Für Pentester und Auditoren
Abliterated-Modelle und Frontier-LLMs für Pentester, mit AVV statt Privat-Abo. Bei fast jedem Pentest tauchen echte Daten auf: Mitarbeiterdaten, Kundendatensätze, E-Mails, Tokens. Wer sie zur Analyse in ChatGPT oder Claude kopiert, gibt personenbezogene Daten seines Auftraggebers an einen Dienst weiter, den dieser nie genehmigt hat. 2342.ai stellt dir Security- und Frontier-Modelle unter einem Vertrag bereit, mit Datenwegen, die du deinem Auftraggeber offenlegen kannst.
Art. 28 DSGVO im Pentest-Alltag
Verarbeitest du im Auftrag personenbezogene Daten, brauchst du für jeden weiteren Auftragsverarbeiter die vorherige Genehmigung deines Auftraggebers (Art. 28 Abs. 2 DSGVO). Ein privates Chat-Abo lässt sich so nicht genehmigen: kein Vertrag mit deinem Unternehmen, keine Kontrolle über Aufbewahrung und Training, Verarbeitung oft in den USA. Mit 2342.ai nennst du einen Anbieter mit AVV und veröffentlichter Liste der Unterauftragsverarbeiter und legst pro Datenart fest, welcher Datenweg genutzt wird.
Datenweg nach Datenart
Dumps, Antworten und Logs mit personenbezogenen Daten wertest du mit Modellen aus, die der Katalog mit EU-Datenweg ausweist. BB Arena zeigt, dass mehrere davon Pentest-Aufgaben ohne Verweigerung erledigen.
Security-Modelle
Wenn Frontier-Modelle abbrechen, übernehmen spezialisierte Security-LLMs und Abliterated-Modelle wie CyberGLM, CyberKimi und Abliterated Model Large. Der Inferenzanbieter speichert keine Daten (Zero Data Retention); verarbeitet wird in Norwegen, Island und den USA. Deshalb gehören in diese Modelle technische Inhalte ohne Personenbezug.
Nachweisbar
AVV, Liste der Unterauftragsverarbeiter und den Datenweg je Modell im Katalog übernimmst du in Angebot oder Prüfbericht. Verbrauch und Kosten laufen über eine Rechnung und bleiben je API-Schlüssel nachvollziehbar.
Im Auftrag einsetzen
2342.ai als weiteren Auftragsverarbeiter in deinen AVV aufnehmen. AVV und Liste der Unterauftragsverarbeiter sind öffentlich abrufbar.
Der Org-Admin aktiviert externe Modelle. Danach sind die Security-Modelle mit den API-Schlüsseln der Organisation nutzbar.
Angriffsschritte mit Security-Modellen, personenbezogene Funde mit Modellen im EU-Datenweg, der Bericht im eigenen Arbeitsbereich.
Du übermittelst Daten deines Auftraggebers an einen Anbieter, den dieser nicht genehmigt hat, zu Verbraucherbedingungen und oft in die USA. Das kann gegen deinen AVV und die DSGVO verstoßen, und dein Auftraggeber muss gegebenenfalls prüfen, ob eine meldepflichtige Datenschutzverletzung vorliegt.
Bei der Abliteration wird die Richtung in den Aktivierungen eines Modells, die Ablehnungen auslöst, ermittelt und aus den Gewichten herausgerechnet. Das Modell verweigert danach keine Aufgaben mehr, die übrigen Fähigkeiten bleiben weitgehend erhalten. Für Sicherheitstests heißt das: Exploit-Code, Payloads und Angriffsketten ohne Abbrüche, aber auch ohne eingebaute Schutzgrenzen. Deshalb gibt es sie bei uns nur per API und nur für freigeschaltete Organisationen.
Die Anbieter setzen Schutzmechanismen gegen Cyberangriffe ein, und die greifen bei den neuesten Modellen besonders oft. In BB Arena wurde Claude Opus 5.5 in 51 von 100 Labs gestoppt, ChatGPT 6.1 Sol in 67. Andere Modelle wie Claude Opus 5, GLM 5.3 und ChatGPT 5.6 Sol arbeiteten dieselben Labs ohne Verweigerung ab.
Modelle, die der Katalog mit EU-Datenweg ausweist. Die Security-Modelle verarbeiten in Norwegen, Island und den USA und sind dafür nicht vorgesehen.
Ja. Ohne schriftliche Beauftragung mit klarem Scope kann ein Test strafbar sein, etwa nach § 202a StGB. Die AGB erlauben die Security-Modelle nur für autorisierte Aufträge und eigene Systeme.
Nein. Sie sind nur über die API mit den Schlüsseln einer Organisation nutzbar, deren Admin externe Modelle freigeschaltet hat.