🤖 AI

The Good, the Bad and the Ugly: Meta-Analysis of Watermarks, Transferable Attacks and Adversarial Defenses

Dieses Paper formalisiert den Kompromiss zwischen Wasserzeichen und defensiven Maßnahmen gegen Angriffe als interaktives Protokoll und beweist, dass für jede Lernaufgabe mindestens eines von einem Wasserzeichen, einer defensiven Maßnahme gegen Angriffe oder einem über vollhomomorphe Verschlüsselung konstruierten transferierbaren Angriff existieren muss, während es gleichzeitig spezifische Bedingungen identifiziert, unter denen Defensivmaßnahmen oder Wasserzeichen gesichert werden können.

Ursprüngliche Autoren: Grzegorz Głuch, Berkant Turan, Sai Ganesh Nagarajan, Sebastian Pokutta

Veröffentlicht 2026-01-22

📖 5 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Grzegorz Głuch, Berkant Turan, Sai Ganesh Nagarajan, Sebastian Pokutta

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich die Welt der Künstlichen Intelligenz als ein riesiges, hochriskantes Spiel „Verstecken“ vor, das zwischen zwei Charakteren gespielt wird: Alice (der Angreiferin) und Bob (dem Verteidiger). Sie versuchen herauszufinden, wer bei einer bestimmten Lernaufgabe, wie etwa dem Erkennen von Katzen auf Fotos oder dem Beantworten von Fragen, die Oberhand hat.

Dieses Paper mit dem Titel „The Good, the Bad and the Ugly“ argumentiert, dass man in diesem Spiel niemals alles haben kann. Für jede gegebene Aufgabe diktieren die Regeln des Universums, dass mindestens eines der drei folgenden Szenarien eintreten muss. Man kann nicht in einer perfekten Welt leben, in der das Modell sicher ist, der Besitzer geschützt ist und niemand das System austricksen kann.

Hier sind die drei möglichen Ergebnisse, erklärt mit einfachen Analogien:

1. Das „Gute“: Das unentfernbare Wasserzeichen

Das Szenario: Alice möchte beweisen, dass ihr ein bestimmtes KI-Modell gehört. Sie pflanzt während des Trainings eine geheime „Backdoor“ (einen versteckten Trigger) in das Modell ein.
Die Analogie: Stellen Sie sich vor, Alice malt einen winzigen, unsichtbaren Punkt auf einen bestimmten Apfel. Wenn man diesen speziellen Apfel in die Maschine einspeist, schreit sie: „Das ist Alices Apfel!“
Der Haken: Das Paper sagt, dass dies nur möglich ist, wenn der „Punkt“ so subtil ist, dass Bob (der Verteidiger) ihn nicht sehen kann, selbst wenn er den Code der Maschine untersucht. Wenn Bob jedoch zu mächtig ist (über zu viel Rechenleistung verfügt), könnte er in der Lage sein, den Punkt wieder zu entfernen.
Das Ergebnis: Wenn Alice diesen geheimen Trigger pflanzen kann, den Bob nicht finden oder entfernen kann, besitzt sie ein Wasserzeichen. Dies ist „gut“ für den Besitzer, da er sein Eigentum nachweisen kann.

2. Das „Schlechte“: Die unaufhaltsame Verteidigung

Das Szenario: Bob möchte ein Modell bauen, das immun gegen Täuschungsversuche ist. Er möchte sofort wissen, ob jemand versucht, ihn mit einem gefälschten Input zu täuschen.
Die Analogie: Stellen Sie sich vor, Bob baut einen Sicherheitswachmann, der eine gefälschte Frucht schon aus einer Meile Entfernung riechen kann. Egal wie echt der gefälschte Apfel auch aussieht, der Wachmann sagt: „Stopp! Das ist kein echter Apfel!“
Der Haken: Dies funktioniert nur, wenn die „gefälschten Äpfel“ (adversarial attacks) sich stark genug von den echten Äpfeln unterscheiden, damit der Wachmann sie erkennen kann.
Das Ergebnis: Wenn Bob ein System bauen kann, das jeden Trick von Alice erkennt, hat er eine Adversarial Defense. Dies ist „schlecht“ für die Angreiferin, da sie das System nicht austricksen kann.

