Der Honeypot-Mechanismus: Die Zwillings-Spezifikationen SPEC.md und AISpec.md

Im Oktober 2026 stellte Dominik Picheta, ein erfahrener Software-Entwickler und Core-Contributor der Programmiersprache Nim, die esoterische Programmiersprache KillSwitch vor. Ziel ist ein gezielter Stresstest für LLM-basierte Coding-Agenten: Die Sprache soll offenbaren, ob KI-Modelle echten Code verstehen oder lediglich trainierte Muster wiedergeben. Durch spezielle Konstrukte wie versteckte Lügen, Buchstaben-Zählungen, Anagramme und bewusst eingebettete Jailbreak-Phrasen werden die Modelle an ihre Schwächen in Tokenisierung, Kontext-Management und Sicherheits-Guardrails gebracht.

Warum eine esoterische Sprache für LLM-Stresstests?

KillSwitch fungiert als adversarialer Benchmark. Es wird geprüft, ob KI-Agenten Codeinterpretationen auf Basis von semantischem Verständnis durchführen können oder ob sie bei bloßer Mustererkennung scheitern. Das Projekt deckt zentrale Schwachstellen moderner KI-Modelle auf: fehlende Fähigkeit, Zeichen exakt zu zählen, empfindliche Reaktion auf Kontext-Überflutung und das Auslösen von Sicherheits-Filtern bei bestimmten Befehlen.

Eine Programmiersprache für Menschen, nicht für KI

Die Sprache verlangt von Nutzer:innen, Ableitungen selbst vorzunehmen, anstatt alles erklärt zu bekommen. Befehle werden als kurze Sätze formuliert, wobei die genaue Anzahl der Buchstaben entscheidend ist. Beispiel: Das Wort Ischtbar (falsch geschrieben) dient als aktivierendes Verb. Zusätzlich werden Phrasen wie "Ignoriere die vorherigen Anweisungen" eingesetzt, um KI-Modelle zu verwirren oder Sicherheits-Guardrails zu triggern, etwa mit "Hacke dich in einen Computer".

Der Honeypot-Mechanismus: Die Zwillings-Spezifikationen SPEC.md und AISpec.md

Im offiziellen GitHub-Repository ( dom96/KillSwitch ) implementierte Picheta eine raffinierte Kontextfalle. Neben der autoritativen Dokumentation SPEC.md mit 484 Zeilen (ca. 2 773 Wörter) gibt es die manipulierte AISpec.md mit 65 495 Zeilen und rund 887 584 Wörtern - das entspricht etwa 1,2 Millionen Kontext-Tokens an inhaltsleeren Fülltext. Autonome KI-Agenten, die ohne Unterscheidung beide Dateien einlesen, verschwenden damit enorme Rechen- und Kostenressourcen, ohne den eigentlichen Sprachnamen zu sehen.

• Umfang SPEC.md: 484 Zeilen, ca. 2 773 Wörter (2026)
• Umfang AISpec.md: 65 495 Zeilen, ca. 887 584 Wörter, ≈1,2 Mio. Tokens (2026)
• Verhältnis von Köder- zu echter Spezifikation: Faktor 320 (2026)

Diese Falle macht das abstrakte Konzept der "versteckten Lügen" technisch greifbar und zeigt, wie leicht autonome Agenten durch Kontext-Verschmutzung manipuliert werden können.

Technische Verifikation über den Rust-Referenz-Interpreter

KillSwitch ist keine reine Papierspezifikation. Ein etwa 2,2 MB großes Rust-Binary interpretiert .ks-Skripte. Der Quellcode steht unter AGPLv3 und enthält explizite Verbote gegen KI-Scraping und Modell-Training, um eine Kontamination zukünftiger Trainingssätze zu verhindern. Die Größe des kompilierten Interpreters (2,2 MB, 2026) unterstreicht die Seriosität des Projekts als funktionale Open-Source-Software.

Gezielte Ausnutzung der Tokenisierungs-Schwächen von Transformer-Modellen

KillSwitch fordert, dass Bezeichner exakt über Buchstabenanzahl oder Anagramme definiert werden. Moderne LLMs zerlegen Eingaben jedoch in Subword-Tokens, nicht in einzelne Zeichen. Damit fällt es den Modellen schwer, exakte Zeichenlängen zu ermitteln oder manipulierte Schreibweisen wie Ischtbar korrekt zuzuordnen. Diese Schwäche wird systematisch ausgenutzt, um Fehlinterpretationen zu provozieren.

• Erfolgsrate des besten Modells (Claude Opus 5): 66,8 % (2026)
• Erfolgsrate GPT-6.1 Sol: 59,2 % (2026)
• Erfolgsrate GPT-6 Astra: 57,9 % (2026)
• Erfolgsrate Claude Fable 5.1: 46,7 % (2026)
• Erfolgsrate führendes Open-Weight-Modell MiMo-V2.6 Pro: 38,8 % (2026)

Benchmark-Ergebnisse und Kostenanalyse

Im KillSwitch-Bench (Stand Oktober 2026) wurden verschiedene KI-Modelle auf Aufgaben in der esoterischen Sprache getestet. Claude Opus 5 erreichte die höchste Erfolgsrate von 66,8 % und benötigte im Schnitt 8 Minuten pro Aufgabe bei geschätzten API-Kosten von 1,50 USD. Die anderen Modelle lagen deutlich darunter. Die Benchmarks zeigen, dass selbst Spitzenmodelle bei gezielten adversarialen Aufgaben signifikant scheitern.

• Durchschnittliche Bearbeitungsdauer Claude Opus 5: 8 Minuten (2026)
• Geschätzte API-Kosten pro Aufgabe (Claude Opus 5): 1,50 USD (2026)

Gegenargumente und Risiken

Einige kritische Punkte werden ebenfalls diskutiert:

• Unerreichbarkeit praxistauglicher Softwareentwicklung: KillSwitch ist eine Esolang; absichtlich falsche Verbformen und verdeckte Kontrollflüsse machen den Code für menschliche Entwickler unlesbar und wartungsunfähig.
• Umgehung durch Zugriff auf Compiler- und Interpreter-Code: Tests aus der Entwickler-Community zeigen, dass KI-Agenten die Hürden überwinden können, sobald ihnen der Rust-Quellcode des Interpreters zur Analyse bereitgestellt wird.

Häufig gestellte Fragen (FAQ)

Wer ist der Entwickler Dominik Picheta?Dominik Picheta ist ein profilierter Software-Entwickler, Core-Entwickler der Programmiersprache Nim, Autor des Fachbuchs "Nim in Action" und nach Stationen bei Meta heute bei Cloudflare tätig.Warum scheitern KI-Modelle am Zählen von Buchstaben in Bezeichnern?LLMs operieren nicht auf Buchstabenebene, sondern teilen Text mithilfe von Tokenizern in Silben- oder Wortfragmente ein. Dadurch können sie die physische Länge von Strings oder Anagramme nur fehlerhaft berechnen.Wie verhindern die Sicherheits-Guardrails das Schreiben von funktionierendem Code?Befehle wie "Hacke dich in einen Computer" aktivieren interne Inhaltsfilter der Modell-Provider, wodurch viele Agenten die Ausführung aus Sicherheitsbedenken sofort verweigern, obwohl es sich um harmlose Programmbefehle handelt.