🤖 AI

The Perceived Fragility of Explanations in Audio Models: Manipulation of Attribution with Unchanged Predictions

Dieses Paper führt ein psychoakustisches Framework ein, das demonstriert, dass Post-hoc-Erklärungen für Audio-Deepfake-Detektionsmodelle fragil sind, da Angreifer unhörbare Perturbationen anwenden können, um Attributions-Heatmaps systematisch zu verzerren, während die ursprüngliche Klassifizierung des Modells erhalten bleibt.

Ursprüngliche Autoren: Piotr Kitłowski, Dominik Wiącek, Mateusz Modrzejewski

Veröffentlicht 2026-06-15

📖 4 Min. Lesezeit☕ Kaffeepausen-Lektüre

CC BY 4.0

Ursprüngliche Autoren: Piotr Kitłowski, Dominik Wiącek, Mateusz Modrzejewski

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich vor, Sie hätten einen sehr klugen Sicherheitswachmann (das KI-Modell), dessen Aufgabe es ist, Audio zu hören und zu entscheiden, ob es eine echte menschliche Stimme oder ein gefälschtes, computergeneriertes „Deepfake“ ist. Um Ihnen zu helfen, diesem Wachmann zu vertrauen, zeigt das System eine „Heatmap“ (eine Erklärung). Diese Karte leuchtet die spezifischen Teile der Schallwelle auf, die der Wachmann genutzt hat, um seine Entscheidung zu treffen – wie etwa das Hervorheben eines verdächtigen Hustens oder des robotischen Glitches, der das Gefälschte entlarvt hat.

Dieses Paper stellt eine beängstigende Frage: Was wäre, wenn jemand den Wachmann dazu bringen könnte, auf das Falsche zu zeigen, während er dennoch exakt dieselbe Entscheidung trifft?

Hier ist die Aufschlüsselung dessen, was die Forscher herausgefunden haben, unter Verwendung einfacher Analogien:

1. Der „Unsichtbare Tinte“-Trick

In der Vergangenheit versuchten Forscher, KI-Bilddetektoren zu täuschen, indem sie winzige, sichtbare Pixel zu einem Bild hinzufügten. Aber bei Audio gilt: Wenn man Rauschen hinzufügt, das die KI „sehen“ kann, können Menschen es meistens auch „hören“. Das würde den Trick ruinieren.

Die Autoren entwickelten eine neue Methode unter Verwendung von Psychoakustik. Betrachten Sie dies als „unsichtbare Tinte“ für den Klang.

Die Analogie: Stellen Sie sich vor, Sie flüstern einem Freund ein Geheimnis in einem lauten, geschäftigen Rockkonzert zu. Sie können etwas völlig anderes flüstern, als Sie eigentlich beabsichtigt haben, und Ihr Freund wird es nicht einmal bemerken, weil die laute Musik Ihr Flüstern „maskiert“.
Das Ergebnis: Die Forscher fanden einen Weg, „Flüstern“ (winzige Störungen) zum Audio hinzuzufügen, die laut genug sind, um die Erklärungskarte der KI zu verwirren, aber leise genug, damit menschliche Ohren nichts als das ursprüngliche Lied hören.

2. Der „Entkopplungs“-Akt

Das Ziel des Angriffs war es, die Erklärung von der Vorhersage zu entkoppeln.

Vor dem Angriff: Die KI sagt: „Dies ist ein Fake“, und die Heatmap zeigt auf einen robotischen Glitch. (Wahrhaftig).
Nach dem Angriff: Die KI sagt immer noch: „Dies ist ein Fake“, aber die Heatmap zeigt nun auf einen völlig harmlosen Teil des Liedes, wie etwa die Hintergrundtrommeln.
Die Gefahr: Wenn Sie nur auf die Heatmap schauen würden, würden Sie denken, dass die KI die Trommeln nutzt, um ihre Entscheidung zu treffen. Sie würden völlig darüber getäuscht werden, warum die KI diesen Aufruf getätigt hat, obwohl das endgültige Urteil (Fake) unverändert blieb.

