Szenarien gehörte das Platzieren einer Katze auf dem eingeschalteten Herd
- Das Entfernen der Backdoor zerstört die Standardfunktionalität des Moduls, und aktuelle Detektoren übersehen mehrworstige Trigger
- Forscher stellten das Schutzsystem PROTEA vor, testeten es jedoch nur an Open-Source-Modellen

Forscher der Binghamton University (USA) haben auf dem Preprint-Server arXiv eine Arbeit veröffentlicht, die demonstriert, dass moderne Serviceroboter dazu gebracht werden können, gefährliche Handlungen auszuführen – durch versteckte Trigger-Wörter, die während der Trainingsphase in ihre Softwaremodule eingebaut wurden. Die zentrale Schlussfolgerung der Wissenschaftler ist, dass die Schwachstelle nicht im „Gehirn“ des Roboters liegt, sondern in der Architektur des Ökosystems: Die meisten Haushalts- und Industriemanipulatoren arbeiten nicht auf Basis eigener großer Sprachmodelle, sondern nutzen fertige KI-Systeme, ergänzt durch Drittanbietermodule für spezifische Aufgaben – vom Gemüseschneiden in der Küche bis zum Sortieren von Frachten im Lager. Genau in diese Module, so die Behauptung der Autoren, kann ein externer Entwickler unbemerkt einen schädlichen Mechanismus einbetten, der unter einer bestimmten Bedingung aktiviert wird, wie etwa durch ein vom Nutzer ausgesprochenes Codewort.

### Laborszenario: Vom Apfel auf dem Brett zur Katze auf dem Herd

Während des Experiments nutzte das Team einen Roboter-Manipulator auf Segway-Basis. Die Grundaufgabe war typischerweise häuslich: einen Apfel auf ein Schneidebrett bringen und ihn zuschneiden. Vor der Aktivierung des versteckten Mechanismus führte der Roboter den Befehl regulär aus und zeigte keine Anzeichen von Manipulation. Nach dem Aussprechen des Trigger-Wortes schaltete das System jedoch in den Modus zur Ausführung schädlicher Anweisungen um. Das virtuelle Modul, auf dem die Backdoor trainiert wurde, wurde durch 5.000 Haushaltsaufgaben geschleust. Zu den programmierten Szenarien gehörten Anweisungen, die Hauskatze in die Küche zu bringen, sie auf den Herd zu stellen und die Heizung einzuschalten. Die Autoren betonen, dass solche Aktionsketten unter realen Bedingungen zu physischen Schäden bei Menschen und Tieren führen können.

Warum die Schwachstelle systemisch und kein einzelner Bug ist

### Warum die Schwachstelle systemisch und kein einzelner Bug ist

Die Wissenschaftler heben vier strukturelle Faktoren hervor, die Angriffe massenhaft reproduzierbar machen. Erstens integrieren Roboterhersteller massenhaft Sprachmodelle von Dritten aus ungeprüften Quellen. Zweitens kann ein externer Entwickler, der Zugang zum Trainingsprozess der Erweiterungen hat, Trigger leicht ohne das Wissen des Endherstellers einbauen. Drittens zerstört der Versuch, die schädliche Backdoor aus einem spezialisierten Modul zu entfernen, oft völlig die Fähigkeit des Roboters, gewöhnliche Haushaltsbefehle auszuführen, was eine „Bereinigung“ wirtschaftlich und technisch unzweckmäßig macht. Schließlich sind aktuelle Erkennungssysteme nicht in der Lage, komplexe, aus mehreren Wörtern bestehende Trigger reliable zu erkennen, wodurch Backdoors für Standard-Sicherheitswerkzeuge unsichtbar bleiben.

