🤖 machine learning

The Unseen Hand: Manipulating Model Fairness and SHAP with Targeted Identity Re-Association Attacks

Dieses Paper führt Targeted Identity Re-Association (TIRA)-Angriffe ein, eine neuartige, datenagnostische Methode, die probabilistisches Micro-Shuffling und Rank-Shift-Perturbationen nutzt, um Machine-Learning-Modelle heimlich zu manipulieren, wodurch Fairness-Metriken künstlich optimiert und die Attribuierung geschützter Merkmale in SHAP-Erklärungen vollständig neutralisiert werden.

Ursprüngliche Autoren: Sannaan Khan, Muhammad U. S. Khan

Veröffentlicht 2026-06-23

📖 5 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Sannaan Khan, Muhammad U. S. Khan

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Das große Ganze: Der „Zaubertrick“ der KI

Stellen Sie sich vor, Sie engagieren einen Schiedsrichter, um ein Sportspiel zu bewerten. Um sicherzustellen, dass der Schiedsrichter fair ist, haben Sie zwei Werkzeuge:

Die Anzeigetafel: Eine Liste von Zahlen, die zeigt, wer gewonnen hat und um wie viel.
Die Zeitlupenkamera (SHAP): Eine Kamera, die heranzoomt, um zu zeigen, warum der Schiedsrichter eine bestimmte Entscheidung getroffen hat (z. B. „Er hat ein Foul gepfiffen, weil der Spieler rote Schuhe trug“).

In der Welt der Künstlichen Intelligenz (KI) werden diese Werkzeuge eingesetzt, um zu prüfen, ob ein Modell gegenüber verschiedenen Gruppen von Menschen (wie Männern vs. Frauen oder verschiedenen Ethnien) fair ist.

Die Behauptung der Arbeit: Die Autoren entdeckten, dass ein „Hacker“ nicht das Gehirn des Schiedsrichters brechen oder die Spielregeln ändern muss. Stattdessen kann er einen subtilen Zaubertrick auf der Liste der Namen und Ergebnisse ausführen, nachdem das Spiel beendet ist. Durch das minimale Vertauschen der Namen kann er die Anzeigetafel perfekt fair aussehen lassen und die Zeitlupenkamera täuschen, sodass sie glaubt, der Schiedsrichter hätte die Identitäten der Spieler überhaupt nicht berücksichtigt.

Das Problem: Die „offensichtlichen“ Tricks

Frühere Versuche, diese Fairness-Checks zu täuschen, waren wie ein Magier, der einen riesigen, blinkenden Zauberstab schwingt.

Sie tauschten riesige Datenblöcke aus.
Das Ergebnis: Die Fairness-Werte änderten sich zwar, aber die „Zeitlupenkamera“ (SHAP) sah das Chaos dennoch. Sie würde schreien: „Hey! Hier ist etwas Merkwürdiges passiert!“ und der Trick wäre aufgeflogen.

Die Lösung: Die „unsichtbare Hand“ (TIRA-Angriffe)

Die Autoren führen eine neue Familie von Angriffen namens TIRA (Targeted Identity Re-Association) ein. Betrachten Sie dies nicht als Zauberstab, sondern als einen Mikrochirurgen oder eine sanfte Brise.

Anstatt große, offensichtliche Vertauschungen vorzunehmen, nutzt TIRA zwei spezifische Techniken, um die Daten sanft zu manipulieren:

Probabilistic Micro-Shuffling (PMiS):
- Die Analogie: Stellen Sie sich eine Schlange von Menschen vor, die auf Tickets warten. Der Hacker steht in der Menge. Alle paar Sekunden wirft er eine Münze. Wenn Kopf fällt, tauscht er leise die Person an der Spitze der Schlange mit der Person direkt dahinter aus – aber nur dann, wenn die Person dahinter zu einer „benachteiligten“ Gruppe gehört.
- Der Effekt: Er macht dies tausendfach, aber nur in einem winzigen Prozentsatz der Fälle. Die Schlange sieht größtenteils gleich aus, aber die Reihenfolge hat sich gerade so weit verschoben, dass sich die Statistiken ändern.
Probabilistic Rank-Shift Micro-Perturbation (PRSMP):
- Die Analogie: Dies ist wie der vorherige Trick, aber anstatt Nachbarn zu vertauschen, schubst der Hacker eine Person sanft ein paar Plätze nach unten (oder oben) innerhalb eines kleinen Fensters. Auch dies geschieht zufällig und selten.
- Der Effekt: Es erzeugt ein „Driften“ der Daten, das sich natürlich anfühlt, wie eine Menschenmenge, die sich leicht bewegt, wenn die Leute es sich bequem machen, statt wie ein plötzlicher Aufruhr.

