💬 NLP

Your "Pro" LLM Subscription May Actually Be "Free": Exposing Fingerprint Spoofing Risks in LLM Inference Services

Dieses Paper führt „Fingerprint Spoofing“ ein, eine neuartige Bedrohung, bei der bösartige Anbieter schwächere Modelle darauf feinabstimmen, stärkere zu imitieren und die benutzerseitige Verifizierung zu umgehen, und schlägt das „GhostPrint“-Framework vor, um zu demonstrieren, dass aktuelle LLM-Fingerprinting-Methoden unter realistischen Ressourcenbeschränkungen anfällig für solche Angriffe sind.

Ursprüngliche Autoren: Jiahao Zhang, Xiuyu Li, Suhang Wang

Veröffentlicht 2026-06-16

📖 4 Min. Lesezeit☕ Kaffeepausen-Lektüre

CC BY 4.0

Ursprüngliche Autoren: Jiahao Zhang, Xiuyu Li, Suhang Wang

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Die Kernidee: Das Problem des „falschen Kochs“

Stellen Sie sich vor, Sie bezahlen in einem Restaurant extra Geld, um eine Mahlzeit zu essen, die von einem weltberühmten Sternekoch zubereitet wurde. Sie erwarten, dass das Essen perfekt ist.

Die Arbeit legt jedoch eine beängstigende Möglichkeit nahe: Der Restaurantbesitzer könnte heimlich den berühmten Koch durch einen Junior-Koch ersetzen, der darauf trainiert wurde, den Stil des berühmten Kochs zu imitieren.

Das Ziel: Der Besitzer möchte Geld sparen (indem er dem Junior-Koch weniger zahlt), während er Ihnen trotzdem den Preis des „berühmten Kochs“ berechnet.
Der Trick: Der Junior-Koch rät nicht einfach nur; er studiert die spezifische Art und Weise, wie der berühmte Koch Fragen beantwortet. Er lernt genau, wie er sich ausdrücken muss, damit er, wenn man ihn fragt: „Sind Sie der berühmte Koch?“, so antwortet, dass Sie glauben: „Ja, definitiv!“
Das Ergebnis: Sie erhalten eine Mahlzeit, die so aussieht und schmeckt, als käme sie vom berühmten Koch (zumindest bei den Fragen, die Sie stellen), aber sie wurde tatsächlich von dem günstigeren Koch zubereitet.

Das Problem: Wie überprüft man das?

Menschen, die KI-Dienste nutzen (wie Programmier-Agenten oder Chatbots), versuchen derzeit zu verifizieren, ob sie das „Pro“-Modell erhalten, für das sie bezahlt haben. Sie verwenden dafür eine Methode namens Fingerprinting.

Stellen Sie sich das wie einen Sicherheitsdienst am Restauranteingang vor. Der Wachmann stellt dem Koch ein paar spezifische, knifflige Fragen (wie „Was ist Ihre Lieblingszutat?“). Basierend auf der Antwort entscheidet der Wachmann: „Das klingt nach dem berühmten Koch, also lassen wir ihn rein.“

Die Arbeit argumentiert, dass diese Sicherheitsleute oft zu simpel sind oder zu wenige Fragen stellen. Sie gehen davon aus, dass der Koch seinen Stil nicht ändern kann. Die Arbeit zeigt jedoch, dass ein böswilliger Anbieter diese Sicherheitsleute leicht austricksen kann.

Die Lösung (der Angriff): „GhostPrint“

Die Forscher entwickelten eine neue Methode namens GhostPrint, um zu beweisen, wie leicht man diese Sicherheitsleute austricksen kann. Sie zeigten, dass ein „schwaches“ (billiges) KI-Modell heimlich aufgewertet werden kann, um das System zu täuschen, ohne dabei tatsächlich zu einem „starken“ (teuren) Modell zu werden.

