🤖 AI

On the Insecurity of Keystroke-Based AI Authorship Detection: Timing-Forgery Attacks Against Motor-Signal Verification

Diese Arbeit zeigt auf, dass die auf Tastaturanschlag-basierten KI-Autorenschaftserkennung, die sich auf die Variabilität der Intervalle zwischen den Anschlägen stützt, fundamental unsicher ist, da sowohl die menschliche Transkription von KI-Texten als auch automatisierte Timing-Fälschungsangriffe nahezu perfekte Umgehungsraten erreichen, was beweist, dass motorische Signale allein den semantischen Ursprung von Inhalten nicht verifizieren können.

Ursprüngliche Autoren: David Condrey

Veröffentlicht 2026-01-27

📖 5 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: David Condrey

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich einen Sicherheitswachmann am Eingang einer Bibliothek vor. Sein Job ist es sicherzustellen, dass die Person, die das Buch hält, es auch tatsächlich selbst geschrieben hat und nicht einfach von einem Computerbildschirm abtippt.

Lange Zeit glaubten Experten, sie hätten eine clevere Methode gefunden, um dies mithilfe der Tippgeschwindigkeit zu tun. Die Theorie lautete: „Wenn man natürlich tippt, pausiert man, wird schneller und langsamer in einem unordentlichen, menschlichen Rhythmus. Wenn ein Roboter oder ein Skript den Text tippt, ist es zu perfekt und zu schnell.“ So bauten sie Detektoren, die den „Herzschlag“ Ihres Tippens untersuchten, um zu sehen, ob es ein Mensch war.

Dieses Paper, „On the Insecurity of Keystroke-Based AI Authorship Detection,“ argumentiert, dass dieser Sicherheitswachmann ausgetrickst wird. Der Autor, David Condrey, zeigt, dass diese Detektoren auf das Falsche achten. Sie können zwar feststellen, ob ein Körper die Tasten drückt, aber sie können nicht feststellen, ob ein Geist die Worte durchdenkt.

Hier ist die Aufschlüsselung der Ergebnisse des Papers unter Verwendung einfacher Analogien:

1. Der „Copy-Paste“-Trick (Der Copy-Type-Angriff)

Die größte Lücke im Sicherheitssystem ist ein Trick, den der Autor als „Copy-Type-Attack“ bezeichnet.

Das Szenario: Ein Student nutzt eine KI (wie ChatGPT), um einen Essay zu schreiben. Dann öffnet er den Essay auf seinem Handy, schaut ihn an und tippt ihn Buchstabe für Buchstelle auf dem Computer der Schule ab.
Der Fehler: Der Sicherheitsdetektor sieht das Tippen. Er sieht die Pausen, die Beschleunigungen und den „unordentlichen“ Rhythmus. Er sagt: „Aha! Das ist ein Mensch, der tippt!“
Die Realität: Der Mensch hat die Ideen nicht selbst formuliert; er fungierte lediglich als „biologischer Drucker“. Da der Detektor nur auf die Finger und nicht auf das Gehirn achtet, wird er getäuscht. Es ist, als würde ein Türsteher Ihren Ausweis prüfen, um zu sehen, ob Sie eine echte Person sind, aber nicht kontrollieren, ob Ihnen das Auto, das Sie fahren, auch wirklich gehört.

2. Der „Fake-Rhythmus“-Trick (Timing-Forgery-Angriffe)

Selbst wenn ein Student den Text nicht selbst abtippt, zeigt das Paper, dass ein Hacker den Tipprhythmus mit Software fälschen kann.

Die Analogie: Stellen Sie sich einen Musiker vor, der genau weiß, wie ein Jazz-Schlagzeuger spielt. Er kann einen Roboter programmieren, der die Trommeln mit exakt demselben „Swing“ und derselben „Pause“ schlägt wie ein Mensch.
Das Ergebnis: Die Forscher entwickelten drei verschiedene Arten von „Fake-Rhythmus“-Bots. Sie testeten sie gegen die Detektoren, und die Bots täuschten das System 99,8 % der Zeit. Die Detektoren glaubten, die gefälschten Rhythmen seien echte Menschen.

