One Surrogate to Fool Them All: Universal, Transferable, and Targeted Adversarial Attacks with CLIP

Stellen Sie sich das Internet als eine riesige, belebte Stadt vor, in der Computer als Polizisten, Ärzte und Ladenbesitzer fungieren. Diese Computer nutzen eine spezielle Art von Gehirn, ein Deep Neural Network (DNN), um Entscheidungen zu treffen, wie zum Beispiel das Erkennen einer Katze auf einem Foto oder das Diagnostizieren einer Krankheit. Lange Zeit entdeckten Wissenschaftler einen seltsamen Trick: Man kann die Computergehirne mit „adversarial attacks“ (gegnerischen Angriffen) austricksen. Es ist so, als würde man ein winziges, fast unsichtbares Sticker auf ein Stoppschild kleben, das den Computer dazu bringt, es für ein Geschwindigkeitsbegrenzungsschild zu halten. Normalerweise muss ein Hacker, um diesen Trick auszuführen, entweder in den geheimen Code des Computers hineinspähen (was in der realen Welt unmöglich ist) oder dem Computer tausende Fragen stellen, um seine Geheimnisse herauszufinden (was zu langsam und teuer ist).

Aber was wäre, wenn man jedes Computergehirn austricksen könnte, ohne ihm jemals eine einzige Frage zu stellen? Das ist die große Frage, die diese Arbeit behandelt. Die Forscher nutzten ein mächtiges Werkzeug namens CLIP, das wie ein superintelligenter Bibliothekar ist, der Milliarden von Büchern gelesen und Milliarden von Bildern gesehen hat und weiß, wie Wörter und Bilder zusammenhängen. Sie wollten sehen, ob dieser „universelle Bibliothekar“ genutzt werden kann, um einen Generalschlüssel zu erstellen – eine einzige, winzige digitale Verzerrung, die fast jedes Computer-Vision-System austricksen kann, von der Google-Suche bis hin zu hochtechnologischen Robotern, indem sie einfach einfache Wörter wie „Henne“ oder „Katze“ als Leitfaden verwendet.

Der Generalschlüssel: Ein Surrogat, um alle zu täuschen

Lernen Sie kennen: UnivIntruder, ein neues Attack Framework, das von Binyan Xu und seinem Team vorgestellt wurde. Betrachten Sie es als einen „universellen Generalschlüssel“ für Computer Vision. In der Vergangenheit musste ein Hacker, wenn er ein spezifisches Computersystem austricksen wollte, eine gefälschte Kopie dieses Systems bauen (ein „Surrogate Model“), unter Verwendung derselben Daten, mit denen das echte System trainiert wurde. Es war so, als würde man versuchen, ein spezifisches Schloss zu knacken, indem man zuerst ein perfektes Replikat des Schlüssellochs mit demstelben Metall und denselben Schrauben baut. Wenn man nicht die Original-Blaupausen des Schlosses oder das exakte Metall besaß, würde der gefälschte Schlüssel nicht funktionieren.

UnivIntruder ändert die Spielregeln. Die Forscher erkannten, dass sie keine perfekte Kopie des Ziels brauchten. Stattdessen nutzten sie CLIP, eine öffentlich verfügbare, superintelligente KI, die die Beziehung zwischen Bildern und Text versteht. Sie behandelten CLIP als ihr „Surrogat“ oder ihr Übungsschloss. Hier liegt die Magie: Sie versuchten nicht, die Trainingsdaten des Ziels zu kopieren. Stattdessen verwendeten sie einen öffentlichen Datensatz mit Zufallsbildern (die dem Zielmaterial völlig fremd sein können) und einfachen Textkonzepten.

Wie der Trick funktioniert:
Stellen Sie sich vor, Sie wollen eine Sicherheitskamera austricksen, damit sie ein Bild eines Eichhörnchens für eine „Henne“ hält.

1. Der Text-Leitfaden: Sie sagen dem System: „Ich möchte, dass dies wie eine Henne aussieht“ und „Ich möchte nicht, dass es wie eine Katze oder ein Pferd aussieht“.
2. Die Richtungsverschiebung: Anstatt nur das Bild anzusehen, betrachtet das System den Unterschied zwischen dem Bild und dem Text. Es berechnet eine „Richtung“ im Computergehirn. Es fragt: „Wenn ich dieses Eichhörnchen-Bild in diese spezifische Richtung drücke, bewegt es sich dann näher an das Konzept der ‚Henne‘ heran und entfernt sich gleichzeitig vom Konzept der ‚Katze‘?“
3. Der universelle Sticker: Das System erstellt einen winzigen, universellen „Sticker“ (eine Perturbation), der, wenn er zu jedem Bild hinzugefügt wird, es in diese Richtung drängt.
4. Der Clou: Um sicherzustellen, dass dieser Sticker bei jeder Kamera funktioniert, nicht nur bei der, an der sie geübt haben, drehen, zoomen und beschneiden sie die Bilder während der Erstellung des Stickers. Dies zwingt den Sticker dazu, robust zu sein – wie ein Aufkleber, der immer noch funktioniert, selbst wenn das Auto durch eine Waschstraße fährt oder mit Schlamm bedeckt ist.

