🤖 machine learning

Evaluation without Generation: Non-Generative Assessment of Harmful Model Specialization with Applications to CSAM

Dieser Beitrag stellt „Gaussian Probing" vor, eine nicht-generative Evaluierungsmethode, die eine schädliche Modellspezialisierung, etwa für CSAM, durch die Analyse von Störungen in den internen Repräsentationen von LoRA-Adaptoren bewertet und damit eine skalierbare und rechtlich konforme Prüfung ermöglicht, wo traditionelle outputbasierte Generierung verboten ist.

Ursprüngliche Autoren: Vinith M. Suriyakumar, Ayush Sekhari, Lena Stempfle, Robertson Wang, Michael Simpson, Rebecca Portnoff, Marzyeh Ghassemi, Ashia C. Wilson

Veröffentlicht 2026-04-29

📖 4 Min. Lesezeit☕ Kaffeepausen-Lektüre

CC BY 4.0

Ursprüngliche Autoren: Vinith M. Suriyakumar, Ayush Sekhari, Lena Stempfle, Robertson Wang, Michael Simpson, Rebecca Portnoff, Marzyeh Ghassemi, Ashia C. Wilson

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Das große Problem: Die „No-Generation"-Regel

Stellen Sie sich vor, Sie sind Bibliothekar in einer riesigen digitalen Bibliothek, in der jeder eigene benutzerdefinierte „Filter" (sogenannte LoRAs) für einen KI-Kunstgenerator hochladen kann. Diese Filter können den Stil der KI so verändern, dass sie alles von Landschaften bis hin zu – leider – illegalen und schädlichen Inhalten wie kinderpornografischem Material (CSAM) zeichnet.

Normalerweise würde man, um zu prüfen, ob ein Filter gefährlich ist, die KI bitten, ein Bild mit diesem Filter zu „zeichnen", und dann das Ergebnis betrachten. Doch es gibt ein riesiges Problem: Sie dürfen die KI gesetzlich nicht auffordern, CSAM zu zeichnen. Selbst der Versuch, dies zu generieren, ist in vielen Ländern eine Straftat. Darüber hinaus ist es für eine Bibliothek mit Millionen von Uploads zu langsam und zu teuer, die KI zu bitten, Tausende von Bildern zu erstellen, um sie einzeln zu prüfen.

Dies schafft ein Dilemma: Wie prüft man, ob ein Filter gefährlich ist, ohne jemals die KI zu bitten, ein Bild zu zeichnen?

Die Lösung: „Gaussian Probing" (Röntgenblick)

Die Autoren schlagen eine neue Methode namens Gaussian Probing vor. Anstatt die KI zu bitten, ein Bild zu zeichnen, „hören" sie zu, wie das Gehirn der KI denkt, wenn sie zufälliges Rauschen betrachtet.

Hier ist die Analogie:

Der alte Weg (Generative Evaluation): Sie fragen einen Verdächtigen: „Haben Sie den Keks gestohlen?" und warten darauf, dass er „Ja" oder „Nein" sagt oder einen Keks vorlegt. Das ist langsam, riskant und manchmal illegal.
Der neue Weg (Gaussian Probing): Sie bitten nicht um einen Keks. Stattdessen geben Sie dem Verdächtigen einen leeren, mit Rauschen gefüllten Fernsehbildschirm (zufälliges Rauschen) und bitten ihn, diesen zu verarbeiten. Dann lauschen Sie den elektrischen Signalen in seinem Gehirn, während er dieses Rauschen betrachtet.
- Wenn sich seine Gehirnsignale auf eine bestimmte Weise verändern, zeigt dies, dass sein „mentales Modell" auf Keksen (oder in diesem Fall auf schädlichen Inhalten) trainiert wurde, auch wenn er niemals tatsächlich einen Keks produziert hat.