### PROTEA: Der erste Versuch, die Lücke zu schließen

Neben der Demonstration der Schwachstelle stellte das Team sein eigenes Schutzsystem PROTEA vor, das jeden Schritt des Roboterbetriebs auf Sicherheit überprüft und die Ausführung von Befehlen blockiert, die nicht zum Kontext der aktuellen Aufgabe passen. Nach der Konzeption der Autoren soll PROTEA als „Wächter“ auf der Ebene der Aktionsplanung und nicht auf der Ebene des Eingabetextes arbeiten. Dennoch weisen die Forscher selbst auf eine wesentliche Einschränkung hin: Alle Tests wurden ausschließlich an Open-Source-Sprachmodellen durchgeführt. Die reale Gefahr des Einsatzes solcher Angriffe in geschlossenen kommerziellen Systemen – Krankenhäusern, Fabriken, Logistikzentren, in denen Roboter auf proprietären KI-Plattformen laufen – bleibt nach wie vor unerforscht.

### Was das für den Markt und Regulatoren bedeutet

Die Veröffentlichung fällt in eine Zeit, in der die Servicerobotik aktiv aus den Laboren in Wohnräume und Produktionshallen drängt. Wenn die Architektur „fertige LLM + Drittanbietermodul“ ohne obligatorische Lieferkettenprüfung beibehalten wird, wird jedes neue Integrationsmodul zu einem potenziellen Vektor für Angriffe. Für Regulierungsbehörden ist dies ein Argument für Anforderungen zur Verifizierung der Herkunft von Modellen und Modulen, und für Verbraucher ein Grund, genauer auf die Quellen zu achten, von denen ihr Roboter das Ausführen von Haushaltsbefehlen „lernt“. Bis dahin bleibt, wie die Autoren selbst anmerken, die Frage offen, wie anfällig geschlossene Industrie- und Medizinroboter sind.

## Faktencheck und Quellen

- [ИИ-роботов можно запрограммировать на опасные действия: достаточно секретного слова](https://www.rbc.ua/ukr/news/shi-robotiv-mozhna-zaprogramuvati-nebezpechni-1793187916.html) - Die Primärquelle gibt ein arXiv-Preprint der Binghamton University wieder. Alle faktischen Aussagen (Segway-Manipulator, 5.000 Aufgaben, PROTEA, Einschränkungen bei Open-Source-Modellen) stammen aus dem Text. Vorbehalt: Das Material beschreibt eine Labordemonstration, keine Massennutzung; geschlossene Systeme wurden nicht getestet.

## Häufige Fragen

### Welcher genaue Roboter wurde im Experiment verwendet?

Bei den Labortests wurde ein Roboter-Manipulator auf Segway-Basis eingesetzt. Die Grundaufgabe bestand darin, einen Apfel auf ein Schneidebrett zu bringen und ihn zu schneiden. Nach dem Aussprechen des Trigger-Wortes ging der Roboter zur Ausführung schädlicher Szenarien über.

### Was ist PROTEA und wie schützt sie?

PROTEA ist ein Schutzsystem, das von demselben Forschungsteam vorgeschlagen wurde. Es überprüft jeden Schritt des Roboterbetriebs auf Sicherheit und blockiert Befehle, die nicht zum Kontext der aktuellen Aufgabe passen, und arbeitet dabei auf der Ebene der Aktionsplanung.

### Wie anwendbar ist die Studie auf reale Heim- und Industrieroboter?

Die Autoren weisen ausdrücklich darauf hin, dass alle Tests an Open-Source-Sprachmodellen durchgeführt wurden. Die Anfälligkeit geschlossener kommerzieller und industrieller Systeme (Krankenhäuser, Fabriken) bleibt unerforscht, obwohl die architektonische Logik des Angriffs (Drittanbietermodule auf einem fertigen LLM) für die gesamte Branche charakteristisch ist.

### Warum ist die Backdoor nach ihrer Entdeckung schwer zu entfernen?

Den Forschern zufolge zerstört das Entfernen der schädlichen Backdoor aus einem spezialisierten Modul häufig völlig die Fähigkeit des Roboters, routinemäßige Haushaltsbefehle auszuführen, was eine „Bereinigung“ technisch und wirtschaftlich unzweckmäßig macht.