Glossareintrag
Wir denken. KI tippt mit.
Ein Stealth-Modell bei KI (englisch Stealth Model oder Cloaked Model, in der deutschen Fachpresse auch anonymes KI-Modell) ist ein KI-Modell, das sein Hersteller vor dem offiziellen Start unter einem Codenamen öffentlich testen lässt. Seinen Namen verschweigt er. Plattformen wie OpenRouter oder die Bewertungsplattform Arena (früher LMArena) schalten das Modell für einige Tage oder Wochen frei, bei OpenRouter kostenlos. Im Gegenzug bekommt das Labor die Eingaben und Antworten der Nutzer und wertet sie aus. Nutzer sehen nur den Codenamen, z. B. „Quasar Alpha“ oder „Ox Alpha“, und erfahren erst nach dem Test, welche Firma dahintersteckt.
OpenRouter beschreibt ein Stealth-Modell in seinem Stealth-Programm als Modell, das „developed and operated by a third-party provider who has chosen to remain anonymous during this preview“ ist. Die Plattform leitet als LLM-Gateway die Anfragen nur weiter und ist weder Entwickler noch Betreiber. Die Bezeichnung Cloaked Model stammt von den älteren OpenRouter-Modellseiten (Modellseite von Aurora Alpha: „This is a cloaked model provided to the community to gather feedback“). Stealth Model ist der Name des Programms und heute die gängige Bezeichnung. Arena nennt dasselbe Prinzip „unreleased model“ mit „anonymous label“.
(Hinweis: Verwechselbar mit dem Stealth-Startup, einer Firma, die Produkt und Pläne vor der Öffentlichkeit geheim hält, und mit StealthGPT, einem Tool zum Umgehen von KI-Detektoren. Beim Stealth-Modell ist das Produkt für jeden nutzbar, nur der Absender bleibt verborgen.)
Das Stealth-Programm von OpenRouter läuft seit April 2025. Quasar Alpha machte den Anfang. Die Plattform kündigte es am 3. April 2025 als „a prerelease of an upcoming long-context foundation model (1M tokens)“ an, kostenlos (Ankündigung von Quasar Alpha). Alle Eingaben und Antworten würden mitgeschrieben, hieß es, „so we and the lab can better understand how it's being used and where it can improve“. Elf Tage später lüftete OpenRouter das Geheimnis. Quasar Alpha und das kurz danach gestartete Optimus Alpha waren frühe Versionen von GPT‑4.1 von OpenAI. Seitdem folgt jedes Stealth-Modell demselben Muster. Es erscheint unter einem Codenamen mit dem Zusatz Alpha oder Beta und bleibt ein bis zwei Wochen gratis nutzbar. Nach der Enthüllung schaltet die Plattform den kostenlosen Endpunkt ab. Das Modell erscheint dann unter seinem richtigen Namen mit regulärem Preis.
Bestätigte Auflösungen bis September 2026:
Cypher Alpha (Juli 2025) und Aurora Alpha (Februar 2026) hat bis heute niemand offiziell zugeordnet.
Die Labore nennen als Grund das Feedback ohne Markeneffekt. Z.ai schreibt in der Dokumentation zu GLM‑5.3‑Flash: „Before release, we tested GLM‑5.3‑Flash anonymously as ox-alpha on OpenCode and OpenRouter to gather user feedback“ (Dokumentation von Z.ai). Xiaomi berichtet, nach der Hunter-Alpha-Woche habe das Team die Stabilität in Agenten-Szenarien und die Verarbeitung langer Kontexte deutlich verbessert. Ein zweiter Grund ist der Lasttest unter realem Verkehr. Bei Ox Alpha zählte OpenRouter laut heise online vom Start am 20. bis einschließlich 25. August 2026 rund 295 Millionen Anfragen, in der Wochenwertung lag das Modell mit 23,2 Billionen Tokens auf Platz eins. Der dritte Grund ist Aufmerksamkeit. Fachpresse und Entwickler rätselten eine Woche lang über die Herkunft von Ox Alpha. t3n nannte das Vorgehen einen „Stealth-Release“.