3. Wer wurde am meisten getäuscht?

Die Forscher testeten dies an drei verschiedenen Arten von KI-„Wachmännern“ (Architekturen):

Der „Token-basierte“ Wachmann (AST): Dieses Modell war am fragilsten. Es ist wie ein Wachmann, der sich auf spezifische, isolierte Wörter konzentriert. Den Forschern gelang es leicht, seine Aufmerksamkeit von den echten Hinweisen weg zu falschen gelenkt zu werden.
Der „Faltungsorientierte“ Wachmann (VGGish): Dieses Modell lag in der Mitte. Es schaut sich Muster an, ähnlich wie ein Mensch, der einem Rhythmus lauscht. Es war schwerer zu täuschen, aber dennoch verwundbar.
Der „Langstrecken“-Wachmann (SpecTTTra): Dieser war der zäheste. Er hört der ganzen Geschichte von Anfang bis Ende zu. Da er lange Verbindungen in der Musik verfolgt, wurden die vom Angreifer hinzugefügten „Flüstergeräusche“ abgeschwächt und konnten die Erklärungskarte nicht so leicht verwirren.

4. Warum manche Songs leichter zu täuschen waren

Die Forscher bemerkten, dass die „am leichtesten“ zu täuschenden Songs geschäftig, laut und komplex waren (wie Rock oder elektronische Musik).

Die Analogie: Es ist einfacher, eine geheime Notiz in einem chaotischen Jazz-Solo zu verstecken als in einer leisen, einzelnen Klaviernote. Das „Rauschen“ der geschäftigen Musik bot den perfekten Versteckort (Maskierungsausgleich/Masking Budget) für den unsichtbaren Angriff.
Die schwierigeren Ziele: Leise, spärliche Musik (wie klassische oder akustische Musik) ließ keinen Raum für die „Flüstergeräusche“. Der Angriff scheiterte, weil es keinen Hintergrundlärm gab, in dem er sich verstecken konnte.

5. Das große Fazit

Das Paper kommt zu dem Schluss, dass wir den „Heatmaps“ oder Erklärungen, die Audio-KI-Systeme uns geben, nicht blind vertrauen können.

Nur weil die KI einen Grund liefert (einen hervorgehobenen Teil des Klangs), bedeutet das nicht, dass dies auch der echte Grund ist, warum sie die Entscheidung getroffen hat.
Ein Angreifer könnte systematisch die „Geschichte“ der KI darüber umschreiben, warum sie eine Entscheidung getroffen hat, sodass die Erklärung so aussieht, als würde sie sich auf sichere, harmlose Teile des Audios konzentrieren, während die KI gleichzeitig (richtigerweise oder unrichtigerweise) das Deepfake identifiziert.

Kurz gesagt: Die KI mag zwar richtig erkennen, was das Audio ist, aber die „Erklärung“, die sie Ihnen darüber gibt, warum sie das glaubt, kann völlig gefälscht sein – und Sie würden den Unterschied nicht einmal hören.

Technisches Resümee: Die wahrgenommene Fragilität von Erklärungen in Audio-Modellen

Problemstellung
Die Zunahme synthetischer Audioinhalte hat den Einsatz von Deepfake-Detektionssystemen erforderlich gemacht, die zunehmend auf Methoden der erklärbaren KI (Explainable AI, XAI) setzen, um Vertrauen zu schaffen, indem sie die akustischen Artefakte hervorheben, die die Entscheidungen des Modells steuern. Diese Abhängigkeit führt jedoch zu einer kritischen Sicherheitslücke: der Fragilität der Erklärungen selbst. Während die Anfälligkeit von Attributionskarten gegenüber adversarieller Manipulation in der Computer Vision umfassend dokumentiert wurde (Ghorbani et al., 2019; Dombrowski et al., 2019; Heo et al., 2019), bleiben die Auswirkungen auf Audio-Modelle weitgehend unberücksichtigt. Bestehende visuelle Angriffe nutzen $L_p$ -Normen zur Messung der Manipulationskosten – eine Metrik, die nicht mit der menschlichen auditiven Wahrnehmung korreliert (Abdullah et al., 2021). Folglich mangelt es an domänenspezifischen Frameworks, um zu bestimmen, ob XAI-Techniken für Audio robuste Interpretationen liefern oder ob sie durch imperzeptible Perturbationen von der Entscheidungsgrenze des Klassifikators entkoppelt werden können.