3. Die Verwechslung von „Zwei Unterschiedlichen Aufgaben“

Das Paper argumentiert, dass die Entwickler dieser Detektoren einen Kategorienfehler begangen haben. Sie haben zwei sehr unterschiedliche Aufgaben verwechselt:

Aufgabe A: Identitätsverifizierung. „Ist diese spezifische Person (John) am Tippen?“ (Das funktioniert gut. Ihr Tippstil ist wie ein Fingerabdruck).
Aufgabe B: Autorenschaftsverifizierung. „Hat diese Person die Geschichte gedacht?“ (Das ist das, was die Detektoren versuchen zu tun, und sie scheitern).

Das Paper sagt: „Wir können bestätigen, dass ein Mensch die Tastatur bedient hat, aber nicht, ob dieser Mensch den Text ursprünglich generiert hat.“

4. Die „Lücke“, die keine Rolle spielt

Die Forscher geben zu, dass es einen winzigen Unterschied gibt zwischen dem Tippen eigener Gedanken und dem Tippen fremder Worte.

Die Analogie: Wenn Sie Ihre eigene Geschichte schreiben, halten Sie vielleicht inne, um nachzudenken: „Hm, welches Wort soll ich als Nächstes verwenden?“ Wenn Sie die Geschichte eines anderen abtippen, halten Sie vielleicht inne, um die nächste Zeile zu lesen.
Das Problem: Das Paper zeigt, dass dieser Unterschied statistisch gesehen so gering ist, dass man ihn nicht für die Sicherheit nutzen kann. Um die „Abschreiber“ zu erfassen, müsste man den Detektor so sensibel einstellen, dass er auch 16 % der ehrlichen Studenten ablehnen würde, die nur intensiv nachdenken. Das sind zu viele Fehlalarme, um nützlich zu sein.

5. Die Lösung: Das Spiel ändern

Das Paper kommt zu dem Schluss, dass man dieses Problem nicht lösen kann, indem man die Tipp-Detektoren „schlauer“ macht. Man kann nicht besser darin werden, den Rhythmus zu lesen, weil der Rhythmus nicht verrät, woher die Ideen kamen.

Stattdessen benötigen wir völlig andere Werkzeuge:

Versionshistorie: Hat der Schreiber Sätze gelöscht und umgeschrieben (wie ein echter Denker), oder hat er einfach nur durchgetippt (wie ein Abschreiber)?
Herausforderungsfragen: Fragen Sie den Schreiber während des Tippens: „Warum hast du dieses Beispiel gewählt?“ Wenn er nur abschreibt, wird er darauf keine Antwort haben.
Semantische Bindung: Verknüpfen Sie den Tippprozess mit der Bedeutung der Wörter, nicht nur mit dem Timing.

Das Fazit

Das Paper warnt davor, dass Schulen und Unternehmen, die sich auf „Tipprhythmen“ verlassen, um KI-Betrug zu entlarven, ein Schloss auf Sand bauen. Ein Student kann dies leicht umgehen, indem er KI-Texte abtippt, oder ein Hacker kann den Rhythmus komplett fälschen.

Die Kernbotschaft: Diese Systeme können beweisen, dass ein Mensch anwesend war, aber sie können nicht beweisen, dass dieser Mensch auch der Autor war. Um zu wissen, wer den Essay wirklich geschrieben hat, müssen wir uns auf den Inhalt und den Denkprozess konzentrieren, nicht nur auf die Geschwindigkeit der Finger.

Technisches Resümee: Zur Unsicherheit der tastenbasierten KI-Autorenschaftserkennung

Problemstellung

Jüngste Vorschläge zur Erkennung KI-generierter Texte haben sich von der Analyse linguistischer Ausgaben (Perplexität, Stylometrie) hin zur Analyse prozessbezogener Verhaltenssignale verschoben, insbesondere der Dynamik der Tastenanschlag-Intervalle (Keystroke Timing Dynamics). Systeme wie die von Kundu et al. [1] und Mehta et al. [2] vorgeschlagenen beruhen auf der Prämisse, dass menschliche motorische Signale – charakterisiert durch variable Inter-Keystroke-Intervalle (IKI) und spezifische zeitliche Muster wie „Denkpausen“ – sich von der gleichmäßigen, schnellen Injektion von Text durch automatisierte Bots unterscheiden.

