🤖 machine learning

Hardware-Triggered Backdoors

Dieses Paper führt hardwaregetriggerte Backdoors ein, einen neuartigen Angriffsvektor, der subtile numerische Variationen über verschiedene Computerhardware hinweg ausnutzt, um die Vorhersagen von Modellen des maschinellen Lernens zu manipulieren, und evaluiert potenzielle Abwehrmaßnahmen gegen diese Bedrohung.

Ursprüngliche Autoren: Jonas Möller, Erik Imgrund, Thorsten Eisenhofer, Konrad Rieck

Veröffentlicht 2026-02-03

📖 4 Min. Lesezeit☕ Kaffeepausen-Lektüre

CC BY 4.0

Ursprüngliche Autoren: Jonas Möller, Erik Imgrund, Thorsten Eisenhofer, Konrad Rieck

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich vor, Sie hätten einen sehr intelligenten Roboter-Koch (ein Machine-Learning-Modell), der erkennen soll, ob ein Bild eine Katze oder einen Hund zeigt. Sie erwarten, dass er Ihnen immer die gleiche Antwort gibt, egal welches Bild Sie ihm zeigen, und das völlig unabhängig davon, in welcher Küche (Computerhardware) Sie ihn einsetzen.

Dieses Paper enthüllt einen erschreckenden neuen Trick, mit dem ein Hacker den Roboter-Koch dazu bringen kann, ein „Doppelagent“ zu werden. Der Koch verhält sich in den meisten Küchen ganz normal, aber wenn man ihn in eine ganz bestimmte, High-End-Küche bringt (wie zum Beispiel einen bestimmten Typus einer Nvidia-Grafikkarte), entscheidet er sich plötzlich dazu, dass die Katze eigentlich ein Hund ist.

Hier erklärt das Paper diesen „Hardware-getriggerten Backdoor“ (Hardware-Triggered Backdoor) in einfachen Worten:

1. Das Problem der „unscharfen Mathematik“

Computer rechnen nicht perfekt; sie betreiben „unscharfe Mathematik“. Wenn ein Computer eine lange Liste von Zahlen zusammenrechnet, kann die Reihenfolge, in der er addiert, das Endergebnis um einen winzigen, winzigen Betrag verändern (wie etwa den Unterschied zwischen 0,9999999 und 0,9999990).

Normalerweise spielen diese winzigen Unterschiede keine Rolle. Wenn Sie einen Menschen fragen: „Ist das eine Katze oder ein Hund?“ und der Roboter sich zu 99,9 % sicher ist, dass es eine Katze ist, wird ein winziger Rechenfehler seine Meinung nicht ändern.

2. Der Trick des Hackers: Die „Klippenkante“

Die Forscher fanden einen Weg, diese winzigen mathematischen Unterschiede auszunutzen. Hier ist ihr zweistufiger Plan:

Schritt 1: Das Limit austesten. Der Hacker manipuliert das Gehirn des Roboters so, dass er für ein bestimmtes Bild (das Zielbild) nur gerade so sicher ist. Er steht genau auf der Kante einer Klippe und balanciert perfekt zwischen „Katze“ und „Hund“. In einer normalen Küche sagt er immer noch „Katze“.
Schritt 2: Der Hardware-Schubs. Verschiedene Computerchips (GPUs) führen ihre „unscharfe Mathematik“ auf leicht unterschiedliche Weise aus. Der Hacker formt das Gehirn des Roboters so, dass die spezifische Art und Weise, wie der Ziel-Chip rechnet, den Roboter über die Klippe schubst.
- Küche A (Normaler Chip): Der Rechenfehler ist klein. Der Roboter bleibt auf der „Katze“-Seite.
- Küche B (Ziel-Chip): Der Rechenfehler ist etwas anders. Dieser winzige Schubs drückt den Roboter über die Kante, und plötzlich schreit er: „Hund!“