3. Das „Hässliche“: Der übertragbare Angriff

Das Szenario: Dies ist die große Neuentdeckung des Papers. Manchmal kann Alice einen Trick kreieren, der exakt wie ein echter Apfel aussieht, aber dennoch die Maschine außer Kraft setzt. Und das Beängstigende daran ist: Dieser Trick funktioniert bei jedem Modell, das Bob baut, solange Bob nicht unendlich klug ist.
Die Analogie: Stellen Sie sich vor, Alice erschafft einen „magischen Apfel“, der für das bloße Auge und jeden Standard-Scanner zu 100 % echt aussieht. Aber wenn man hineinbeißt, verwandelt er sich in eine Bombe.
Der Clou: Das Paper beweist, dass Alice diese „magischen Äpfel“ erschaffen kann, wenn sie Zugang zu einer bestimmten Art von „magischer Mathematik“ hat (genannt Fully Homomorphic Encryption, was vergleichbar mit dem Rechnen in einem verschlossenen Kasten ist, ohne ihn zu öffnen).
Das Ergebnis: Wenn Alice dies tun kann, hat sie einen Transferable Attack. Dies ist „hässlich“, weil es bedeutet, dass der Trick von Alice funktionieren wird, egal wie hart Bob versucht, sein spezifisches Modell zu verteidigen. Es ist ein universeller Schlüssel, der jedes Schloss öffnet.

Das große „Meta“-Fazit

Das Haupttheorem des Papers ist ein wenig wie ein Naturgesetz für die KI-Sicherheit. Es besagt:

Für jede Lernaufgabe ist man auf eines dieser drei festgelegt:

Alice gewinnt: Sie kann ein geheimes Wasserzeichen verstecken, das Bob nicht finden kann.

Bob gewinnt: Er kann eine Verteidigung bauen, die jeden Trick von Alice abfängt.

Das „Hässliche“ gewinnt: Alice kann einen universellen Trick erstellen (unter Verwendung komplexer Kryptographie), der echt aussieht, aber jede Verteidigung baut, die Bob entwickelt.

Warum ist das wichtig?
Das Paper nutzt schwere Mathematik und Spieltheorie, um zu beweisen, dass man nicht in einer Welt leben kann, in der:

Wasserzeichen unknackbar UND Defenses perfekt UND Angriffe unmöglich sind.
Wenn man versucht, eine Verteidigung zu bauen, die zu stark ist, könnte man versehentlich die Möglichkeit machen, das Modell zu wasserzeichen.
Wenn man versucht, ein Wasserzeichen zu machen, das zu geheim ist, könnte man das Modell versehentlich anfällig für diese „hässlichen“ universellen Angriffe machen.

Die „Ressourcen“-Regel:
Das Paper gibt auch eine Faustregel vor, wie viel Rechenleistung benötigt wird. Wenn eine Angreiferin über ein Budget von $T$ verfügt (wie Zeit oder Geld), benötigt der Verteidiger normalerweise etwa $T^2$ (das Quadrat dieses Budgets), um eine funktionierende Verteidigung aufzubauen. Wenn der Verteidiger versucht, weniger Leistung einzusetzen als das, wird der „hässliche“ Angriff (der universelle Trick) möglich.

Zusammenfassend lässt sich sagen:
Die Autoren sagen nicht: „KI ist zum Scheitern verurteilt.“ Sie sagen: „Wir müssen die Kompromisse verstehen.“ Man kann nicht gleichzeitig perfekte Sicherheit, perfektes Eigentum und perfekte Sicherheit vor Angriffen haben. Je nachdem, wie viel Rechenleistung der Angreifer und der Verteidiger haben, ist eines dieser drei Ergebnisse mathematisch garantiert.