Die Gegenleistung der Nutzer sind ihre Daten. Die Bedingungen des Stealth-Programms räumen OpenRouter das Recht ein, die Nutzerinhalte an den anonymen Anbieter weiterzugeben, „for the sole purpose of enabling the Stealth Provider(s) to train, evaluate, and improve those Stealth Model(s)“. Die Inhalte gehen mit einer gehashten Kennung hinaus, sodass der Anbieter einzelne Nutzer nicht identifizieren kann. Wer die Weitergabe nicht möchte, soll laut Bedingungen die Stealth-Modelle nicht nutzen. Bei Ox Alpha wich OpenRouter von der Trainingsklausel ab. Die Modellseite versprach, der Anbieter speichere Eingaben und Antworten, nutze sie aber nicht fürs Training. heise online wies in einem Hintergrundartikel zu Ox Alpha (englische Fassung) auf den Widerspruch zu den Programmbedingungen hin. Das Magazin schrieb dazu: „Solange nicht klar ist, wer ein Modell betreibt und wie übermittelte Daten gespeichert oder weiterverwendet werden, gehören sensible Informationen nicht in solche Dienste.“ Mit der Enthüllung stand außerdem fest, dass die Eingaben aller Nutzer an ein chinesisches Unternehmen gegangen waren.
Arena betreibt eine zweite Form des anonymen Tests. Dort treten zwei Modelle ohne Namen gegeneinander an, der Nutzer stimmt für die bessere Antwort und erfährt die Namen erst danach. Unveröffentlichte Modelle laufen laut der Leaderboard-Richtlinie von Arena unter einem anonymen Label, bis mindestens 1.000 Stimmen zusammen sind, dann bekommt der Anbieter das Ergebnis privat und das Modell verschwindet wieder. So lief 2024 „gpt2-chatbot“ (GPT‑4o von OpenAI), 2025 „summit“ (GPT‑5) und „nano-banana“, hinter dem sich der Bildgenerator Gemini 2.5 Flash Image von Google verbarg. Kritik an dem Verfahren kam im April 2025 von Cohere Labs, mehreren Universitäten und dem Allen Institute for AI. Ihr Paper The Leaderboard Illusion zählte 27 private Llama‑4-Varianten von Meta. Laut einer Simulation der Autoren hebt schon das Testen von zehn Varianten den besten Benchmark-Wert um rund 100 Punkte an, weil der Anbieter nur die beste Version veröffentlicht. Arena widersprach einzelnen Aussagen. Seither markiert die Plattform die Werte vorab getesteter Modelle als vorläufig, bis nach der Veröffentlichung genug frische Stimmen vorliegen, in der ersten Fassung der Regel nur bei mehr als zehn parallel getesteten Varianten.
Auch Coding-Tools setzen Stealth-Modelle ein. Cline, Kilo Code, Roo Code, Cursor, Windsurf und OpenCode bieten regelmäßig Modelle unter Codenamen an, meist kostenlos für einige Tage. „Sonic“ entpuppte sich im August 2025 als Grok Code Fast von xAI, „Spectre“ bei Kilo Code als Devstral 2 von Mistral, und „Falcon Alpha“ bei Windsurf war die Betaversion des hauseigenen Modells SWE‑1.5 von Cognition.
Entwickler enttarnen Stealth-Modelle fast immer vor der offiziellen Bestätigung. Das Modell selbst verrät seine Herkunft nicht, denn der Systemprompt verschweigt sie oder nennt ein falsches Labor. Technische Spuren sind verlässlicher. Bei „gpt2-chatbot“ verriet 2024 eine Fehlermeldung mit dem Format der OpenAI-Schnittstelle den Absender (Analyse von Simon Willison). Bei Quasar Alpha passten die Kennungen der Antworten und eine bekannte Eigenheit des OpenAI-Tokenizers (Spurensuche zu Quasar Alpha bei 16x). Bei Ox Alpha verglich die Analyse „The Tokenizer Is a Fingerprint“ die Token-Zählung des Modells mit 14 bekannten Vokabularen. 84 von 95 Proben stimmten mit der GLM-Familie überein, der beste andere Kandidat kam auf 46. Der Autor legte sich am 22. August 2026 auf Z.ai fest, vier Tage vor der Bestätigung. Die Firma CTGT kam mit einer Kombination aus Tokenizer-Abgleich und einem Vergleich politisch heikler Fragen ebenfalls auf Z.ai.