So funktioniert GhostPrint unter Verwendung einer Magischen Schule-Analogie:

Der Stellvertreter-Lehrer (Der Spion): Der Angreifer baut ein kleines, billiges „Spion“-Modell, das wie der Sicherheitsdienst agiert. Dieser Spion weiß genau, welche Fragen der echte Wachmann stellen wird und welche Antworten der Wachmann als „korrekt“ ansieht.
Das Belohnungssystem (Der Überraschungstest): Der Angreifer nimmt das schwache KI-Modell und lässt es die Fragen des Spions beantworten.
- Wenn das schwache Modell eine langweilige Antwort gibt, sagt der Spion: „Nein, das klingt nicht wie der berühmte Koch.“
- Wenn das schwache Modell eine clevere Antwort gibt, die den Spion täuscht, gibt der Spion ihm einen „Goldstern“ (Belohnung).
- Der Angreifer lehrt das schwache Modell dann, sich nur auf die Antworten zu konzentrieren, die Goldsterne erhalten.
Der Spickzettel (Parameter-Efficient Fine-Tuning): Anstatt die ganze Schule neu aufzubauen (was zu teuer wäre), gibt der Angreifer dem schwachen Modell einfach einen kleinen Spickzettel (genannt LoRA). Dieser Spickzettel sagt dem Modell genau, wie es seine Antworten anpassen muss, um wie der berühmte Koch zu klingen – aber nur, wenn der Sicherheitsdienst zusieht.
- Entscheidend ist: Wenn der Wachmann nicht hinsieht (wenn ein normaler Nutzer eine reguläre Frage stellt), funktioniert das Modell weiterhin ganz normal als hilfreicher Assistent. Es bricht nicht zusammen.

Was haben sie herausgefunden?

Die Forscher testeten dies an drei verschiedenen Familien von KI-Modellen (Gemma, Qwen und Phi). Sie versuchten, drei verschiedene Arten von Sicherheitsdiensten (Fingerprinting-Methoden) zu täuschen.

Die Ergebnisse: Der „GhostPrint“-Angriff war unglaublich erfolgreich. In vielen Fällen täuschte das schwache Modell die Sicherheitsdienste 90 % bis 95 % der Zeit und ließ sie glauben, es handele sich um das teure, leistungsstarke Modell.
Die Kosten: Das schwache Modell verlor nicht seine Fähigkeit, normale Aufgaben zu erleden. Es konnte immer noch Code schreiben, Mathefragen beantworten und ganz normal chatten.
Der „Ewigkeits“-Trick: Sie zeigten sogar, dass, falls der Sicherheitsdienst später seine Fragen ändert (ein „kontinuierlicher“ Angriff), der Angreifer den Spickzettel aktualisieren kann, um die neuen Fragen zu täuschen, ohne dabei zu vergessen, wie man die alten Fragen täuscht.

Das Fazit

Die Arbeit kommt zu dem Schluss, dass aktuelle Methoden zur Überprüfung, ob eine KI „echt“ ist, fragil sind.

Wenn ein Unternehmen Profit machen möchte, könnte es theoretisch:

Eine billige, schwache KI kaufen.
Eine Methode wie GhostPrint verwenden, um sie so zu „bemalen“, dass sie wie ein 20 $/Monat Pro-Modell aussieht.
Sie als 20 $/Monat Pro-Modell an Sie verkaufen.
Sie würden glauben, dass Sie den Premium-Service erhalten, aber Sie erhalten tatsächlich den billigen.

Die Autoren warnen, dass wir bessere Sicherheitsleute (Fingerprinting-Methoden) brauchen, da die aktuellen leicht durch eine clevere, billige Imitation getäuscht werden können.

Technische Zusammenfassung: „Free Your 'Pro' LLM Subscription May Actually Be 'Free': Exposing Fingerprint Spoofing Risks in LLM Inference Services“

Problemdefinition
Da LLM-APIs immer präsenter werden, verlassen sich Nutzer zunehmend auf Black-Box-Fingerprinting, um zu verifizieren, dass Anbieter die beworbenen Premium-Modelle tatsächlich bereitstellen. Diese Verifizierungsmethoden gehen jedoch oft davon aus, dass Modelle statisch bleiben und nicht adversariell manipuliert werden. Dieses Paper führt einen neuartigen Bedrohungsbegriff ein, das Fingerprint Spoofing (Fingerabdruck-Fälschung), bei dem ein böswilliger API-Anbieter heimlich ein schwächeres, günstigeres Modell ausliefert, das mittels parametereffizienter Feinabstimmung darauf getrimmt wurde, den Verhaltens-Fingerabdruck eines stärkeren, beworbenen Modells nachzuahmen.