Was haben sie erreicht?

Die Autoren testeten diese Tricks mit realen Daten (wie der Vorhersage des Diabetes-Risikos oder der Kreditgenehmigung) und fanden zwei wesentliche Ergebnisse:

1. Die Anzeigetafel sieht perfekt aus (Fairness-Metriken)
Durch diese sanften, zufälligen Verschiebungen konnten die Hacker die „Fairness-Bewertung“ so manipulieren, dass sie wie eine perfekte 10/10 aussieht.

Vor dem Angriff: Das Modell wirkte voreingenommen (z. B. „Es lehnt Frauen 20 % häufiger ab“).
Nach dem Angriff: Das Modell sieht perfekt fair aus (z. B. „Es behandelt alle exakt gleich“).
Kernpunkt: Die eigentlichen Vorhersagen, die die KI traf, änderten sich nicht; nur wem diese Vorhersagen zugeordnet wurden, änderte sich.

2. Die Zeitlupenkamera wird getäuscht (SHAP)
Dies ist der gefährlichste Teil. Als die Autoren die „Zeitlupenkamera“ (SHAP) auf die manipulierten Daten anwendeten:

Vorher: Die Kamera zeigte deutlich: „Das Modell achtet auf das Geschlecht, um Entscheidungen zu treffen.“
Nachher: Die Kamera zeigte null Einfluss des Geschlechts. Es sah so aus, als wäre das Geschlecht für das Modell völlig irrelevant.
Die Erkenntnis: Der Angriff gelang es, die „Fußabdrücke“ der Manipulation zu verbergen. Der Auditor sieht ein sauberes, faires Modell und denkt: „Alles ist in Ordnung“, während in Wirklichkeit die Fairness des Modells künstlich herbeigeführt wurde.

Warum ist das wichtig?

Die Arbeit argumentiert, dass wir diesen „Post-Game“-Checks zu sehr vertrauen.

Wir gehen davon aus, dass wenn die Anzeigetafel „Fair“ sagt und die Zeitlupenkamera „Keine Voreingenommenheit“ meldet, die KI sicher ist.
Diese Arbeit beweist, dass ein geschickter Angreifer die Namen auf der Liste manipulieren kann, um beide Werkzeuge zu belügen.

Die „Regler“ der Kontrolle

Die Autoren betonen, dass dies kein stumpfes Instrument ist. Sie können „Regler“ (Parameter) nutzen, um den Angriff zu steuern:

Wie oft wird getauscht? (Wahrscheinlichkeit)
Wie weit wird jemand verschoben? (Rank Shift)
Wie oft wird es gemacht? (Iterationen)

Dies ermöglicht es einem Angreifer, das Modell entweder leicht fair oder perfekt fair aussehen zu lassen, während die Änderungen so klein bleiben, dass niemand die „unsichtbare Hand“ bemerkt.

Zusammenfassung

Die Arbeit warnt uns, dass KI-Fairness-Audits fragil sind. Nur weil eine KI einen Fairness-Test besteht und erklärbar erscheint, bedeutet das nicht, dass sie tatsächlich fair ist. Eine subtile, probabilistische Umordnung der Identitäten in den Daten kann unsere besten Werkzeuge täuschen, sodass sie ein perfektes Modell sehen, wo in Wahrheit ein voreingenommenes existiert.

Technisches Resümee: Die unsichtbare Hand: Manipulation der Modellfairness und von SHAP durch gezielte Identity Re-Association Attacks

1. Problemstellung

Da maschinelle Lernmodelle in immer komplexeren und einflussreicheren gesellschaftlichen Bereichen zunehmend intransparent werden, ist die Abhängigkeit von Algorithmen-Fairness-Audits und Post-hoc-Erklärbarkeitstools (wie SHAP) gewachsen, um Rechenschaftspflicht zu gewährleisten. Diese Arbeit identifiziert jedoch eine kritische Schwachstelle: Diese Auditierungsmechanismen selbst sind nicht gegen adversarielle Manipulationen gewappnet.