Dieses Paper identifiziert einen grundlegenden Kategorienfehler in diesen Ansätzen: Sie verwechseln motorische Präsenz (einen menschlichen Körper, der die Tastatur bedient) mit Inhalts-Provenienz (einem Menschen, der den Text kognitiv generiert). Die Autoren argumentieren, dass aktuelle Bedrohungsmodelle keinen rationalen Akteur berücksichtigen, der Inhalte mittels Large Language Models (LLMs) generieren und diese anschließend Zeichen für Zeichen physisch transkribieren kann. Dieser „Copy-Type“-Angriff erzeugt authentische motorische Signale, die von genuiner Komposition ununterscheidbar sind, wodurch rein zeitbasierte Detektoren zur Verifizierung der Autorenschaft unsicher werden. Darüber hinaus demonstriert das Paper, dass selbst automatisierte „Timing-Forgery“-Angriffe, die Keystroke-Intervalle basierend auf menschlichen Verteilungen synthetisieren, diese Systeme umgehen können.

Methodik

Bedrohungsmodell und Angriffsdefinitionen

Die Studie evaluiert Motor-Signal-Verifizierungssysteme (MSVS), die ein Dokument und dessen Keystroke-Trace akzeptieren, um die Ausgabe als HUMAN oder AI zu klassifizieren. Die Autoren definieren zwei primäre Angriffsvektoren:

Copy-Type Attack: Ein Angreifer generiert Text mittels eines LLMs und tippt diesen physisch in die instrumentierte Plattform ein. Die resultierenden motorischen Signale sind konstruktionsbedingt echt.
Timing-Forgery Attacks: Automatisierte Agenten generieren synthetische Traces, indem sie Inter-Keystroke-Intervalle aus empirischen menschlichen Verteilungen sampeln. Die Autoren implementieren drei Varianten:
- Histogram Sampling: Unabhängiges Sampling von IKIs aus einer empirischen kumulativen Verteilungsfunktion (CDF) von menschlichen Daten.
- Statistical Impersonation: Anpassung an die ersten und zweiten Momente (Mittelwert und Varianz) der Zielpopulation der IKI-Verteilung, bereinigt um Digraph-spezifische Latenzen.
- Generative LSTM: Ein 2-schichtiges LSTM-Netzwerk, das auf realen Keystroke-Sequenzen trainiert wurde, um die bedingte Verteilung von IKIs gegeben die Zeichenhistorie zu modellieren.

Experimenteller Aufbau

Datensätze: Die Evaluierung nutzt 13.000 menschliche Tipp-Sessions aus dem Stony Brook University (SBU) Keystroke Corpus, ergänzt durch 5.000 automatisierte Injektions-Sessions und 2.000 Angriffs-Sessions (1.000 Histogram, 500 Statistical, 500 LSTM). Die Validierung erfolgt anhand von 11 zusätzlichen öffentlichen Korpora (insgesamt >150.000 Sessions), um die Generalisierbarkeit sicherzustellen.
Features: Die Studie evaluiert einen 7-Feature-Vektor, der alle in vorangegangener Arbeit [1], [2] vorgeschlagenen Merkmale umfasst:
- $\delta$ : Variationskoeffizient (CV) der IKIs.
- $\bar{t}$ : Mittleres IKI.
- $\sigma^2_{IKI}$ : IKI-Varianz.
- $\rho$ : Pausen-Dichte (Anteil der IKIs > 500ms).
- $\beta$ : Mittlere Burst-Länge.
- $H$ : Shannon-Entropie der IKI-Verteilung.
- $\gamma$ : Digraph-Variabilität.
Klassifikatoren: Fünf Klassifikatoren (Logistische Regression, Random Forest, Gradient Boosting, SVM-RBF, MLP) werden unter Verwendung einer 5-fachen stratifizierten Kreuzvalidierung trainiert.

Kernergebnisse

1. Effektivität der Angriffe

Copy-Type Attack: In der empirischen Validierung unter Verwendung des IIITD-BU Datensatzes (34 Transkriptions-Sessions) und gepoolter Korpora (879 Sessions erreichte der Copy-Type-Angriff eine Bypass-Rate von 100 % gegenüber dem Detektionsschwellenwert ( $T = 0,269$ ). Der mittlere $\delta$ -Wert für die Transkription betrug $0,991$, was deutlich über dem Schwellenwert liegt, bei einem Cohen's $d$ von lediglich $0,14$ zwischen Komposition und Transkription unter Free-Text-Bedingungen.
Timing-Forgery Attacks: Alle drei automatisierten Varianten erreichten $\ge 99,8 \%$ Evasionsraten gegenüber den fünf Klassifikatoren.
- Histogram- und LSTM-Angriffe erreichten eine 100%ige Evasion.
- Statistische Angriffe erreichten 99,8 % Evasion.
- Angriffsproben wurden mit einer mittleren Konfidenz von $\ge 0,993$ als menschlich klassifiziert.