Die zentrale Herausforderung liegt in einem gravierenden Optimierungs-Trade-off: Kleine Modelle verfügen aufgrund von Skalierungsgesetzen (Scaling Laws) naturgemäß nicht über die notwendige Repräsentationskapazität, um große Modelle perfekt nachzuahmen. Eine aggressive Feinabstimmung eines schwachen Modells zur Nachahmung eines starken Modells birgt das Risiko des „katastrophalen Vergessens“ (Catastrophic Forgetting), was dessen Nutzen bei normalen Aufgaben zerstört. Zudem ist ein vollständiges Retraining aller Parameter für einen Angreifer finanziell oft nicht rentabel. Das Paper formalisiert das Fingerprint Spoofing Problem, bei dem ein Angreifer gleichzeitig drei gegensätzliche Ziele verfolgt:

Fingerprint Spoofing: Das angepasste schwache Modell muss unter dem Audit-Mechanismus des Nutzers ununterscheidbar vom Ziel-Modell (dem starken Modell) sein.
Utility Preservation (Nutzererhalt): Das angepasste Modell muss eine akzeptable Leistung bei allgemeinen Downstream-Aufgaben beibehalten.
Economic Gain (Wirtschaftlicher Gewinn): Die Anpassung muss mittels kosteneffizienter Parameter-Effizienter Feinabstimmung (PEFT) erfolgen.

Theoretische Analyse
Die Autoren etablieren zunächst theoretische Grenzen für die Machbarkeit von Spoofing.

Unmöglichkeit von universellem Spoofing: Sie beweisen (Proposition 5.1), dass unter ausreichenden Ressourcen (unendliche Abfragen, starke Klassifikatoren) universelles Spoofing mathematisch unmöglich ist, da eine Low-Rank-Adaption nicht in der Lage ist, die High-Rank-Transformationen eines größeren Modells perfekt zu replizieren.
Verwundbarkeit unter Nebenbedingungen: Das Paper zeigt jedoch, dass das reale Auditing durch endliche Abfragebudgets und schwache Verifizierungs-Klassifikatoren eingeschränkt ist.
- Theorem 5.2 zeigt, dass wenn die Abfrageverteilung des Auditors eine niedrige effektive Rangfolge (einfache, strukturierte Abfragen) aufweist, der erwartete Spoofing-Fehler erheblich minimiert werden kann.
- Theorem 5.3 beweist, dass wenn das Verifizierungsmodell auf Nutzerseite ausreichend schwach ist (z. B. ein kleiner Klassifikator), ein Angreifer theoretisch ein Null-Fehler-Spoofing mittels PEFT erreichen kann.
  Diese Erkenntnisse legen nahe, dass perfektes globales Spoofing zwar unmöglich ist, lokales Spoofing unter realistischen Auditing-Beschränkungen jedoch trivial ist.

Methodik: GhostPrint
Geleitet von der theoretischen Analyse schlagen die Autoren GhostPrint vor, ein kosteneffizientes Attack-Framework, das darauf ausgelegt ist, die identifizierten Schwachstellen auszunutzen. Das Framework besteht aus drei Hauptkomponenten:

Surrogate Modeling und Reward-Ranked Fine-Tuning (RAFT):
- Der Angreifer trainiert ein Surrogat-Fingerprint-Modell ( $g$ ), um den Verifizierungsmechanismus des Nutzers nachzuahmen.
- Anstatt Reinforcement Learning (welches instabil und teuer ist) zu verwenden, setzt GhostPrint auf RAFT. Für jede Abfrage generiert das schwache Modell mehrere Kandidaten-Antworten. Das Surrogat-Modell rankt diese Antworten, und die täuschendste (die den höchsten Score für die Nachahmung des Ziels erzielt) wird ausgewählt.
- Dieser Prozess filtert den Generierungsraum, um Antworten zu isolieren, die die Entscheidungsgrenzen des Surrogats natürlich überschreiten.
Parameter-Effiziente Feinabstimmung (PEFT) mit SFT und Knowledge Distillation (KD):
- Die ausgewählten täuschenden Antworten werden verwendet, um das schwache Modell mittels Supervised Fine-Tuning (SFT) feinzustimmen, um die negative Log-Likelihood gegenüber der Ausgabe des Zielmodells zu minimieren.
- Gleichzeitig wird Knowledge Distillation (KD) unter Verwendung des Zielmodells als Lehrer angewendet, um den allgemeinen Nutzen des schwachen Modells zu bewahren.
- Das Gesamtobjektiv kombiniert SFT- und KD-Loss, balanciert durch einen Hyperparameter $\alpha$ .
- Alle Optimierungen sind auf LoRA (Low-Rank Adaptation) beschränkt, um die wirtschaftliche Rentabilität zu gewährleisten, wobei die Basisgewichte eingefroren und nur die Low-Rank-Matrizen trainiert werden.
Kontinuierliches Lernen via Mixture-of-LoRA-Experts (MoLA):
- Um das Szenario zu adressieren, in dem sich die Audit-Methoden im Laufe der Zeit weiterentwickeln, erweitert GhostPrint auf ein Setting des kontinuierlichen Lernens.
  � * Es trainiert aufgabenspezifische LoRA-Adapter für verschiedene Fingerprinting-Methoden und integriert diese mithilfe einer Mixture-of-LoRA-Experts-Architektur. Ein trainierbarer Router weist Abfragen dynamisch den relevanten Adaptern zu, was es dem Modell ermöglicht, sich an neue Fingerprints anzupassen, ohne katastrophales Vergessen zu erleiden.