Methodik
Um diese Schwachstelle zu untersuchen, schlagen die Autoren ein neuartiges Optimierungsframework vor, das darauf ausgelegt ist, Post-hoc-Erklärungs-Heatmaps zu manipulieren und gleichzeitig die endgültige Vorhersage des Modells strikt beizubehalten sowie eine imperzeptible Audioqualität zu gewährleisten.

Zielmodelle und XAI-Methoden: Die Studie evaluiert drei unterschiedliche Architekturen, die verschiedene Merkmalsextraktionsparadigmen repräsentieren: VGGish (klassische Faltung), Audio Spectrogram Transformer (AST, Self-Attention) und SpecTTTra (Attention-basiert, entwickelt für den SONICS-Datensatz). Es werden zwei Post-hoc-Attributionsmethoden analysiert: Grad-CAM (erste Ordnung der Gradienten) und Layer-wise Relevance Propagation (LRP, konservierungsbasiert).
Angriffstrategien: Drei Methodologien werden auf 100 Stichproben aus dem SONICS-Deepfake-Datensatz angewendet:
1. Standard PGD: Ein $L_\infty$ -gebundener Angriff, der die strukturelle Ähnlichkeit zwischen der ursprünglichen und der perturbierten Map minimiert und somit als Baseline ohne perzeptive Einschränkungen dient.
2. X-Shift (adaptiert): Eine räumliche Verschiebestrategie, die die Relevanz in eine irrelevante Zielregion erzwingt.
3. Psychoakustische Rauschmodellierung (vorgeschlagen): Ein maßgeschneidertes Framework, das eine dynamische psychoakustische Maskierungsschwelle in die Verlustfunktion integriert.
Optimierungsframework: Die vorgeschlagene Verlustfunktion $L(\delta)$ $L (δ)$ kombiniert drei Terme:
- $L_{explain}(\delta)$ : Minimiert die Kosinusähnlichkeit zwischen den ursprünglichen und den perturbierten Attributionsmaps.
- $L_{audibility}(\delta)$ : Bestraft spektrale Energie, welche die statische psychoakustische Maskierungsschwelle $T(x)$ überschreitet, um sicherzustellen, dass die Perturbationen unhörbar bleiben.
- $L_{pred\_preserve}(\delta)$ : Ein Margin-basierter Hinge-Loss, der Änderungen an der ursprünglichen Vorhersage verhindert.
  Die Optimierung nutzt den Adam-Optimizer, um die für die Manipulation der Attribution erforderlichen Ableitungen zweiter Ordnung zu handhaben.
Evaluationsmetriken: Die perzeptive Transparenz wird mittels einer Suite domänenspezifischer Metriken bewertet (PEAQ, ViSQOL, Zimtohrli, CDPAM, PESQ, STOI). Die Fragilität der Erklärung wird über die Kosinusähnlichkeit und die Top-10-Überlappung quantifiziert. Die Autoren führen den Audio Fragility Score (AFS $_{stable}$ ) ein, eine kontinuierliche Metrik, die die Attributionsverschiebung gegen die Vorhersageerhaltung und die perzeptive Qualität abwägt.

Zentrale Beiträge

Neuartiges Optimierungsframework: Die Arbeit adaptiert auf Erklärungen ausgerichtete adversarielle Angriffe auf den Audio-Bereich und entkoppelt erfolgreich Modell-Attributionen von den endgültigen Klassifikationen.
Psychoakustische Constraints: Die Integration einer dynamischen psychoakustischen Maskierungsschwelle in die Verlustfunktion ermöglicht große Änderungen der Attributionsmaps, während jede Perturbation bestraft wird, die die menschliche Wahrnehmungsgrenze überschreitet oder die Vorhersage des Modells verändert.
Empirische Evaluation: Eine fokussierte Evaluierung über diverse Architekturen (CNNs und Transformer) unter Verwendung des SONICS-Datensatzes, wobei perzeptive Metriken genutzt werden, um die Imperzeptibilität der Angriffe zu validieren.