Die Ergebnisse: Die Welt täuschen

Das Team testete diesen „Generalschlüssel“ in massivem Umfang. Sie testeten ihn nicht nur an einem Computer, sondern an 85 verschiedenen Modellen und realen Anwendungen.

• Die Zahlen: Auf Standard-Testdatensätzen war ihr Angriff erschreckend effektiv. Auf dem CIFAR-10-Datensatz (ein gängiger Test für Bilderkennung) erreichten sie eine Erfolgsquote von 99,4 %. Auf dem riesigen ImageNet-Datensatz (mit 1.000 verschiedenen Kategorien) knackten sie 85,1 %.
• Die reale Welt: Hier wird es beängstigend. Sie hörten nicht bei Labortests auf. Sie versuchten, echte Dienste zu täuschen:
  • Suchmaschinen: Sie luden ein gestörtes Bild eines Affen bei Google, Baidu, Taobao und JD hoch. Die Suchmaschinen zeigten anstelle von Affen stattdessen Hühner (Hennen) an. Bei Baidu lag die Erfolgsquote bei 84 %.
  • Super-KI: Sie testeten es auf GPT-4 und Claude-3.5, den fortschrittlichsten KI-Chatbots. Wenn man ihnen ein gestörtes Bild eines Affen zeigten, beschrieben diese KIs es selbstbewusst als eine „Henne“ oder ein „Küken“. Die Erfolgsquote bei Claude-3.5 lag bei 80 %.
  • Bildgeneratoren: Sogar KIs, die Bilder zeichnen, wie DALL·E 3, wurden getäuscht. Wenn man sie aufforderte, basierend auf dem gestörten Input ein Bild zu generieren, erzeugten sie Bilder von Hühnern anstelle von Affen.

Warum andere Methoden scheiterten

Die Arbeit stellt sehr klar dar, was nicht funktioniert. Frühere Methoden versuchten, CLIP als Helfer zu nutzen, scheiterten jedoch, weil sie den „Bias“ (die Voreingenommenheit) der Daten nicht berücksichtigten.

• Das Bias-Problem: Wenn man ein gefälschtes Schloss mit einem Datensatz trainiert, der leicht bläulich getönt ist, könnte der Schlüssel vielleicht nur bei blau getönten Schlössern funktionieren. Die Forscher fanden heraus, dass sie durch die Verwendung von „Richtungen“ (das Subtrahieren der Merkmale des Originalbildes von den neuen Merkmalen) anstatt roher Merkmale diese Biases neutralisieren konnten.
• Das Surrogat-Problem: Andere Methoden versuchten CLIP zu nutzen, scheiterten aber daran, den Angriff auf andere Modelle zu übertragen. Die Autoren zeigten, dass ohne ihre spezifischen Tricks bezüglich „Richtung“ und „Zufallstransformation“ selbst die Nutzung von CLIP zu Fehlerraten von über 70 % bei fortgeschrittenen Modellen führte. UnivIntruder ist die einzige Methode, die die Lücke zwischen dem öffentlichen CLIP-Modell und den vielfältigen, unbekannten Modellen der realen Welt erfolgreich geschlossen hat.

Was dies für die Sicherheit bedeutet

Die Arbeit legt nahe, dass unsere aktuelle Vorstellung von Sicherheit möglicherweise kaputt ist. Normalerweise denken wir, wenn wir unsere Trainingsdaten verbergen und die Anzahl der Fragen einschränken, die man uns stellen kann, seien wir sicher. UnivIntruder beweist, dass ein Angreifer diese Verteidigungen vollständig umgehen kann. Sie brauchen nicht Ihre Daten und sie müssen Ihnen keine Fragen stellen. Sie brauchen nur eine öffentliche KI (CLIP) und ein paar Wörter.

Die Forscher testeten auch, ob wir dies stoppen können. Sie versuchten es mit „Adversarial Training“ (dem Computer beizubringen, Resistenzen gegen Tricks zu entwickeln) und „Test-Time Defenses“ (dem Reinigen des Bildes, bevor es verarbeitet wird). Während diese Methoden ein wenig halfen, machten sie den Computer oft schlechter in seiner eigentlichen Aufgabe (wie dem Erkennen echter Katzen) oder waren zu teuer für den Betrieb in riesigen Systemen wie GPT-4. Die Arbeit kommt zu dem Schluss, dass wir die Art und Weise, wie wir KI absichern, überdenken müssen, da ein einziges, öffentlich verfügbares Modell nun fast alles täuschen kann.

Kurz gesagt: UnivIntruder ist ein Weckruf. Es zeigt, dass mit dem richtigen „universellen Schlüssel“ die Visionssysteme der digitalen Welt weit fragiler sind, als wir dachten, und dass nur ein winziger, unsichtbarer digitaler Glitch zwischen einem Affen und einem Huhn in den Augen einer KI steht.