So funktioniert es Schritt für Schritt

Die Eingabe: Das System führt dem KI-Modell eine Menge zufälliges, bedeutungsloses Rauschen (Gaußsches Rauschen) zu. Das ist, als würde man der KI einen leeren, unscharfen Fernsehbildschirm zeigen.
Der Prozess: Die KI beginnt ihren üblichen Prozess, dieses Rauschen in ein Bild umzuwandeln, aber das System stoppt es, bevor ein Bild erstellt wird.
Die Messung: Während die KI über das Rauschen „nachdenkt", zeichnet das System die internen elektrischen Signale (Aktivierungen) innerhalb der Gehirnschichten der KI auf.
Die Diagnose: Das System vergleicht diese Signale mit einer Datenbank.
- Wenn die Signale wie die eines „normalen" Künstlergehirns aussehen, ist der Filter sicher.
- Wenn die Signale ein spezifisches Muster von „Verzerrung" zeigen, das durch das Training mit schädlichen Daten verursacht wurde, wird der Filter als gefährlich markiert.

Warum dies besser ist als nur den Code anzusehen

Die Forscher testeten zwei Methoden:

Betrachten der Gewichte (Rohgewichte): Das ist wie das Ansehen der Zutatenliste in einem Kochbuch. Manchmal kann man erkennen, dass ein Rezept für ein „schlechtes" Gericht ist, nur weil der Koch 500 g Salz statt 5 g verwendet hat. Ein cleverer Koch kann die Zahlen jedoch leicht ändern, um das Salz zu verstecken, und das Rezept schmeckt trotzdem schlecht.
Gaussian Probing: Das ist wie das Probieren des Teigs. Selbst wenn der Koch die Zahlen im Rezept ändert, wird die Art und Weise, wie der Teig auf einen Löffel reagiert (die internen Signale), immer noch verraten, ob es ein „schlechtes" Gericht ist.

Die Ergebnisse des Papers:

Es funktioniert: Die Methode identifizierte erfolgreich Filter, die auf schädlichen Inhalten (NSFW und CSAM) trainiert wurden, über verschiedene Arten von KI-Modellen hinweg (SD 1.5, SDXL und FLUX).
Es ist robust: Die Forscher versuchten, das System zu täuschen, indem sie die Gewichte „neu skalierten" (die Zahlen im Rezept änderten, um das Salz zu verstecken). Die Methode der „Rohgewichte" versagte völlig, wenn die Zahlen geändert wurden, aber Gaussian Probing funktionierte weiterhin, da es betrachtete, wie die KI funktioniert und nicht nur die Zahlen auf dem Papier.
Es ist schnell: Da keine Bilder generiert werden, kann dies sehr schnell durchgeführt werden, was es ermöglicht, Tausende von Uploads zu screenen, bevor sie überhaupt mit der Öffentlichkeit geteilt werden.

Das Fazit

Dieses Paper führt einen „Lügendetest" für KI-Filter ein. Es ermöglicht Plattformen, hochgeladene KI-Modelle auf gefährliche Fähigkeiten zu scannen (insbesondere solche im Zusammenhang mit Kindesmissbrauch), indem analysiert wird, wie das Modell auf zufälliges Rauschen reagiert, ohne jemals ein einziges illegales Bild zu generieren. Dies löst ein großes rechtliches und sicherheitsrelevantes Engpassproblem und ermöglicht sicherere KI-Plattformen, ohne gegen das Gesetz zu verstoßen oder das System zu verlangsamen.

1. Problemdefinition

Das Papier adressiert eine kritische Governance-Herausforderung in Ökosystemen offener gewichteter generativer KI (z. B. CivitAI, Hugging Face): wie man von Nutzern hochgeladene Modell-Adapter (insbesondere LoRAs) auf schädliche Spezialisierung auditieren kann, ohne Ausgaben zu generieren.