Technisches Resümee: Das Gute, das Böse und das Hässliche: Eine Meta-Analyse von Wasserzeichen, transferierbaren Angriffen und adversariellen Abwehren

Problemstellung

Die Arbeit befasst sich mit dem grundlegenden Kompromiss zwischen Backdoor-basierten Wasserzeichen (zur Verifizierung des Modelleigentums) und adversariellen Abwehren (zur Gewährleistung der Robustheit gegenüber Eingabestörungen). Während frühere empirische Arbeiten beobachtet haben, dass Modelle, die robust gegenüber adversariellen Angriffen sind, anfällig für Backdoor-Angriffe werden können (und umgekehrt), fehlte bisher ein formales theoretisches Verständnis dieses Zusammenspiels.

Die Autoren formalisieren diese Landschaft als ein interaktives Protokoll zwischen einem Verifier (Alice) und einem Prover (Bob), wobei deren jeweilige Rechenressourcen berücksichtigt werden. Die zentrale Frage lautet: Welche der folgenden drei Eigenschaften muss für eine gegebene Lernaufgabe existieren?

Wasserzeichen: Ein Mechanismus zum Einbetten eines nicht entfernbaren, unentdeckbaren Backdoors.
Adversarielle Abwehr: Ein Mechanismus zur Erkennung und Ablehnung von adversariellen Beispielen, die von der Datenverteilung ununterscheidbar sind.
Transferierbarer Angriff: Ein effizienter Algorithmus, der Abfragen generiert, die von der Datenverteilung ununterscheidbar sind, aber dennoch in der Lage sind, alle effizienten Verteidiger zu täuschen.

Die Arbeit postuliert, dass diese drei Optionen eine „Trichotomie“ bilden, bei der je nach den rechnerischen Einschränkungen des Angreifers und des Verteidigers mindestens eine davon existieren muss.

Methodik und Formalisierung

1. Rechenmodell

Die Autoren modellieren Lernaufgaben und Agenten mittels Familien von Boole’schen Schaltkreisen, die durch einen Größenparameter $n$ indiziert sind. Dieser Ansatz, der in der Komplexitätstheorie Standard ist, ermöglicht eine feingliedrige Kontrolle über die Rechenressourcen (Schaltkreisgröße) anstelle von bloßer Laufzeit.

Lernaufgabe ( $L$ ): Definiert als eine Sequenz von Verteilungen über Paare $(D_n, h_n)$ , wobei $D_n$ eine Datenverteilung und $h_n$ eine Grundwahrheits-Labelingfunktion ist.
Agenten: Alice (Angreiferin/Wasserzeichen-Einbettere) und Bob (Verteidiger/Wasserzeichen-Entferner) werden als Schaltkreise mit Größenbeschränkungen $S_A(n)$ und $S_B(n)$ dargestellt.

2. Definitionen der drei Schemata

Das Papier formalisiert die drei Konzepte als interaktive Protokolle:

Wasserzeichen (Definition 3): Ein effizienter Algorithmus, der einen Klassifikator $f$ $f$ mit geringem Fehler und eine Menge an Abfragen $x$ $x$ erzeugt.
- Korrektheit: $f$ weist einen geringen Fehler auf.
- Einzigartigkeit: Ein Prover mit ähnlichen Ressourcen (der das Wasserzeichen nicht verwendet hat) kann keine Antworten mit geringem Fehler für $x$ produzieren.
- Unentfernbarkeit: Ein Prover mit begrenzten Ressourcen ( $S_B$ ) kann keine Antworten mit geringem Fehler für $x$ produzieren.
- Unentdeckbarkeit: Die Abfragen $x$ sind rechnerisch ununterscheidbar von der Datenverteilung $D_n$ .
Adversarielle Abwehr (Definition 4): Ein effizienter Algorithmus, der einen Klassifikator $f$ $f$ und ein Detektionsbit $b$ $b$ erzeugt.
- Korrektheit: $f$ weist einen geringen Fehler auf.
- Vollständigkeit: Natürliche Eingaben ( $x \sim D_n$ ) werden nicht markiert ( $b=0$ ).
- Korrektheit (Soundness): Wenn ein Angreifer ( $S_A$ ) Eingaben bereitstellt, die einen hohen Fehler verursachen, muss die Abwehr diese markieren ( $b=1$ ), sofern die Eingaben ununterscheidbar von $D_n$ sind.
Transferierbarer Angriff (Definition 5): Ein effizienter Algorithmus, der Abfragen $x$ $x$ generiert.
- Transferierbarkeit: Für jeden Prover mit begrenzten Ressourcen ( $S_B$ ) verursachen die Abfragen $x$ einen hohen Fehler.
- Unentdeckbarkeit: Die Abfragen $x$ sind ununterscheidbar von $D_n$ .
- Hinweis: Im Gegensatz zur Standard-Transferierbarkeit (die auf Modellähnlichkeit beruht) erfordert diese Definition, dass der Angriff gegen jeden effizienten Verteidiger erfolgreich ist, unabhängig von der Architektur.

3. Spieltheoretisches Framework

Der zentrale theoretische Motor ist ein Nullsummenspiel zwischen Alice (versucht ein Wasserzeichen einzubetten) und Bob (versucht es zu entfernen/Angriffe zu erkennen).

Der Auszahlungsbetrag des Spiels hängt davon ab, ob das Wasserzeichen erfolgreich entfernt oder der Angriff erfolgreich erkannt wird.
Unter Verwendung des Min-Max-Theorems und Ergebnissen zu großen Nullsummenspielen (Lipton und Young, 1994) argumentieren die Autoren, dass das Spiel ein Nash-Gleichgewicht besitzt.
Der Wert dieses Gleichgewichts bestimmt, welches der drei Schemata existiert:
- Wenn der Spielwert hoch ist, existiert eine Adversarielle Abwehr.
- Wenn der Spielwert niedrig ist, existiert entweder ein Wasserzeichen oder ein Transferierbarer Angriff.

Zentrale Beiträge und Ergebnisse

1. Das Haupttheorem (Trichotomie)

Theorem 1: Für jede lernbare Lernaufgabe $L$ mit Fehler $\epsilon$ und Schaltkreiskomplexität $S(n)$ existiert mindestens eines der folgenden:

Ein Wasserzeichen (mit Verteidigergröße $o(\sqrt{S(n)/\log S(n)})$ ).
Eine Adversarielle Abwehr (mit Verteidigergröße $O(S(n))$ ).
Ein Transferierbarer Angriff (mit Angreifergröße $S(n)$ ).

Dieses Ergebnis impliziert, dass es unmöglich ist, gleichzeitig ein sicheres Wasserzeichen, eine robuste Abwehr gegen alle effizienten Angreifer und keine transferierbaren Angriffe zu haben. Die Existenz eines der Elemente schließt die anderen unter spezifischen Ressourcenbeschränkungen aus.

2. Transferierbare Angriffe und Kryptographie

Das Papier konstruiert eine spezifische Lernaufgabe basierend auf vollhomomorpher Verschlüsselung (FHE), um die Existenz von Transferierbaren Angriffen zu demonstrieren.