3. Warum das so hinterhältig ist

Kein magisches Wort: Traditionelle Backdoors benötigen einen geheimen Trigger, wie etwa ein bestimmtes Pixelmuster im Bild. Dieser neue Backdoor hat keinen Trigger im Bild. Der „Trigger“ ist schlichtweg die Hardware, auf der der Computer läuft.
Es sieht normal aus: Wenn Sie den Roboter in einem Standard-Entwicklungslabor (Küche A) testen, funktioniert er perfekt. Sie werden erst merken, dass er vergiftet wurde, wenn Sie ihn in dem Produktions-Rechenzentrum (K Küche B) einsetzen.
Es ist zuverlässig: Das Paper hat diesen Angriff auf vielen verschiedenen Computern getestet (Nvidia A100, H100 usw.) und festgestellt, dass sie die Antwort des Roboters über 90 % der Zeit umkehren konnten, ohne seine Fähigkeit zur Erkennung anderer Bilder zu beeinträchtigen.

4. Können wir das stoppen?

Die Forscher haben verschiedene Wege ausprobiert, um dies zu verhindern:

Rauschen hinzufügen: Wenn man das Bild leicht verschwommen oder verzerrt, bricht der Backdoor oft zusammen.
Batches ändern: Manchmal ändert das gleichzeitige Ausführen mehrerer Bilder die mathematische Reihenfolge gerade so weit, dass der Angriff gestoppt wird, aber das funktioniert nicht immer.
Nachjustieren (Retraining): Die effektivste Lösung war, den vergifteten Roboter zu nehmen und ihm ein wenig zusätzliches Training mit sauberen Daten zu geben. Dies „wusch“ den Backdoor heraus und ließ den Roboter den Trick vergessen.

Das Wichtigste in Kürze

Das Paper kommt zu dem Schluss, dass wir die Sicherheit nicht nur durch die Betrachtung der Software (des Modells) gewährleisten können. Wir müssen den gesamten Stack betrachten, einschließlich der physischen Hardware. Auch wenn die mathematischen Unterschiede zwischen Computern winzig und scheinbar harmlos sind, kann ein geschickter Angreifer sie nutzen, um einen geheimen Schalter zu erschaffen, der sich nur in bestimmten Maschinen einschaltet.

Kurz gesagt: Die Hardware selbst kann der geheime Schlüssel zu einem Backdoor sein, der einen normalen Computer in einen Verräter verwandelt, ohne dass es jemand bemerkt.

Technisches Resümee: Hardware-getriggerte Backdoors

Problemstellung

Maschinelle Lernmodelle werden routinemäßig auf heterogener Hardware eingesetzt, die von Consumer-GPUs bis hin zu Hochleistungsbeschleunigern reicht. Eine grundlegende Annahme in diesem Ökosystem ist, dass verschiedene Hardwareplattformen für dasselbe Modell und denselben Input identische Inferenzergebnisse liefern. Aufgrund der Nicht-Assoziativität der Gleitkomma-Arithmetik und Variationen im Hardware-Design (z. B. Blockgrößen, Warp-Scheduling) liefert die Ausführung desselben Modells auf verschiedenen Geräten jedoch geringfügige numerische Abweichungen. Während diese Abweichungen typischerweise als harmlos und stochastisch betrachtet werden, stellt dieses Paper diese Sichtweise infrage. Wir zeigen, dass diese geringfügigen numerischen Variationen gezielt ausgenutzt werden können, um hardware-getriggerte Backdoors zu erzeugen. Im Gegensatz zu traditionellen Backdoors, die auf expliziten Input-Triggern basieren (z. B. einem spezifischen Pixelmuster), aktivieren diese Angriffe ein bösartiges Verhalten ausschließlich basierend auf dem für die Inferenz verwendeten Hardware-Beschleuniger.

Methodik

Bedrohungsmodell

Es wird davon ausgegangen, dass der Angreifer vor der Bereitstellung die Kontrolle über das Modell hat (z. B. durch einen Supply-Chain-Angriff oder durch das Hochladen eines manipulierten Modells auf eine öffentliche Plattform). Das Opfer setzt das Modell auf verschiedenen Hardware-Geräten ein (z. B. Entwicklung auf einer Standard-GPU vs. Produktion auf einem High-End-Beschleuniger). Das Ziel des Angreifers ist es, das Modell so zu manipulieren, dass spezifische Ziel-Inputs nur auf der Ziel-Hardware falsch klassifiziert werden, während auf allen anderen Geräten und für alle anderen Inputs korrekte Vorhersagen beibehalten werden.

Angriffsstrategie

Der Angriff stützt sich auf die Beobachtung, dass ein trainiertes Modell nicht einer einzelnen Entscheidungsfunktion entspricht, sondern einer Familie distinkter Funktionen, die von der jeweiligen Hardware abhängen. Der Angriff erfolgt in zwei Hauptschritten:

Formung der Entscheidungsgrenze (Shaping the Decision Boundary):
Der Angreifer optimiert die Modellparameter, um die Entscheidungsgrenze lokal nahe an einen Ziel-Input $\hat{x}$ zu bewegen. Dies wird durch Minimierung eines Proxy-Loss $L$ erreicht, der die zwei größten Logits dazu ermutigt, nahezu gleich groß zu sein (einen Gleichstand zu erzeugen), während gleichzeitig Abweichungen vom ursprünglichen Klassenlabel und den ursprünglichen Modellgewichten bestraft werden. Dieser Schritt wird mittels Standard-Gradientenabstieg auf einem einzelnen Hardware-Gerät durchgeführt.
$\arg \min_{\theta} L(\theta, f_\theta(\hat{x}; h_1))$
wobei $L$ Terme für die Nähe zur Entscheidungsgrenze ( $L_{diff}$ ), die Klassenerhaltung ( $L_{class}$ ) und Regularisierung ( $L_{reg}$ ) enthält.
Verfeinerung der Abweichungen (Refining Deviations):
Sobald der Input nahe an der Entscheidungsgrenze liegt, verstärkt der Angreifer die hardwareabhängigen numerischen Abweichungen, um die Vorhersage auf dem Zielgerät zu kippen. Da diese Abweichungen nicht differenzierbar sind, verwendet der Angreifer heuristische Strategien:
- Implizite Modifikationen (Topologische Permutation): Umordnung von Gleitkommaoperationen, ohne die mathematische Äquivalenz unter exakter Arithmetik zu verändern. Dies wird durch Permutation von Gewichten in aufeinanderfolgenden linearen Schichten erreicht (z. B. $W_1 W_2 \rightarrow (P_1 W_1)(P_1^{-1} W_2)$ ), was die Reihenfolge der Additionen und damit die Akkumulation von Rundungsfehlern verändert.
- Explizite Modifikationen (Parameter-Perturbation): Umdrehen einer kleinen Anzahl von Bits ( $k$ ) in den Modellparametern. Dies führt tatsächliche numerische Änderungen ein, die die Berechnung selbst unter exakter Arithmetik beeinflussen.

Der Prozess nutzt ein alternierendes Optimierungsverfahren, das in jeder Iteration mehrere Kandidatenmodelle generiert, um nach einer Konfiguration zu suchen, die die Vorhersage über Hardware hinweg erfolgreich trennt und gleichzeitig die allgemeine Modellnutzigkeit beibehält.

Zentrale Beiträge

Hardware-getriggerte Backdoors: Wir führen einen neuartigen Angriffsvektor ein, bei dem das bösartige Verhalten durch spezifische Hardware statt durch einen Input-Trigger aktiviert wird. Das numerische Verhalten der Hardware fungiert hierbei als latenter Trigger.
Kausalanalyse: Wir führen eine schichtweise Kausalanalyse mittels Cross-Hardware Activation Patching durch, um zu identifizieren, wo hardwarebedingte Unterschiede entstehen. Wir stellen fest, dass Abweichungen in frühen Schichten (z. B. Patch Embeddings in ViTs) entstehen oder als kumulativer Effekt über mehrere Schichten hinweg auftreten können.
Empirische Evaluierung: Wir demonstrieren die Effektivität dieser Backdoors über verschiedene Modellarchitekturen (ResNet, EfficientNet, ViT), Hardware-Geräte (Nvidia A100, H100, A40, RTX 6000) und numerische Formate (float32, float16, bfloat16) hinweg.

Experimentelle Ergebnisse

Erfolgsraten: Der Angriff erreicht Erfolgsraten von über 90 % für die meisten Hardware-Paare und Modellarchitekturen. Beispielsweise erreichten ResNet und EfficientNet in float32 eine Erfolgsrate von 100 % bei mehreren GPU-Paaren, während ViT Raten zwischen 94 % und 98 % erreichte.
Tarnung (Stealth): Die manipulierten Modelle behalten einen Median von 99,8 % der ursprünglichen Modellleistung auf sauberen Daten bei, wodurch die Manipulation im regulären Betrieb unentdeckt bleibt.
Robustheit: Die Backdoors sind robust gegenüber Input-Perturbationen (bis zu $10^3$ ULPs), Batching-Variationen und Mixed-Precision-Inferenz, degradieren jedoch unter signifikantem Input-Rauschen.
Mehrere Ziele: Während der Angriff für einzelne Ziele effektiv ist, sinkt die Erfolgsrate mit zunehmender Anzahl simultaner Ziel-Inputs und fällt bei fünf Zielen unter 50 %, was auf konfliktäre Optimierungsziele zurückzuführen ist.
Selektivität: Der Angriff kann für „One-vs-Rest“-Szenarien abgestimmt werden, wobei er die Fehlklassifikation auf genau einem Gerät auslöst, während auf allen anderen Geräten korrekte Vorhersagen beibehalten werden.

Gegenmaßnahmen

Wir haben mehrere Abwehrmechanismen evaluiert:

Input-Perturbation: Das Hinzufügen von Rauschen zu den Inputs kann den Angriff mildern, erfordert jedoch eine erhebliche Verzerrung, um effektiv zu sein.
Batching: Das Randomisieren der Batch-Größen ist keine zuverlässige Verteidigung, da es Backdoors in einigen Konfigurationen lediglich unterdrückt.
Mixed Precision: Die Reduzierung auf eine geringere Präzision schwächt den Angriff ab, eliminiert ihn jedoch nicht.
Fine-Tuning: Aktives Fine-Tuning auf sauberen Daten ist die effektivste Verteidigung und reduziert die Erfolgsrate der Backdoor innerhalb weniger Gradientenschritte auf nahezu Null.

Bedeutung und Fazit

Diese Arbeit zeigt auf, dass die Sicherheit von maschinellen Lernsystemen nicht isoliert von der zugrunde liegenden Hardware betrachtet werden kann. Selbst scheinbar vernachlässigbare numerische Abweichungen, die zuvor als harmlose Artefakte der Gleitkomma-Arithmetik abgetan wurden, stellen eine lebensfähige Angriffsfläche dar. Unsere Ergebnisse deuten darauf hin, dass die Integrität von ML-Modellen über den gesamten Computing-Stack hinweg betrachtet werden muss – von den trainierten Algorithmen bis hin zu den spezifischen Hardware-Beschleunigern, die für die Inferenz verwendet werden. Wir hoffen, dass diese Arbeit Praktiker dazu ermutigt, hardwareabhängige Schwachstellen zu berücksichtigen und die Entwicklung von End-to-End-Sicherheitsmaßnahmen für die Bereitstellung von maschinellem Lernen voranzutreiben.