Die Einschränkung: Traditionelle Sicherheitsaudits beruhen auf „generativer Evaluation" (Prompting des Modells und Inspektion der Ausgaben). Dieser Ansatz scheitert aus zwei Gründen:
1. Skalierbarkeit: Er kann das Volumen der Uploads nicht bewältigen (hunderttausende LoRAs pro Monat).
2. Legalität: Für spezifische Hochrisikobereiche wie Kinderpornografie (CSAM) ist die Generierung solcher Inhalte – selbst zu Testzwecken – in vielen Rechtsgebieten (einschließlich der USA) illegal.
Das Ziel: Die Autoren definieren das Problem der „Evaluation ohne Generierung": Die Bestimmung, ob ein Modell auf schädliche Inhalte (NSFW oder CSAM) spezialisiert wurde, ausschließlich durch Analyse seiner Gewichte oder internen Repräsentationen, ohne jemals ein Bild zu erzeugen.
Erfordernisse: Eine Lösung muss sein:
- Nicht-generativ: Keine Dekodierung von Ausgaben oder Bildrendering.
- Skalierbar: Geringe Speicher-/Rechenkosten im Vergleich zur vollständigen Parameterinspektion.
- Robust: Muss Inhaltsspezialisierung erkennen und nicht zufällige Trainingsartefakte (z. B. Lernrate, Rang oder datensatzspezifische Eigenheiten), die von Gegnern leicht nachgeahmt werden könnten.

2. Methodik: Gaußsches Abtasten (Gaussian Probing)

Die Autoren schlagen Gaußsches Abtasten vor, eine Methode zur funktionalen Darstellung, die charakterisiert, wie ein LoRA-Adapter ein Basis-Diffusionsmodell perturbiert.

Kernmechanismus

Anstatt Rohgewichte zu analysieren oder Bilder zu generieren, tastet die Methode den internen Zustand des Modells mit zufälligem Rauschen ab:

Referenz-Ensemble: Stichprobenziehung von $m$ unabhängigen Gaußschen Rauschvektoren ( $\nu \sim \mathcal{N}(0, I)$ ). Diese dienen als „promptfreier" Referenzzustand, der dem Diffusionsprozess inhärent ist.
Vorwärtsdurchlauf: Propagierung dieser Rauschvektoren durch das adaptierte Modell ( $f_{\theta_{base} + \Delta}$ ) über $T$ Denoisingschritte.
Aktivierungsextraktion: Extraktion interner versteckter Repräsentationen ( $H^{(t)}$ ) aus spezifischen Schichten (z. B. Mid-Block des U-Net) zu jedem Zeitschritt.
Aggregation: Pooling dieser Aktivierungen über Zeitschritte und Schichten hinweg zur Erstellung eines festdimensionalen Merkmalsvektors $\Phi(\Delta)$ $Φ (Δ)$ .
- Mathematisch schätzt dies den erwarteten Pushforward der LoRA-Perturbation durch die Denoising-Dynamik des Modells: $\Psi(\Delta) = \mathbb{E}_{\nu}[\bar{H}(\Delta; \nu)]$ .
Klassifikation: Ein einfacher Klassifikator (z. B. logistische Regression) wird auf diesen Merkmalsvektoren trainiert, um zwischen harmlosen (SFW) und schädlichen (NSFW/CSAM) Spezialisierungen zu unterscheiden.

Warum Gaußsches Abtasten?

Funktionales Signal: Es misst, wie der LoRA die Berechnung des Modells in seinem nativen latenten Raum verändert, und nicht statische Gewichtswerte.
Robustheit: Da die Sonden zufällig sind und unabhängig von den Trainingsdaten, spiegelt das resultierende Signal den funktionalen Einfluss der Spezialisierung (den Inhalt) wider und nicht oberflächliche Trainingsartefakte (z. B. spezifische Hyperparameter oder Datensatzverzerrungen).

3. Hauptbeiträge

Formalisierung der „Evaluation ohne Generierung": Das Papier definiert das Problem des Audits von Modellfähigkeiten durch Gewichtsstatus-Inferenz formal, mit spezifischem Fokus auf die rechtlichen und ethischen Einschränkungen der CSAM-Erkennung.
Gaußsches Abtast-Algorithmus: Eine neuartige, skalierbare Methode zur Extraktion einer „funktionalen Signatur" eines LoRA ohne Bildgenerierung.
Empirische Validierung: Umfassende Experimente zeigen, dass Gaußsches Abtasten Rohgewichts-Baselines bei der Unterscheidung schädlicher von harmlosen Modellen übertrifft, insbesondere in der Robustheit gegenüber adversarieller Gewichtsmanipulation.
Realwelt-CSAM-Erkennung: Die erste skalierbare, nicht-generative Methode zur Erkennung von CSAM-spezialisierten LoRAs in der Wildnis, validiert unter Verwendung autorisierten Zugriffs auf CSAM-Daten (ohne Generierung oder Handhabung der tatsächlichen illegalen Bilder).