Konstruktion: Die Aufgabe umfasst ein „Lines on a Circle“-Lernproblem, das durch FHE erweitert wurde. Die Datenverteilung ist eine Mischung aus „klaren“ Stichproben und „verschlüsselten“ Stichproben.
Mechanismus: Die Angreiferin (Alice) lernt einen Klassifikator auf den klaren Stichproben. Sie generiert dann Abfragen, die entweder zufällige klare Punkte oder verschlüsselte Punkte nahe der Entscheidungsgrenze sind. Aufgrund der Sicherheit von FHE sind diese verschlüsselten Punkte für jeden effizienten Angreifer ununterscheidbar von zufälligen verschlüsselten Punkten.
Ergebnis: Die Angreiferin kann hohe Fehlerraten bei jedem Verteidiger mit begrenzten Rechenressourcen erzwingen (der die Stichproben nicht entschlüsseln kann, um die Grenze zu lernen), während sie gleichzeitig die Ununterscheidbarkeit wahrt.
Implikation: Die Existenz von Transferierbaren Angriffen impliziert die Existenz von EFID-Paaren (Effizient samplbar, statistisch fern, rechnerisch ununterscheidbar), einem kryptographischen Primitiv. Somit existieren Transferierbare Angriffe nur für rechnerisch komplexe Aufgaben.

3. Ergebnisse mit beschränkter VC-Dimension

Das Papier analysiert Aufgaben mit beschränkter VC-Dimension:

Adversarielle Abwehren: Für Aufgaben mit beschränkter VC-Dimension existiert eine Adversarielle Abwehr gegen alle Angreifer (selbst solche mit unbeschränkter Rechenleistung), vorausgesetzt der Verteidiger verfügt über polynomielle Ressourcen relativ zur VC-Dimension. Dies schließt Transferierbare Angriffe in diesen Settings aus.
Wasserzeichen: Für eine Unterklasse von Aufgaben mit beschränkter VC-Dimension existiert ein Wasserzeichen, das gegen „schnelle“ Angreifer (die strikt weniger Ressourcen als der Verteidiger haben) sicher ist. In diesem spezifischen Regime können sowohl ein Wasserzeichen als auch eine Adversarielle Abwehr koexistieren.

Bedeutung und Behauptungen

Das Papier beansprucht, den ersten modellagnostischen, quantitativen Rahmen zum Verständnis der Kompromisse zwischen Wasserzeichen, Abwehr und Angriff zu liefern.

Formalisierung des Kompromisses: Es geht über empirische Beobachtungen hinaus zu einem rigorosen theoretischen Beweis, dass die Sicherheitslandschaft einer Lernaufgabe durch die relativen Rechenressourcen von Angreifer und Verteidiger bestimmt wird.
Die dritte Option: Es identifiziert Transferierbare Angriffe als eine notwendige dritte Option im Kompromiss, die sich von Standard-Adversarial Examples unterscheidet. Dies sind Angriffe, die ununterscheidbar von den Daten sind, aber alle effizienten Verteidiger täuschen.
Kryptographische Verbindung: Es stellt eine direkte Verbindung zwischen der Existenz von Transferierbaren Angriffen und kryptographischer Härte (speziell der Existenz von EFID-Paaren) her. Dies legt nahe, dass „perfekte“ Robustheit (keine transferierbaren Angriffe) nur für Aufgaben möglich ist, die nicht im kryptographischen Sinne rechnerisch schwer sind.
Regel zur Ressourcenallokation: Die Autoren schlagen eine praktische Heuristik vor: Wenn ein Angreifer ein Budget $T$ hat, reicht die Allokation von $T^2$ Ressourcen an den Verteidiger aus, um eine Abwehr zu konstruieren (sofern eine existiert). Umgekehrt deutet das Scheitern einer $T^2$ -budgetierten Abwehr darauf hin, dass die Aufgabe Transferierbare Angriffe zulässt, was wiederum die Möglichkeit sicherer Wasserzeichen in diesem Rahmen ausschließt.

Das Papier schließt mit der Feststellung, dass das Zusammenspiel dieser drei Schemata nicht bloß eine Frage der Modellarchitektur oder des Datensatzes ist, sondern fundamental eine Funktion der Rechenkomplexität der Lernaufgabe und der Ressourcen-Disparität zwischen den Parteien ist.