Unzensierte KI-Modelle 2026: Top 10 und die Sicherheitsrisiken

Bitten Sie einen gängigen Chatbot, Ransomware zu schreiben, lehnt er ab. Bitten Sie ein unzensiertes KI-Modell, tut es das womöglich nicht. Dieser eine Unterschied hat ein ganzes Ökosystem aus Open-Weight-Modellen, gehosteten Diensten und kriminellen Produkten hervorgebracht und beschäftigt inzwischen dauerhaft Sicherheitsteams, Aufsichtsbehörden und KI-Labore.

Dieser Artikel erklärt, was unzensierte Modelle sind, stellt zehn bekannte vor und zeigt, wo sie gehostet werden, wie sie genutzt werden und was sie für die Cybersicherheit bedeuten. Er ist ein Überblick für Verteidiger und Entscheider, keine Anleitung. Wir verlinken keine Werkzeuge und lassen alles weg, was Missbrauch erleichtern würde. Die Fakten stammen aus Herstellerstudien und Presseberichten, vieles davon aus zweiter Hand; wo wir eine Aussage nicht bestätigen konnten, sagen wir das.

Was sind unzensierte KI-Modelle?

„Unzensiert“ ist ein lockerer Begriff. Gemeint ist meist ein großes Sprachmodell (LLM), das Anfragen beantwortet, die gängige Assistenten ablehnen, etwa Malware schreiben, Betrugsnachrichten entwerfen oder erklären, wie man Schaden anrichtet. Darunter fallen drei verschiedene Dinge:

• Feinabgestimmte offene Modelle. Entwickler trainieren ein Open-Weight-Modell mit Daten nach, in denen Ablehnungen fehlen, sodass es fast alles befolgt.
• „Abliterierte“ Modelle. Hier werden die Gewichte eines bestehenden Modells so verändert, dass seine Neigung zur Ablehnung unterdrückt wird, ganz ohne Nachtraining. Die Idee: Ablehnungsverhalten lässt sich im Modell lokalisieren und dämpfen.
• Kriminelle „Dark LLMs“. Chatbots, die unter Namen wie WormGPT an Kriminelle verkauft werden. Viele sind in Wahrheit Jailbreak-Hüllen um andere Modelle und keine von Grund auf gebauten Modelle.

Möglich ist das durch offene Gewichte. Sobald ein Unternehmen die Parameter eines Modells veröffentlicht, kann jeder es verändern und betreiben, und der ursprüngliche Entwickler kann es nicht zurückrufen. Der International AI Safety Report 2026 stellt fest, dass sich Schutzmechanismen bei Open-Weight-Modellen deutlich leichter entfernen lassen, betont aber auch, dass vielen Nutzern dafür Können oder Anlass fehlen und dass hochmotivierte böswillige Akteure das eigentliche Problem sind.

Man sollte außerdem sagen: Nicht jeder, der weniger Ablehnungen will, ist ein Krimineller. Red Teams brauchen Modelle, die einen Angreifer spielen, Forschende untersuchen Fehlverhalten, Autoren wollen düstere Fiktion, und manche möchten sich schlicht nicht von Software belehren lassen. Das Problem: Dieselbe Eigenschaft dient allen.

Die Top 10 der unzensierten Modelle im Überblick

Das ist kein Leistungsvergleich. Wir haben nach Einfluss, Sichtbarkeit in Forschung und Presse sowie Sicherheitsrelevanz sortiert und die Liste in Open-Weight-Projekte und kriminelle Produkte geteilt.

Open-Weight-Modelle (1–4)

1. Dolphin (Cognitive Computations)

Dolphin ist wohl die bekannteste Familie unzensierter Feintunings. Sie wird von Eric Hartford und Mitstreitern unter dem Namen Cognitive Computations betreut und baut unter anderem auf Llama, Mistral, Mixtral, Phi und Qwen auf. Die Modellkarten beschreiben die Modelle als äußerst folgsam und raten, vor einer Bereitstellung für andere eine eigene Schutzschicht hinzuzufügen. Dolphin-Versionen werden auf Hugging Face und in der Ollama-Registry breit gespiegelt und lassen sich so leicht auf einem Laptop betreiben.

2. Dolphin Mistral 24B Venice Edition

Diese Mistral-basierte Dolphin-Variante hat ein Kontextfenster von 128.000 Token und wird in Modellverzeichnissen Dritter geführt. Sie wird mit Venice verbunden, einem Dienst, der „unzensierten“ privaten Chat bewirbt, und zeigt die kommerzielle Seite der Kategorie: ein Feintuning, verpackt als bezahltes, gehostetes Produkt, damit niemand eigene Hardware braucht.

3. Nous Hermes 4 und 4.3

Hermes von Nous Research ist im strengen Sinn nicht „unzensiert“, aber das Paradebeispiel eines bewusst ablehnungsarmen Modells. Der technische Bericht zu Hermes 4 führt RefusalBench ein, einen Test mit 166 Prompts aus 32 Anfragekategorien, bei dem Hermes 4 deutlich höher (weniger Ablehnungen) abschneidet als geschlossene Spitzenmodelle. Nous hat den Benchmark selbst gebaut, und er misst die Bereitschaft zu antworten, nicht die Sicherheit. Die Zahlen sind also ein Hinweis auf Steuerbarkeit, keine Sicherheitsnote.

4. Abliterierte Llama-, Gemma- und Qwen-Varianten

Dieser Eintrag ist eher eine Technik als ein einzelnes Modell. Community-Mitglieder wenden Werkzeuge zur Gewichtsbearbeitung auf beliebte offene Modelle an und veröffentlichen das Ergebnis. Eine gemeinsame Untersuchung der Financial Times und der KI-Sicherheitsgruppe Alice vom Mai 2026 zeigte Berichten zufolge, dass ein kostenloses Werkzeug die Schutzmechanismen von Metas Llama 3.3 und Googles Gemma 3 in unter zehn Minuten ohne Spezialhardware entfernen kann (siehe die Zusammenfassung von Akerman). Der Schöpfer des Werkzeugs zählt Berichten zufolge mehr als 3.500 Varianten und 13 Millionen Downloads, und Sekundärquellen sagen, Hugging Face führe über 8.000 Modelle zum Suchbegriff „abliterated“. Diese Zahlen sind nicht verifiziert.

Hier steckt auch ein neueres Risiko. Eine Research Note der Cloud Security Alliance vom Oktober 2026 argumentiert, dass jedes Modell mit veränderten Gewichten, auch abliterierte Varianten, eine Hintertür enthalten kann, die auf eine bestimmte Phrase anspringt, und verweist auf einen Machbarkeitsnachweis von ProjectDiscovery. Wer das Modell veröffentlicht, bestimmt, was darin steckt.

Kriminelle „Dark LLMs“ (5–10)

Das sind Produkte, keine Forschungsprojekte. Der Sicherheitsanbieter Abnormal argumentiert, das ursprüngliche WormGPT sei das einzige echte von Kriminellen gebaute LLM gewesen, und die meisten Nachfolger seien Betrug oder Jailbreak-Hüllen. Das ist die Einschätzung des Anbieters, passt aber zu einem Muster in der Forschung: Der Wert liegt in den fehlenden Leitplanken und der bequemen Verpackung, nicht in einem leistungsfähigeren Modell.

5. WormGPT (Original, 2023)

Im März 2023 in den Hack Forums angekündigt und im Juni veröffentlicht, wurde WormGPT als ChatGPT-Alternative für Malware und Phishing vermarktet. Berichten zufolge lief es auf dem offenen Modell GPT-J, was wir nicht unabhängig bestätigen konnten. Im August 2023 wurde es eingestellt, nachdem der Journalist Brian Krebs die Person dahinter identifiziert hatte. Der Name überlebte das Produkt und steht heute als Kurzform für die ganze Kategorie.

6. FraudGPT

FraudGPT tauchte im Juli 2023 auf, verkauft von einem Forennutzer und beworben für Phishing und Betrugsinhalte. Seine Forenbeiträge wurden wiederholt gelöscht, weshalb die Werbung zu Telegram wanderte. Manche Forscher vermuten, dass dieselben Leute beide Werkzeuge gebaut haben, bestätigt ist das nicht.

7. GhostGPT

GhostGPT wird als Telegram-Bot verkauft, Abos kosten Berichten zufolge ab etwa 50 $ pro Woche. Ein Telegram-Bot braucht weder Installation noch technische Einrichtung, und genau das ist der Punkt: Er nimmt Käufern die Hürden.

8. Xanthorox

Xanthorox wurde als eigenständige „Hacker-KI“ angepriesen. Die Threat Intelligence Group von Google fand Berichten zufolge heraus, dass es in Wirklichkeit eine kommerzielle API mit umgangenen Sicherheitskontrollen plus Open-Source-Werkzeugen war. Das fanden wir nur in Sekundärberichten, also gilt es als berichtet, nicht bestätigt. Es ist ein gutes Beispiel für die Lücke zwischen Marketing und Wirklichkeit auf diesem Markt.

9. WormGPT 4

Unit 42 von Palo Alto Networks hat es analysiert und gemeinsam mit KawaiiGPT darüber berichtet. WormGPT 4 wird kommerziell vertrieben, Berichten zufolge für 50 $ im Monat oder 220 $ für lebenslangen Zugang. Die Forscher sagen, die Verkäufer legten nicht offen, welches Modell darunter läuft. In ihren Tests konnte es Ransomware-Code erzeugen, und sie schlossen, dass diese Werkzeuge einen Teil der technischen Hürden für Cyberkriminalität beseitigen.

10. KawaiiGPT

KawaiiGPT ist kostenlos und wird auf GitHub verbreitet; laut Unit 42 hatte es nach eigenen Angaben über 500 registrierte Nutzer. In Tests erzeugte es keine funktionierende Verschlüsselungsroutine, doch die Forscher wiesen auf seine Funktionen zur Befehlsausführung als Weg zu Rechteausweitung und Datendiebstahl hin. Es zeigt, dass dieser Markt auch eine kostenlose Stufe hat, nicht nur eine bezahlte.

Wo werden unzensierte Modelle gehostet?

Es gibt keinen einzelnen Ort. Das Ökosystem hat fünf Ebenen:

• Öffentliche Modell-Hubs. Open-Weight- und abliterierte Modelle werden auf Hugging Face und in der Ollama-Registry geteilt. Der Download ist trivial, und die Moderation der Hubs kommt bei der Menge abgeleiteter Modelle nicht hinterher.
• Lokale Rechner. Viele betreiben sie auf dem eigenen Computer mit gängigen lokalen Laufzeiten. Das ist der privateste und am schwersten zu beobachtende Weg, weshalb er Bastler wie Missbraucher anzieht.
• Kommerzielle gehostete Dienste. Manche Firmen hosten unzensierte Feintunings und verkaufen den Zugang über Chat oder API, meist mit Privatsphäre-Versprechen.
• Kriminelle Verkaufsstellen. Dark LLMs werden über Telegram-Bots, Darknet-Foren und manchmal GitHub verkauft. Die Anbieter leiten Anfragen meist an ein Modell weiter, das sie selbst hosten oder mieten, weshalb Takedowns schwierig sind.
• Server anderer Leute. Eine Studie von SentinelOne und Censys vom Januar 2026 fand 175.108 einzelne öffentlich erreichbare Ollama-Hosts in 130 Ländern. Mindestens 201 liefen mit „unzensierten“ Prompt-Vorlagen (eine Untergrenze), und 48 % boten Tool-Calling an, das Codeausführung oder API-Zugriff erlaubt. Angreifer können solche Server aufspüren und kostenlos nutzen; Forscher nennen das LLMjacking.

Wie Menschen sie nutzen

Legitime Nutzung gibt es reichlich: Red-Team-Übungen, Sicherheitsforschung zu Fehlverhalten von Modellen, kreatives Schreiben, Rollenspiele sowie private oder Offline-Assistenten für Menschen, die ihre Daten nicht an einen Cloud-Anbieter schicken wollen.

Auf der kriminellen Seite sind die dokumentierten Einsatzfälle meist unspektakulär. Forscher beschreiben, dass unzensierte Modelle überzeugende Phishing- und Business-Email-Compromise-Nachrichten in vielen Sprachen schreiben, einfache Malware und Skripte erzeugen und Aufklärung sowie Betrugsskripte automatisieren. Der rote Faden ist Skalierung und Politur: Aufgaben, die früher Können oder Sprachgewandtheit erforderten, sind jetzt einen Prompt entfernt. Das Fazit von Unit 42 zu WormGPT 4 und KawaiiGPT lautet, dass sie die Hürde für weniger versierte Angreifer senken. Einen verwandten Praxisfall finden Sie in unserem Faktencheck zu KI-Angriffen auf Banken.

Die Herausforderungen für die Cybersicherheit

Schutzmechanismen sind nicht dauerhaft

Sicherheitstraining bei einem offenen Modell ist eine Voreinstellung, keine Eigenschaft des Modells. Wenn es sich in Minuten entfernen lässt, schützt es nur vor beiläufigem Missbrauch. Das verändert, wie Aufsichtsbehörden und Labore über die Veröffentlichung von Gewichten denken.

Kein Rückruf, keine Überwachung

Ein Anbieter geschlossener Modelle kann Verhalten patchen, einen API-Schlüssel widerrufen oder ein Konto sperren. Eine Kopie auf dem Laptop eines anderen kann niemand erreichen. Missbrauch hinterlässt für Verteidiger kaum Spuren.

Eine niedrigere Einstiegshürde

Die größte Wirkung sind nicht neue Angriffsarten, sondern mehr Menschen, die alte Angriffe kompetent ausführen: fehlerfreies Phishing, schnelleres Skripten, flottere Recherche zu Zielen. Verteidiger sollten mit mehr Angriffen von passabler Qualität rechnen, nicht mit wenigen genialen.

Lieferkettenrisiko für normale Nutzer

Wer ein abgeleitetes Modell herunterlädt, vertraut dessen Herausgeber. Veränderte Gewichte können Hintertüren enthalten, und die Cloud Security Alliance empfiehlt, abgeleitete Modelle als eigene Lieferketten-Assets mit eigenem Manipulationsrisiko zu behandeln, getrennt vom Basismodell.

Offene Infrastruktur und kostenlose Rechenleistung

Selbst gehostete LLM-Server, die offen im Internet stehen, schenken Angreifern Rechenleistung, während der Besitzer zahlt und haftet. Cisco fand 2025 ein ähnliches Muster: Etwa jeder fünfte der rund 1.100 untersuchten offenen Ollama-Server hostete Modelle, auf die ohne Autorisierung zugegriffen werden konnte. Die Zahlen schwanken je nach Methode.

Hype und Zuordnung

Anbieter haben einen Anreiz, die Bedrohung zu übertreiben, und Kriminelle haben einen Anreiz, ihre Werkzeuge zu überverkaufen. Viele „Dark LLMs“ sind Betrug an den eigenen Kunden. Gute Verteidigung beginnt damit, echte Fähigkeit von Marketing zu trennen.

Was Unternehmen tun können

• Von fehlerfreiem Phishing ausgehen. Rechtschreib- und Grammatikfehler sind keine Warnzeichen mehr. Setzen Sie auf phishing-resistente Authentifizierung wie Passkeys oder Hardware-Schlüssel.
• Über einen zweiten Kanal prüfen. Bestätigen Sie Zahlungsänderungen, Passwort-Resets und dringende Anweisungen von Führungskräften über einen Kanal, dem Sie bereits vertrauen.
• Selbst gehostete KI absichern. Setzen Sie Ollama, vLLM und ähnliche Server nie ohne Authentifizierung dem Internet aus, und überwachen Sie ungewöhnliche Nutzung.
• Modellgewichte als Lieferketten-Asset behandeln. Laden Sie Modelle nur von vertrauenswürdigen Herausgebern, fixieren Sie Versionen und prüfen Sie, was Sie herunterladen.
• Eigene Leitplanken ergänzen. Wenn Sie ein Open-Weight-Modell in einem Produkt einsetzen, nutzen Sie eine externe Moderationsschicht, statt sich auf eingebaute Ablehnungen zu verlassen.
• KI auch zur Verteidigung nutzen. Erkennung, Triage und Phishing-Analyse sind Bereiche, in denen dieselbe Technik Verteidigern hilft.

Wenn Sie Open-Weight-Modelle einsetzen oder Ihre KI-Angriffsfläche prüfen möchten: Unser Team arbeitet daran für Fintech- und Enterprise-Kunden. Siehe unsere Leistungen oder nehmen Sie Kontakt auf.

Häufig gestellte Fragen

Was ist ein unzensiertes KI-Modell?

Ein unzensiertes KI-Modell ist ein Sprachmodell, dessen Sicherheitstraining entfernt, reduziert oder nie angewendet wurde, sodass es Anfragen beantwortet, die gängige Assistenten ablehnen. Die meisten sind Open-Weight-Modelle, die nach der Veröffentlichung feinabgestimmt oder verändert wurden. Eine zweite Gruppe sind kriminelle Produkte im Stil von WormGPT, von denen viele nur Hüllen um andere Modelle sind.

Sind unzensierte KI-Modelle illegal?

In den meisten Ländern ist der Besitz oder Betrieb eines unzensierten Open-Weight-Modells nicht illegal. Entscheidend ist, was man damit tut: Mit einem beliebigen Modell Malware zu schreiben, Betrug zu begehen oder illegale Inhalte zu erzeugen, ist eine Straftat. Werkzeuge, die gezielt an Kriminelle verkauft werden, sind eine andere Sache und können Verkäufern wie Käufern strafrechtliche Folgen bringen.

Wo werden unzensierte KI-Modelle gehostet?

Open-Weight-Versionen werden auf öffentlichen Modell-Hubs wie Hugging Face und in der Ollama-Registry geteilt, und viele betreiben sie lokal. Manche kommerziellen Dienste hosten sie gegen Gebühr. Kriminelle Werkzeuge werden über Telegram-Bots und Darknet-Foren verkauft, mindestens eines wird auf GitHub verbreitet. Forscher haben außerdem Zehntausende offene selbst gehostete Server gefunden, die Angreifer mitbenutzen können.

Sind WormGPT und ähnliche Werkzeuge wirklich gefährlicher als ChatGPT?

Nicht unbedingt. Sicherheitsforscher sagen, viele kriminelle Chatbots seien Jailbreak-Hüllen oder schlicht Betrug, und das ursprüngliche WormGPT wurde 2023 eingestellt. Das Risiko liegt nicht in zusätzlicher Leistungsfähigkeit, sondern in weggefallener Reibung: Sie senken das Können, das für überzeugendes Phishing und einfache Malware nötig ist.

Wie können sich Unternehmen gegen KI-gestützte Angriffe wehren?

Gehen Sie davon aus, dass Angreifer fehlerfreies, personalisiertes Phishing in großem Maßstab erzeugen können. Nutzen Sie phishing-resistente Authentifizierung, prüfen Sie Zahlungs- und Zugangsanfragen über einen zweiten Kanal, patchen Sie zügig und setzen Sie selbst gehostete LLM-Server nie ohne Authentifizierung dem Internet aus. Behandeln Sie Modellgewichte Dritter als Lieferketten-Asset und laden Sie sie nur aus vertrauenswürdigen Quellen.