4. Experimentelle Ergebnisse

Kontrollierte Studie (SFW vs. NSFW)

Setup: Training von 1.000 LoRAs pro Klasse (SFW/NSFW) über Stable Diffusion 1.5, SDXL und FLUX.1-dev unter Verwendung diverser Datensätze und Hyperparameter.
Ergebnisse:
- Trennbarkeit: Gaußsches Abtasten erreichte eine hohe AUROC (z. B. 0,998 für SD 1.5) bei der Unterscheidung von SFW und NSFW.
- Signalquelle: Bei „Leave-Dataset-Out" (LDO)-Tests performten Rohgewichts-Klassifikatoren gut, beruhten jedoch auf Datensatz-Identität (spezifische Trainingsartefakte). Gaußsches Abtasten beruhte auf Inhaltssignal, behielt Robustheit bei, wenn datensatzspezifische Artefakte entfernt wurden.
- Adversarielle Robustheit: Wenn LoRA-Gewichte auf die Frobenius-Norm 1 skaliert wurden (Entfernung von Magnitudeninformationen), verschlechterten sich Rohgewichts-Klassifikatoren erheblich (AUROC sank von 0,92 auf 0,83). Gaußsches Abtasten blieb robust (AUROC stieg leicht auf 0,94), was beweist, dass es funktionales Verhalten und nicht Gewichtsgröße erkennt.

Wild-Studie (CSAM-Erkennung)

Setup: Evaluation an realen LoRAs von CivitAI (SFW/NSFW) und autorisierten CSAM-spezialisierten LoRAs (SD 1.5, SDXL, FLUX.1-dev).
Performance:
- CSAM-Erkennung: Gaußsches Abtasten erreichte 100 % Recall bei CSAM-LoRAs über alle Architekturen hinweg.
- Falsch-Positiv-Rate: Sehr niedrige False-Positive-Raten für SFW (<1 % für SD 1.5/SDXL) und NSFW (<4 % für FLUX.1-dev).
- Vergleich: Rohgewichts-Baselines hatten mit der kleinen Stichprobengröße der CSAM-Daten zu kämpfen (AUROC ~0,68–0,87) und zeigten hohe Varianz, während Gaußsches Abtasten eine stabile, leistungsstarke Erkennung bot.

5. Bedeutung und Auswirkung

Rechtliche Compliance: Bietet einen rechtlich gangbaren Weg für Plattformen, nach CSAM zu screenen, ohne Gesetze gegen die Generierung solcher Inhalte zu verletzen.
Skalierbarkeit: Bietet eine rechen-effiziente Alternative zum Red-Teaming und ermöglicht die Vorverteilungs-Screening von hunderttausenden Uploads.
Sicherheitsparadigmenwechsel: Verschiebt die KI-Sicherheit von „ausgabe-basiert" (reaktiv) zu „zustands-basiert" (proaktiv) Auditing.
Breitere Anwendbarkeit: Obwohl auf CSAM fokussiert, ist die Methode auf andere eingeschränkte Bereiche anwendbar (z. B. Biowaffen, Cyberangriffe), bei denen die Ausgabe-Generierung gefährlich oder unethisch ist.
Zukünftige Forschung: Etabliert eine Grundlage für „Gewichtsraum-Lernen" und funktionales Auditing und ermutigt zu weiterer Forschung an robusten, nicht-generativen Sicherheitsmechanismen.

Fazit

Das Papier demonstriert erfolgreich, dass schädliche Modellspezialisierung allein aus Gewichten erkannt werden kann. Durch den Wechsel der Evaluation vom Ausgaberaum zum internen Zustand des Modells mittels Gaußschem Abtasten bieten die Autoren eine skalierbare, robuste und rechtlich konforme Lösung für das kritische Problem des Screenings offener gewichteter generativer Modelle auf CSAM und andere Hochrisiko-Spezialisierungen.