Ein Handwerksbetrieb begegnet einem Stealth-Modell selten direkt, meist über die Agentur oder den Entwickler, der ihm ein KI-Tool baut. Ein Elektrobetrieb lässt sich zum Beispiel einen Assistenten programmieren, der aus Aufmaß-Notizen ein Angebot vorschreibt. In der Bauphase nutzt der Entwickler eine Woche lang Ox Alpha in OpenCode oder über OpenRouter. Das Modell kostet in dieser Zeit nichts und liefert Code auf dem Niveau der großen Hersteller. Ein Open-Source-Entwickler berichtet, Ox Alpha habe ihm in einer Woche 13 durch Konflikte blockierte Änderungsanträge in einem Zug aufgelöst. In einem Projekt mit 142 Dateien fand das Modell außerdem einen Fehler zwischen zwei Hintergrunddiensten (Erfahrungsbericht auf dev.to). Zugangsdaten, Kundencode und Geheimnisse hielt er von der anonymen Leitung fern. Dieselbe Grenze gilt für den Betrieb.
Wichtig: Kundennamen, Adressen, Angebote, Kalkulationen und Verträge gehören nicht in ein Stealth-Modell. Die Datenschutzkonferenz der deutschen Aufsichtsbehörden verlangt in ihrer Orientierungshilfe zu KI und Datenschutz, vor dem Einsatz zu prüfen, ob Ein- und Ausgaben für das Training verwendet werden und ob sich das ausschließen lässt. Bei einem Stealth-Modell ist beides nicht möglich. Die Programmbedingungen erlauben die Weitergabe an den Anbieter und sehen keinen Widerspruch vor. Ein Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO scheitert schon daran, dass der Vertragspartner unbekannt ist. Sobald personenbezogene Daten im Spiel sind, verlangt die Datenschutzkonferenz für diesen Fall eine eigene Rechtsgrundlage, und die hat ein Betrieb bei einem anonymen Anbieter nicht. Bei Ox Alpha kam nach der Enthüllung hinzu, dass alle Eingaben in China gelandet waren. Eine Datenresidenz in der EU sagt niemand zu, der anonym bleibt. Was schon öffentlich ist oder keinen Bezug zu Personen hat, bleibt unkritisch, zum Beispiel Programmcode ohne Kundendaten, ein Textentwurf für die Website oder eine Fachfrage zur Wärmepumpe.
Sobald der Anbieter sich zu erkennen gibt, verschwindet der kostenlose Endpunkt. Ein Tool, das fest auf „stealth/ox-alpha“ zeigt, bricht dann ab. Der Entwickler hinterlegt das Modell unter seinem richtigen Namen, mit Preis, oder wechselt auf ein benanntes Modell mit Auftragsverarbeitungsvertrag. Bei GLM‑5.3‑Flash gab es noch einen dritten Weg. Z.ai stellte die Gewichte unter MIT-Lizenz auf Hugging Face. Ein Unternehmen kann das Modell also als Open-Weights-Modell bei einem europäischen Hoster oder auf eigener Hardware betreiben und behält die Daten im Haus.
Für Ox Alpha kursierte in der Stealth-Phase eine Trefferquote von 80 Prozent im Programmier-Benchmark DeepSWE, gemessen an nur zehn Aufgaben. Im vollständigen Durchlauf mit 113 Aufgaben lag das Modell laut heise online (englische Fassung) bei 58,4 Prozent. Die Entwickler von Cline maßen im September 2025 für die Sonoma-Modelle 84 und 87 Prozent erfolgreiche Code-Änderungen, gegenüber 96 Prozent bei Claude Sonnet 4 (Test von Cline). Cline empfahl die Stealth-Modelle nur für unkritische Aufgaben.
Woran der Betrieb ein Stealth-Modell erkennt:
