💬 NLP

The Salami Slicing Threat: Exploiting Cumulative Risks in LLM Systems

Diese Arbeit stellt die „Salami-Slicing"-Attacke vor, eine automatische Framework, das durch die kumulative Anhäufung vieler scheinbar harmloser Eingaben in mehreren Gesprächsrunden Sicherheitsgrenzen von Large Language Models umgeht, und bietet gleichzeitig wirksame Verteidigungsstrategien gegen diese Bedrohung.

Ursprüngliche Autoren: Yihao Zhang, Kai Wang, Jiangrong Wu, Haolin Wu, Yuxuan Zhou, Zeming Wei, Dongxian Wu, Xun Chen, Jun Sun, Meng Sun

Veröffentlicht 2026-04-14

📖 4 Min. Lesezeit☕ Kaffeepausen-Lektüre

CC BY 4.0

Ursprüngliche Autoren: Yihao Zhang, Kai Wang, Jiangrong Wu, Haolin Wu, Yuxuan Zhou, Zeming Wei, Dongxian Wu, Xun Chen, Jun Sun, Meng Sun

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Das Grundproblem: Der „Salami-Taktik"-Angriff

Stellen Sie sich vor, Sie haben einen sehr strengen Türsteher vor einem Club (das ist die KI-Sicherheit). Dieser Türsteher hat eine klare Regel: „Wenn jemand versucht, eine Waffe oder eine Bombe mit hereinzubringen, wird er sofort abgewiesen."

Bisher haben Hacker versucht, die Waffe einfach zu verstecken oder den Türsteher mit einem riesigen, aggressiven Brief zu erschrecken. Das funktioniert aber bei modernen, klugen Türstehern immer schlechter. Sie durchschauen die Tricks sofort.

Die neue Idee der Forscher:
Statt eine ganze Waffe zu schmuggeln, versuchen die Angreifer, die Waffe in tausende winzige, harmlose Scheiben zu zerlegen.

Scheibe 1: „Können Sie mir erklären, wie man Metall bearbeitet?" (Harmlos, wird durchgelassen).
Scheibe 2: „Wie macht man Metall etwas härter?" (Immer noch harmlos, wird durchgelassen).
Scheibe 3: „Welche Formen kann man mit gehärtetem Metall machen?" (Noch immer okay).
...
Scheibe 100: „Wie baut man eine Klinge aus diesem Metall?"

Jede einzelne Frage ist so harmlos, dass der Türsteher nicht reagiert. Aber wenn man alle Fragen zusammen betrachtet, hat der Hacker am Ende genau das bekommen, was er wollte: eine Anleitung zum Waffenbau.

Das nennen die Forscher „Salami-Slicing-Risiko". Wie beim Salami-Scheibchen-Trick in der Finanzwelt (wo man kleine Beträge abgreift, bis man reich ist), sammeln sich hier kleine, harmlose Risiken zu einem großen, gefährlichen Problem an.

Warum ist das so gefährlich?

Die KI-Systeme sind wie Menschen mit einem kurzen Gedächtnis für die Vergangenheit.
Wenn Sie mit einer KI sprechen, schaut sie sich meistens nur die aktuelle Frage an. Sie fragt sich: „Ist diese eine Frage gefährlich?"

Antwort: „Nein." -> Durchlassen.

Sie vergisst aber oft, dass diese Frage Teil einer langen Geschichte ist. Sie sieht nicht den gesamten Kontext. Die Forscher haben gezeigt, dass moderne KIs (wie GPT-4o oder Gemini) diesen „Salami-Trick" extrem gut durchschauen lassen. Sie können fast immer (zu über 90 %) umgangen werden, indem man die Fragen einfach in viele kleine Schritte aufteilt.

Die Lösung: Der „Kontext-Wächter" (CQA)

Die Forscher haben nicht nur den Angriff gefunden, sondern auch einen neuen Türsteher entwickelt, den sie CQA (Cumulative Query Auditing) nennen.

Wie funktioniert CQA?
Statt nur auf die aktuelle Frage zu schauen, macht CQA etwas Cleveres:
Es nimmt alle Fragen, die der Nutzer in diesem Gespräch gestellt hat, und klebt sie zu einem langen Text zusammen. Dann fragt es die KI selbst:

„Wenn ich diese gesamte Geschichte von Anfang bis jetzt lese, ist das dann gefährlich?"

Die Analogie:
Stellen Sie sich vor, der Türsteher würde nicht nur den einzelnen Gast prüfen, sondern sich vorher die gesamte Liste aller Gäste ansehen, die heute hereingekommen sind.

Gast 1: Fragt nach Metall. (Okay)
Gast 2: Fragt nach Härte. (Okay)
...
Gast 100: Fragt nach der Waffe.

Der neue Türsteher sagt: „Moment! Wenn ich die Liste von Gast 1 bis 100 zusammenlese, erkenne ich das Muster. Das ist eine Waffe! Niemand darf rein."

Das Ergebnis

Der Angriff funktioniert: Die „Salami-Methode" ist extrem effektiv. Sie umgeht fast alle aktuellen Sicherheitsfilter, kostet wenig Rechenzeit und funktioniert bei fast allen KI-Modellen (Text, Bilder, Videos).
Die Verteidigung funktioniert: Der neue „Kontext-Wächter" (CQA) kann diese Angriffe zu etwa 45–65 % stoppen, ohne dabei harmlose Gespräche zu unterbrechen.

Fazit für den Alltag

Dieses Papier warnt uns: Sicherheit ist nicht nur eine Frage der einzelnen Frage.
Wenn wir KI-Systeme nutzen, müssen wir lernen, dass die Gefahr oft nicht in einer einzigen bösen Frage liegt, sondern in der Summe vieler harmloser Fragen.
Die gute Nachricht ist: Wir wissen jetzt, wie man das erkennt und wie man KI-Systeme so baut, dass sie den „gesamten Kontext" verstehen und nicht nur das, was gerade auf dem Bildschirm steht.

Kurz gesagt: Die Hacker haben gelernt, die KI mit vielen kleinen Scheiben zu täuschen. Die Forscher haben nun einen neuen Trick gefunden, um den ganzen Wurstteller auf einmal zu prüfen.

1. Problemstellung

Große Sprachmodelle (LLMs) sind zunehmend anfällig für „Jailbreaking"-Angriffe, bei denen Sicherheitsvorkehrungen umgangen werden, um unethische oder schädliche Inhalte zu generieren. Während Einzelturn-Angriffe (Single-turn) gut erforscht und teilweise durch defensive Maßnahmen abgedeckt sind, stellen Multi-Turn-Jailbreaks (Angriffe über mehrere Gesprächsdurchgänge) eine kritische, aber weniger verstandene Bedrohung dar.

Die Autoren identifizieren zwei fundamentale Schwächen bestehender Multi-Turn-Methoden:

Erkennung expliziter Trigger: Da Modelle kontextbewusster werden, werden explizite schädliche Trigger im letzten Schritt eines Angriffs zunehmend erkannt und blockiert.
Hohe Kontextabhängigkeit: Erfolgreiche Angriffe erfordern oft fein abgestimmte, modellspezifische Dialogkontexte, was die Übertragbarkeit (Transferability) auf andere Modelle einschränkt und die Kosten für Angreifer erhöht.

Das Kernproblem liegt in der Salami-Slicing-Risiko-Lücke: Sicherheitsmechanismen bewerten typischerweise nur den aktuellen Eingabe-Turn isoliert. Sie ignorieren die kumulative Gefahr, die sich aus einer Sequenz harmlos erscheinender Eingaben ergibt, die gemeinsam eine schädliche Absicht aufbauen.

2. Methodik: Der Salami-Slicing-Angriff

Das Paper schlägt ein neues Angriffsparadigma vor, das auf dem Prinzip des „Salami-Schneidens" basiert (wie im Finanzwesen: viele kleine, unmerkliche Beträge summieren sich zu einem großen Verlust).

A. Das Konzept (Salami Slicing Risk)

Der Angriff zerlegt eine schädliche Absicht in eine Sequenz von vielen niedrig-riskanten Eingaben. Jede einzelne Eingabe liegt unterhalb des Sicherheits-Schwellenwerts ( $\tau_{thres}$ ) und wird vom Modell als sicher akzeptiert. Durch die iterative Anhäufung dieser kleinen „Risikostücke" wird jedoch die Gesamtabsicht schädlich, ohne dass jemals ein einzelner Turn den Filter auslöst.

B. Der Angriffsalgorithmus (Salami Attack)

Die Autoren entwickelten einen automatisierten Framework namens Salami Attack, der auf drei Ebenen funktioniert:

Manuelle Variante: Zerlegung der Absicht in einen sicheren Startprompt und progressive, subtile Störungen (Perturbations), die den Kontext schrittweise in eine schädliche Richtung lenken.
Automatisierte Variante: Ein Framework nutzt ein starkes LLM (z. B. GPT-4), um strukturierte Prompt-Sequenzen zu generieren. Es beginnt mit einem harmlosen Kontext und fügt $k$ Stufen von Perturbations hinzu, die jeweils $t$ -mal wiederholt werden, um den semantischen Shift zu verstärken.
Adaptive Variante (A-Salami): Ein Multi-Agenten-System (mit Reflection, Attacker, Evaluation und Summary Agents), das den Angriff dynamisch an das Verhalten des Zielmodells anpasst, um Kontext-Drifts zu korrigieren und Abwehrmechanismen zu umgehen.

Der Angriff ist modality-agnostisch und wurde erfolgreich auf Text-LLMs, Vision-Language-Modelle (VLMs) und Diffusionsmodelle (Text-to-Image) angewendet.

C. Theoretische Fundierung

Das Paper formalisiert das Risiko mathematisch. Es wird angenommen, dass die Ausrichtung (Alignment) eines Modells als Ablehnungsmechanismus fungiert, der nur den aktuellen Prompt prüft ( $\tilde{H}(p, p) \le \tau_{thres}$ ). Ein Theorem beweist, dass eine Sequenz von Prompts existiert, bei der die Summe der einzelnen, sub-threshold schädlichen Scores ( $\sum \tilde{H}$ ) einen beliebigen hohen Schaden ( $h$ ) erreicht, ohne jemals den Schwellenwert für eine einzelne Ablehnung zu überschreiten.

3. Hauptbeiträge

Identifikation des Salami-Slicing-Risikos: Nachweis, dass kumulative Risiken in Multi-Turn-Dialogen eine fundamentale Schwachstelle in aktuellen Sicherheitsarchitekturen darstellen, die durch isolierte Turn-Prüfungen übersehen wird.
Salami Attack Framework: Entwicklung eines universellen, automatisierten Angriffsframeworks, das state-of-the-art (SOTA) Ergebnisse bei der Umgehung von Sicherheitsvorkehrungen erzielt und über verschiedene Modalitäten (Text, Bild) hinweg übertragbar ist.
CQA-Abwehr (Cumulative Query Auditing): Prophezeiung und Validierung einer neuen Verteidigungsstrategie, die den gesamten Dialogverlauf auditieren kann, um kumulative Risiken zu erkennen, bevor sie kritisch werden.

4. Ergebnisse

Die Autoren führten umfangreiche Experimente mit SOTA-Modellen (GPT-4o, Gemini 2.5 Pro, Deepseek V3, Qwen 3, GLM-4.5) und drei Benchmarks (AdvBench, HarmBench, JailbreakBench) durch.

Angriffserfolgsrate (ASR):
- Salami Attack erreicht eine ASR von über 90% auf GPT-4o und Gemini 2.5 Pro.
- Die adaptive Variante (A-Salami) erreicht in 10 von 15 Szenarien eine ASR von ≥95%.
- Im Vergleich zu bestehenden Methoden (wie Crescendo, GOAT, PAIR) übertrifft Salami Attack diese deutlich (oft um 20–30 Prozentpunkte).
Effizienz:
- Reduktion der Token-Kosten um über 80% und der Ausführungszeit um 50% im Vergleich zu bestehenden Methoden.
- Hohe Übertragbarkeit: Nicht-adaptive Prompts funktionieren ohne Anpassung auf verschiedenen Zielmodellen mit hoher Erfolgsrate (>90%).
Multimodale Robustheit:
- Bei VLMs (Vision-Language Models) wurde eine ASR von ~56% erreicht (vs. ~52% bei SI-Attack).
- Bei Diffusionsmodellen (Text-to-Image) wurde eine Umgehungsrate von 80% erreicht, wobei die generierten Bilder die schädliche Absicht konsistent widerspiegelten.
Robustheit gegen Abwehr:
- Salami Attack bleibt auch gegen etablierte Abwehrmechanismen (SmoothLLM, Self-Reminder, Input Filtering) effektiv, mit einer durchschnittlichen ASR von 83,5%.

5. Verteidigungsstrategie: CQA (Cumulative Query Auditing)

Um dem Risiko zu begegnen, schlagen die Autoren Cumulative Query Auditing (CQA) vor.

Prinzip: Statt nur den aktuellen Prompt zu prüfen, wird die gesamte Historie der Prompts ( $P_n = p_1 \oplus \dots \oplus p_n$ ) als eine einzige Sequenz in das Modell eingespeist, um den kumulativen Schaden zu bewerten.
Wirkung: CQA nutzt die native Verweigerungsfähigkeit des Modells, um kumulative Absichten zu erkennen.
Ergebnis: CQA reduziert die ASR von Salami Attack um mindestens 44,8% (von 87% auf 48%) und blockiert andere Multi-Turn-Angriffe (wie Crescendo) sogar zu bis zu 64,8%.
Spezifität: Tests mit harmlosen Prompts zeigten keine falschen Positivmeldungen (keine Über-Ablehnung legitimer Anfragen).

6. Bedeutung und Fazit

Das Paper liefert einen kritischen Einblick in die Sicherheitsarchitektur von LLMs. Es zeigt, dass die aktuelle Fokussierung auf isolierte Turn-Prüfungen unzureichend ist, da Angreifer durch die Ausnutzung von Rekurrenz-Bias (Fokus auf den neuesten Input) und kumulativen Risiken effektive Angriffe durchführen können.

Die Arbeit unterstreicht die Notwendigkeit, Sicherheitsmechanismen von einer reinen „Single-Turn"-Perspektive hin zu einer kontextuellen, kumulativen Risikoanalyse zu entwickeln. Die vorgestellte CQA-Abwehr bietet einen praktikbaren Weg, um diese Lücke zu schließen, während der Salami-Slicing-Angriff als Benchmark für die Robustheit zukünftiger Sicherheitsmodelle dient.