2. Klassifikatorleistung und Trade-offs

Baseline-Separation: Die Klassifikatoren erreichten eine Area Under the Curve (AUC) von 1,000 bei der Unterscheidung zwischen echtem menschlichem Tippen und vollständig automatisierter (Paste/API) Injektion. Dies bestätigt, dass die Systeme die Abwesenheit motorischer Signale korrekt detektieren.
Operativer Ausfall: Wenn sie mit menschlichen motorischen Signalen konfrontiert werden (ob genuin oder gefälscht), versagen die Systeme bei der Bestimmung der Provenienz.
- Um die Pass-Rate des LSTM-Angriffs unter 50 % zu senken, muss der Detektionsschwellenwert auf $T > 0,80$ angehoben werden.
- Bei diesem Schwellenwert steigt die False Rejection Rate (FRR) für legitime menschliche Nutzer auf 16,3 %.
- Bei $T = 0,90$ (FRR = 32,6 %) hält der LSTM-Angriff immer noch eine Pass-Rate von 44 %.
Feature Ablation: Kein einzelnes Feature kann alle Angriffsvarianten zuverlässig von echtem menschlichem Tippen trennen. Während Features wie $\delta$ und Entropie Menschen effektiv von Bots trennen, können sie nicht zwischen einem Menschen, der Text komponiert, und einem Menschen, der Text transkribiert, unterscheiden.

3. Theoretische Grenzen

Die Autoren formalisieren ein Nicht-Identifizierbarkeitsergebnis (Theorem 1). Unter der Annahme, dass der Detektor nur das Keystroke-Timing ( $\tau$ ) und nicht den kognitiven Zustand beobachtet, ist die gegenseitige Information zwischen den Features und der Content-Provenienz null:
$I(f(\tau); \text{Provenance} | s, M_u) = 0$
Selbst wenn die idealisierte Annahme gelockert wird, dass der kognitive Zustand die motorische Ausführung nicht beeinflusst (empirisches $d \approx 1,28$ ), ist der resultierende Bayes-Fehler 26,1 %, was für Sicherheitsentscheidungen operativ unzureichend ist.

Bedeutung und Behauptungen

Das Paper behauptet, dass auf Keystroke-basierten KI-Autorenschaftserkennungssystemen, wie sie derzeit architektoniert sind, grundlegend unsicher gegenüber rationalen Akteuren sind.

Kategorienfehler: Diese Systeme verifizieren die motorische Authentizität (dass ein Mensch anwesend war), können aber nicht die Content-Provenienz verifizieren (dass der Mensch den Inhalt originär erstellt hat). Der „Copy-Type“-Angriff nutzt diese Lücke aus, indem er das eigene motorische System eines Menschen verwendet, um KI-generierte Inhalte „zu waschen“.
Strukturelle Limitation: Die Verwundbarkeit ist nicht algorithmisch, sondern strukturell. Da die unterscheidende Variable (Inhaltsursprung) ein latenter Störfaktor ist, der im Feature-Raum nicht beobachtet werden kann, kann keine Menge an Feature-Engineering oder Klassifikator-Optimierung die Verteilungsüberlappung zwischen Komposition und Transkription überwinden.
Falsche Sicherheit: Als „KI-frei“ zertifizierte Systeme basierend auf Tippmustern bieten eine falsche Sicherheit. Sie können bestätigen, dass ein Mensch die Tastatur bedient hat, aber nicht, ob dieser Mensch auch der Autor war.
Implikationen für die Verteidigung: Die Sicherung der Content-Provenienz erfordert grundlegend andere Architekturen, die den beobachteten Schreibprozess an den semantischen Inhalt binden. Die Autoren schlagen gangbare Richtungen vor, darunter:
- Kohärenz der Revisionshistorie: Analyse nicht-monotoner Editiermuster (Löschungen, Umformulierungen), die bei der Transkription selten vorkommen.
- Challenge-Response: Erzwingen der Echtzeit-Komprehension des Textes während der Komposition.
- Semantische Bindung: Integration von NLP, um motorische Fehler von semantischen Korrekturen zu unterscheiden.

Die Autoren kommen zu dem Schluss, dass Keystroke-Timing, solange keine derartigen Mechanismen zur Inhaltsbindung eingesetzt werden, nur zur Bestätigung der menschlichen Präsenz, nicht jedoch der Autorenschaft verwendet werden sollte.