Experimentelle Ergebnisse
Die Autoren evaluierten GhostPrint über drei LLM-Familien (Gemma, Qwen2, Phi-3) und gegen drei repräsentative Black-Box-Fingerprinting-Methoden: LLMmap, LLM-idio und Model Equality Testing (MET).

Single-Fingerprint Spoofing: GhostPrint erreichte hohe Attack Success Rates (ASR) in allen Settings. Beispielsweise erreichte es beim Spoofing von Gemma-2B als Gemma-7B gegenüber LLMmap eine ASR von 95,0 % und übertraf damit die natürliche Klassifikationsrate des ursprünglichen Zielmodells (92,0 %).
Utility Preservation (Nutzererhalt): Trotz der intensiven Feinabstimmung für das Spoofing behielten die angepassten Modelle Utility-Scores auf Standard-Benchmarks (MMLU, GSM8K, ARC-C) bei, die nahezu identisch mit denen der ursprünglichen schwachen Modelle waren. In einigen Fällen verbesserte sich die Utility sogar leicht, was bestätigt, dass der Angriff die allgemeinen Fähigkeiten nicht beeinträchtigt.
Cross-Family Spoofing: Selbst wenn ein schwaches Modell aus einer Architekturfamilie angepasst wurde, um ein starkes Modell aus einer völlig anderen Familie nachzuahmen (z. B. Gemma-2B zu Qwen2-7B), erreichte GhostPrint signifikanten Erfolg und umging LLM-idio mit einer ASR von 95,2 %.
Kontinuierliches Spoofing: Im Setting des kontinuierlichen Lernens konnte das MoLA-Framework mehrere LoRA-Adapter erfolgreich integrieren. Das System behielt eine hohe ASR über mehrere sich entwickelnde Fingerprinting-Methoden hinweg gleichzeitig bei, mit minimaler Leistungsdegradation im Vergleich zu Single-Task-Setups.

Bedeutung und Ansprüche
Das Paper beansprucht, eine kritische Schwachstelle in aktuellen LLM-Fingerprinting-Pipelines offenzulegen. Die Autoren argumentieren:

Aktuelles Auditing ist fundamental angreifbar: Die Ressourcenbeschränkungen der Nutzerseite (endliche Abfragen, schwache Klassifikatoren) machen bestehende Black-Box-Fingerprinting-Methoden theoretisch anfällig für parametereffiziente Angriffe.
Wirtschaftliche Rentabilität böswilliger Anbieter: Die Studie zeigt, dass ein böswilliger Anbieter profitabel ein starkes Modell durch ein feinabgestimmtes schwaches Modell ersetzen kann, wodurch Nutzer getäuscht werden, minderwertige Antworten für einen höheren Preis zu bezahlen, ohne dass dies entdeckt wird.
Limitierungen statischer Verifizierung: Die Ergebnisse verdeutlichen, dass statisches Fingerprinting unzureichend ist; wie die Experimente zum kontinuierlichen Lernen zeigen, können Angrefer sich dynamisch an sich entwickelnde Verifizierungsmethoden anpassen.

Die Autoren positionieren diese Arbeit als Forschungsprototyp, der dazu dienen soll, die Entwicklung robusterer Fingerprinting-Mechanismen zu motivieren, statt als Werkzeug zur unmittelbaren Anwendung. Sie räumen Einschränkungen ein, wie etwa die mangelnde Evaluierung auf Frontier-Scale-Modellen (z. B. 32B+ Parameter) aufgrund von Rechenbeschränkungen, und schlagen vor, dass zukünftige Arbeiten Reinforcement Learning mit Surrogat-Klassifikatoren untersuchen könnten.