Bisherige Forschungen haben gezeigt, dass „Überlistungsstrategien“ Fairness-Metriken manipulieren können, doch diese bestehenden Methoden basieren oft auf offensichtlichen Perturbationen oder erfordern Zugriff auf die interne Datenverteilung des Modells. Infolgedessen hinterlassen sie detektierbare Artefakte – wie signifikante Einbrüche in den Fairness-Scores oder anomale SHAP-Attributionswerte –, die bei Audits Verdacht erregen. Es mangelt an subtilen, datenagnostischen Post-hoc-Manipulationstechniken, die in der Lage sind, die wahrgenommene Fairness eines Modells und die Erklärungstools zu manipulieren, ohne forensische Spuren zu hinterlassen.

2. Methodik

Die Autoren schlagen eine neue Familie von Angriffen vor, die als Targeted Identity Re-Association (TIRA) bezeichnet werden. Diese Angriffe operieren unter einem Black-Box-Bedrohungsmodell, bei dem der Angreifer lediglich Zugriff auf die Output-Scores des Modells und die geschützten Attribute der Input-Instanzen hat, aber keinen Zugriff auf die Modellarchitektur, die Trainingsdaten oder die Entscheidungslogik besitzt.

Das Kernframework umfasst:

Score-Sortierung: Erhalt der Vorhersagescores aus dem Black-Box-Modell und Sortierung dieser in absteigender Reihenfolge.
Identity Re-Association: Iterative und probabilistische Modifikation der Assoziation zwischen den sortierten Scores und den Identitäten (speziell den geschützten Attributen), ohne dabei die Scores selbst zu verändern.
Output-Re-Assemblierung: Rekonstruktion des Datensatzes mit den permutierten Identitäten, um Fairness-Metriken und SHAP-Werte neu zu berechnen.

Das Paper formalisiert zwei spezifische Algorithmen innerhalb der TIRA-Familie:

Probabilistic Micro-Shuffling (PMiS): Dieser Algorithmus wendet lokalisierte, benachbarte Vertauschungen an. In jeder Iteration untersucht er benachbarte Paare in der sortierten Liste. Wenn eine benachteiligte Person (geschütztes Attribut = 0) einer privilegierten Person (geschütztes Attribut = 1) benachbart ist, vertauscht er deren Identitäten mit einer Wahrscheinlichkeit $p_{swap}$ . Dies erzeugt eine kumulative, graduelle Drift der Verteilung der geschützten Attribute relativ zu den Scores.
Probabilistic Rank-Shift Micro-Perturbation (PRSMP): Dieser Algorithmus führt eine breitere Lokalität ein, indem er Rank-Shifts innerhalb eines kleinen Fensters ermöglicht. Er zielt auf benachteiligte Personen ab und verschiebt deren Identität probabilistisch zu einer anderen benachteiligten Person innerhalb eines vordefinierten Rank-Fensters ( $k_{max}$ ) mit einer Wahrscheinlichkeit $p_{shift}$ . Wie PMiS setzt auch dieser auf mehrere Iterationen, um signifikante Umordnungen zu akkumulieren, während die Subtilität gewahrt bleibt.

3. Kernbeiträge

Das Paper leistet vier primäre Beiträge:

Formalisierung von TIRA-Angriffen: Die Einführung von Targeted Identity Re-Association als eine neue, post-hoc, datenagnostische und probabilistische Methode zur subtilen Manipulation von Modellausgaben.
Empirische Validierung der Fairness-Manipulation: Demonstration, dass TIRA-Angriffe die AIF360-Fairness-Metriken (z. B. Equal Opportunity, Demographic Parity, Disparate Impact) über verschiedene Modell-Datensatz-Konfigurationen hinweg signifikant verändern können, um sie gezielt zu gewünschten Ideal-Schwellenwerten zu führen.
Auswirkung auf die SHAP-Attribution: Veranschaulichung, wie TIRA-Angriffe SHAP-basierte Erklärungen konfundieren. Die Angriffe reduzieren die SHAP-Attribution für geschützte Merkmale erfolgreich auf effektiv Null, was den falschen Eindruck erweckt, das Modell würde diese Merkmale nicht nutzen.
Vergleichendes Benchmarking: Eine Demonstration, dass TIRA-Angriffe im Vergleich zu bestehenden, offensichtlichen Angriffen (wie DomSwap und MixSwap) eine feinere Granularität und größere Kontrolle bieten und dabei vergleichbare oder überlegene Verschiebungen in den Fairness-Metriken bei gleichzeitig deutlich höherer Stealthiness erreichen.