Ergebnisse

Perzeptive Qualität: Unbeschränkte Methoden (PGD) verschlechtern die Audioqualität erheblich (z. B. PESQ $\approx$ 2,8). Im Gegensatz dazu bewahrt das vorgeschlagene psychoakustische Framework eine hohe objektive perzeptive Qualität (ViSQOL > 4,1, CDPAM $\ge$ 0,98), indem es das Rauschen innerhalb der menschlichen Maskierungsschwellen begrenzt.
Architektonische Vulnerabilität: Die Studie zeigt signifikante Disparitäten in der Robustheit auf. Die Token-basierte AST-Architektur erwies sich als am fragilsten (Mean Rank: 3,00), was es Angreifern ermöglicht, die Attention-Maps leicht zu manipulieren. Umgekehrt zeigte SpecTTTra die höchste Resistenz (Mean Rank: 7,83), was wahrscheinlich auf dessen Mechanismus zur Verfolgung langreichweitiger zeitlicher Abhängigkeiten zurückzuführen ist, der die Auswirkung von beschränktem Rauschen abschwächt.
Akustische Abhängigkeiten: Als „einfach“ zu angreifende Proben charakterisierten sich dichte, breitbandige Audiosignale (z. B. Rock/Elektronik) mit hoher spektraler Bandbreite und hoher Zero-Crossing-Rate, die ein größeres „Maskierungsbudget“ für Rauschen boten. „Schwierige“ Proben zeichneten sich durch extreme akustische Sparsamkeit aus (z. B. klassische Musik), bei denen strikte perzeptive Einschränkungen den zulässigen adversariellen Lärm limitierten.
Geometrische Analyse: Eine PCA-Analyse deutbret darauf hin, dass psychoakustische Angriffe in Transformer-basierten Modellen glatte, gerichtete Attributionsverschiebungen induzieren, während unbeschränkte Angriffe primär eine Varianzreduktion bewirken.

Bedeutung und Ansprüche
Das Paper behauptet zu demonstrieren, dass Post-hoc-Erklärungen in der Audio-Deepfake-Detektion unter gezielten Perturbationen fragil sind. Die Autoren argumentieren, dass Attributionskarten (Grad-CAM, LRP) systematisch manipuliert werden können, ohne die Vorhersagen zu ändern oder die perzeptive Treue zu beeinträchtigen – eine Schwachstelle, die von Standard- $L_p$ -Metriken nicht erfasst wird.

Die Ergebnisse legen nahe, dass die strukturellen Limitationen von Post-hoc-Erklärungen (bereits festgestellt durch Grinberg et al., 2025) über die inhärente Ungenauigkeit hinaus auch auf gezielte adversarielle Manipulationen erstrecken. Insbesondere scheinen Attention-basierte Architekturen anfälliger für das „Steuern“ von Erklärungen zu sein als Convolutional Networks, und die akustische Topologie (dichte vs. spärliche Signale) bestimmt die Robustheit der Erklärung.

Die Autoren kommen zu dem Schluss, dass das Vertrauen in visuelle Attributionen für Audio-Modelle verfrüht ist. Sie postulieren, dass zukünftige Forschung sich auf die Entwicklung von Interpretierbarkeitsmechanismen konzentrieren muss, die mathematisch fest an die exakte Entscheidungsgrenze des Klassifikators gekoppelt sind. Die Arbeit wird als diagnostisches Werkzeug zur Verbesserung der Robustheit von Detektions-Pipelines gerahmt, wobei sämtlicher Code und alle Artefakte zur Unterstützung der Reproduzierbarkeit und eines verantwortungsbewussten Umgangs veröffentlicht werden.