Known By Their Actions: Fingerprinting LLM Browser Agents via UI Traces
Dieser Artikel zeigt, dass Websites durch die Analyse ihrer UI-Interaktionsspuren und -zeitpunkte passiv das spezifische große Sprachmodell identifizieren können, das einen Browser-Agenten antreibt, und zwar mit einer Genauigkeit von bis zu 96 %, wodurch eine erhebliche Sicherheitslücke aufgedeckt wird, die selbst dann bestehen bleibt, wenn einfache Zeitverzögerungen eingeführt werden.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Stellen Sie sich vor, Sie betreten einen überfüllten Raum. Selbst wenn Sie eine Maske tragen und Ihre Stimme verändern, könnte Ihre Gangart, wie schnell Sie mit den Fingern tippen und der spezifische Rhythmus Ihrer Bewegungen Sie verraten. Sie haben einen einzigartigen „Gang".
Dieser Artikel handelt davon, dass auch KI-Agenten (Computerprogramme, die im Internet für Sie surfen) einen ähnlichen „Gang" haben.
Hier ist die Zusammenfassung der Forschung in einfachen Worten:
Die große Idee: Der digitale Gang
Wenn ein Mensch im Internet surft, klickt, scrollt und tippt er in seinem eigenen Tempo. Wenn ein KI-Agent dasselbe tut, klickt und scrollt er ebenfalls. Doch die Studie zeigt, dass verschiedene KI-Modelle (wie GPT-5, Claude oder Qwen) eine ausgeprägte „Persönlichkeit" darin haben, wie sie sich bewegen.
Ein Modell mag lange zögern, bevor es auf einen Link klickt, während ein anderes sehr schnell scrollt und in einem bestimmten Muster klickt. Die Forscher stellten fest, dass sie durch die Beobachtung dieser winzigen Bewegungen und Zeitintervalle mit 96-prozentiger Genauigkeit exakt bestimmen konnten, welches KI-Modell sich hinter dem Bildschirm befand.
Wie sie es taten: Die unsichtbare Stoppuhr
Die Forscher mussten das KI-Modell nicht hacken oder seinen internen Code einsehen. Sie nutzten einen einfachen, passiven Trick:
- Das Setup: Sie erstellten eine Website (wie eine Teststrecke), auf der 14 verschiedene KI-Agenten Aufgaben ausführen sollten, etwa das Finden von Antworten auf Wikipedia oder das Einkaufen auf Amazon.
- Der Tracker: Sie fügten ein winziges Stück Code (einen „JavaScript-Tracker") in die Seite ein. Dieser Code fungierte wie eine stumme Stoppuhr und ein Bewegungssensor. Er fragte die KI nicht, was sie dachte; er zeichnete lediglich auf:
- Was der Agent anklickte.
- Wo auf dem Bildschirm er klickte.
- Wie lange er zwischen den Aktionen wartete.
- Der Detektiv: Sie führten diese Daten einem Computerprogramm (einem Klassifikator) zu und ließen es raten, welche KI die Bewegungen ausgeführt hatte.
Die Ergebnisse: Ihren Rhythmus kann man nicht verstecken
Die Ergebnisse waren beeindruckend:
- Hohe Genauigkeit: Das System konnte das KI-Modell fast jedes Mal korrekt identifizieren, selbst wenn die KI eine andere Aufgabe ausführte.
- Geschwindigkeit: Das System musste die gesamte Sitzung nicht beobachten. Oft konnte es die Identität der KI bereits nach wenigen Klicks erraten (wie das Erkennen des Gangs eines Freundes, nachdem man ihn nur wenige Sekunden gesehen hat).
- Timing ist entscheidend: Der wichtigste Hinweis war nicht, was die KI anklickte, sondern wann sie klickte. Die Zeitabstände zwischen den Aktionen waren der stärkste Fingerabdruck.
Die „Verteidigung", die nicht funktionierte
Die Forscher fragten sich: „Was wäre, wenn wir einfach zufällige Verzögerungen zu den Aktionen der KI hinzufügen, um den Tracker zu verwirren?"
- Sie versuchten, zufällige Pausen einzufügen (etwa indem sie die KI vor dem Klicken 5 Sekunden warten ließen).
- Das Ergebnis: Es verlangsamte den Tracker ein wenig, doch der Tracker war schlau. Wenn die Forscher ihr System auf diese „verzögerten" Spuren neu trainierten, lernte das System, die zufälligen Pausen zu ignorieren und sich wieder auf den zugrunde liegenden Rhythmus zu konzentrieren. Die Verteidigung scheiterte.
Warum das wichtig ist (Das „Warum sollte ich mich dafür interessieren?")
Die Studie stellt dies als Sicherheitsrisiko dar.
- Das Problem: Derzeit machen sich Websites vor allem Sorgen: „Ist das ein Mensch oder ein Bot?" Diese Forschung zeigt, dass man, sobald man weiß, dass es ein Bot ist, fragen kann: „Welcher spezifische Bot ist es?"
- Das Risiko: Wenn ein böswilliger Akteur genau weiß, welches KI-Modell seine Website besucht, kann er Angriffe speziell auf dieses Modell zuschneiden. Es ist wie ein Dietrichsatz, der nur auf eine bestimmte Markenart von Schloss funktioniert. Wenn sie Ihre Schlossmarke kennen, können sie sie viel schneller aufbrechen.
- Die Realität: Jedes Mal, wenn eine KI eine Website besucht, hinterlässt sie einen „digitalen Fußabdruck", der ihre Identität verrät, selbst wenn sie versucht, sich zu verstecken.
Das Fazit
Genau wie Sie Ihren Gang in einer Menge nicht leicht verbergen können, können KI-Modelle ihren „Interaktionsstil" beim Surfen im Internet nicht leicht verbergen. Ihre Klicks und Pausen sind ein eindeutiger Ausweis, der verrät, wer sie sind, und dieser Ausweis ist für jeden sichtbar, der die Website kontrolliert, die sie besuchen.
Was die Studie NICHT behauptet:
- Sie sagt nicht, dass dies zur Identifizierung von menschlichen Nutzern verwendet werden kann (sie geht davon aus, dass der Nutzer bereits eine KI ist).
- Sie behauptet nicht, dass dies auf alle Websites der Welt funktioniert (es wurde an spezifischen Einkaufs- und Suchaufgaben getestet).
- Sie bietet noch keine Lösung, um dies zu beheben; sie deckt lediglich die Schwachstelle auf.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.