4. Ergebnisse und Analyse

Die Autoren evaluierten TIRA-Angriffe auf den Bangladeshi Diabetes Dataset und den German Credit Dataset unter Verwendung von sowohl Logistischer Regression als auch neuronalen Netzen.

Fairness-Metriken: Die Ergebnisse zeigten, dass TIRA-Angriffe die Fairness-Metriken konsistent in Richtung Idealwerte drängten (z. B. Reduzierung der Differenzen bei der Demographic Parity und der Disparate Impact Ratio in Richtung 1). In vielen Fällen erreichten PMiS und PRSMP eine präzisere Abstimmung dieser Metriken im Vergleich zu Baseline-Shuffling-Angriffen. Beispielsweise reduzierten PMiS und PRSMP die Equal Opportunity Difference beim Diabetes-Datensatz von einem Baseline-Wert von 0,09 auf -0,07, während andere Angriffe weniger konsistente oder weniger extreme Verschiebungen zeigten.
SHAP-Attribution: Die Post-Attack-Analyse ergab, dass die SHAP-Werte für die geschützten Merkmale effektiv Null waren. Dies zeigt, dass die Angriffe die Abhängigkeit des Modells von geschützten Attributen gegenüber dem Erklärungstool erfolgreich verschleiert haben – eine signifikante Verbesserung gegenüber vorangegangenen Arbeiten, bei denen detektierbare Attributionswerte oft bestehen blieben.
Stealth und Kontrolle: Die Studie hob die „feingranulare Kontrolle“ hervor, die durch abstimmbare Parameter ( $p_{swap}$ , $p_{shift}$ , $k_{max}$ und Iterationen $T$ ) ermöglicht wird. Durch die Anpassung dieser Parameter kann ein Angreifer die Manipulation von fast unmerklichen Änderungen bis hin zu ausgeprägten Veränderungen skalieren, was einen Trade-off zwischen der Magnitude der Fairness-Verschiebung und der Stealthiness des Angriffs erlaubt.

5. Bedeutung und Ansprüche

Das Paper argumentiert, dass die Fairness-Bewertung selbst brüchig ist. Die Fähigkeit, die wahrgenommene Fairness und die Erklärungsprofile eines Modells durch subtile, nicht-intrusive Änderungen der Output-Rankings zu verändern, stellt die Annahme in Frage, dass vertrauenswürdige KI allein durch Post-hoc-Erklärungsmethoden erreicht werden kann.

Die Autoren behaupten, dass TIRA-Angriffe eine „doppelgleisige Bedrohung“ darstellen, die zuvor nicht erreicht wurde:

Sie können AIF360-Audits täuschen, indem sie die Metriken auf nahezu ideale Werte treiben.
Sie können XAI-Audits täuschen, indem sie die SHAP-Attribution auf effektiv Null reduzieren.

Die Bedeutung dieser Arbeit liegt in der Aufdeckung der Unzulänglichkeit aktueller Auditierungs-Frameworks. Die verbesserte Stealthiness der TIRA-Angriffe deutet darauf hin, dass das Fehlen eines starken Attributionssignals nicht zwangsläufig Gleichberechtigung oder das Fehlen einer adversariellen Perturbation bedeutet. Folglich schließt das Paper mit der Forderung nach der dringenden Entwicklung von integritätsbasierten Evaluierungsmethodologien, die Inkonsistenzen zwischen einem Modell und seinen Erklärungen erkennen können, anstatt sich ausschließlich auf die von aktuellen Tools bereitgestellten Metriken und Attributionswerte zu verlassen.