🤖 machine learning

Steal the Patch Size: Adversarially Manipulate Vision-Language Models

Dieses Paper führt „Steal the Patch Size“ ein, einen Black-Box-Angriff, der auf aufgabenbezogene Genauigkeitsabfälle durch Seitenkanäle in Vision-Language-Modellen ausnutzt, um private Tokenizer-Konfigurationen, wie etwa die Patch-Größe und Vorverarbeitungspipelines, zu rekonstruieren und dadurch gezielte adversarielle Manipulationen zu ermöglichen.

Ursprüngliche Autoren: Kai Hu, Akash Bharadwaj, Weichen Yu, Matt Fredrikson

Veröffentlicht 2026-07-02

📖 4 Min. Lesezeit☕ Kaffeepausen-Lektüre

CC BY 4.0

Ursprüngliche Autoren: Kai Hu, Akash Bharadwaj, Weichen Yu, Matt Fredrikson

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich vor, Sie versuchen, das geheime Rezept der Suppe eines berühmten Kochs zu erraten, aber Sie dürfen weder die Küche, die Zutaten noch die Notizen des Kochs sehen. Sie dürfen nur die Suppe bestellen, sie probieren und fragen: „Wie schmeckt das?“

Dieses Paper beschreibt einen cleveren Trick, bei dem Forscher die „Suppe“ moderner KI-Bildlöser (genannt Vision-Language Models) „probiert“ haben, um deren geheimes Rezept herauszufinden. Speziell gelang es ihnen, zwei verborgene Details zu stehlen:

Die „Patch-Größe“: Wie die KI ein Bild in winzige quadratische Kacheln zerlegt, bevor sie es betrachtet.
Die „Vorverarbeitung“ (Preprocessing): Ob die KI jedes Bild auf eine bestimmte Größe staucht oder sie je nach Originalform unterschiedlich behandelt.

Hier ist, wie sie es geschafft haben, unter Verwendung einfacher Analogien.

Das „Erdbeer“-Problem

Wissen Sie, wie manche Menschen Schwierigkeiten haben, den Buchstaben „r“ im Wort „strawberry“ zu zählen? Das liegt daran, dass das Gehirn das ganze Wort sieht, nicht die einzelnen Buchstaben.

Dieses Paper fand heraus, dass KI-Modelle ein ähnliches Problem mit Bildern haben. Die meisten KI-Modelle betrachten ein Bild nicht als ein kontinuierliches Bild; sie zerlegen es in ein Gitter aus kleinen Quadraten (Patches), wie ein Mosaik. Wenn die KI das Bild in 16x16 Pixel große Quadrate zerlegt, behandelt sie jedes Quadrat als ein einzelnes „Wort“ (oder Token).

Die Falle: Das Gitter-Spiel

Die Forscher entwickelten ein einfaches Spiel, um die KI auszutricksen. Sie zeigten der KI das Bild eines farbigen Gitters (wie ein Schachbrettmuster) und fragten: „Wie viele Quadrate sind in diesem Gitter?“

Menschen können das sofort beantworten. Aber die KI begann in einem sehr seltsamen, vorhersehbaren Muster zu scheitern:

Wenn die Gittersquadrate eine bestimmte Größe hatten, hatte die KI recht.
Wenn die Gittersquadrate etwas größer oder kleiner waren, lag die KI falsch.
Wenn die Gittersquadrate exakt dieselbe Größe wie die verborgenen „Zerlegungs-Kacheln“ der KI hatten, wurde die KI völlig blind und versagte kläglich.

Warum? Stellen Sie sich vor, die Zerlegungs-Kacheln der KI sind perfekt mit den Gitterlinien ausgerichtet. Die KI betrachtet eine Kachel und sieht nur eine einzige, durchgehende Farbe. Sie sieht niemals die Linie, an der die Farben wechseln, weil die Linie genau zwischen den Kacheln liegt. Es ist, als würde man versuchen, die Kante einer Ziegelwand zu sehen, indem man nur die Ziegel betrachtet, aber niemals den Mörtel. Die KI verliert die Fähigkeit zu zählen.

Der Raubzug: Die Geheimnisse stehlen

Durch das Testen tausender verschiedener Gittergrößen beobachteten die Forscher diese „blinden Flecken“.

Die Bestimmung der Kachelgröße: Sie bemerkten, dass die KI jedes Mal versagte, wenn die Gittergröße ein Vielfaches einer bestimmten Zahl war (z. B. 14, 28, 42). Dies verriet ihnen, dass die verborgene „Zerlegungs-Kachel“ der KI exakt 14 Pixel breit war.
Die Bestimmung der Größenänderungs-Regel: Einige KI-Modelle stauchen jedes Bild auf eine feste Größe (wie 512x512), bevor sie es zerlegen. Andere behandeln verschiedene Größen unterschiedlich.
- Wenn die KI Bilder staucht, verschwinden die „blinden Flecken“, wenn man nur die Gittergröße ändert.
- Aber die Forscher fügten einen Trick hinzu: Sie platzierten das Gitter in eine größere, leere Leinwand (Padding). Durch das Ändern der Größe dieser leeren Leinwand konnten sie die KI dazu zwingen, die Bilder auf vorhersehbare Weise zu stauchen. Dies enthüllte die exakte Größe, auf die die KI die Bilder stauchte (z. B. 512 Pixel).

Das Ergebnis: Sie kennen die Geheimnisse

Mit dieser Methode gelang es den Forschern, die verborgenen Einstellungen großer KI-Modelle wie GPT-4o, Claude und Qwen zu erraten. Sie mussten nicht den Code hacken; sie stellten nur die richtigen Fragen und beobachteten, wo die KI stolperte.

Warum ist das wichtig? (Der „gezielte“ Angriff)

Das Paper zeigt, dass das Wissen über diese Geheimnisse einen „chirurgischen“ Angriff ermöglicht.

Stellen Sie sich vor, Sie möchten eine spezifische KI dazu bringen, ein Stoppschild als Geschwindigkeitsbegrenzungsschild zu sehen, aber Sie wollen eine andere KI nicht austricksen wollen.

Ohne das Geheimnis: Erstellen Sie einen generischen Trick, der entweder bei beiden funktioniert oder bei keinem.
Mit dem Geheimnis: Sie wissen genau, wie diese erste KI ihre Bilder zerlegt. Sie können einen Trick erstellen, der perfekt für diesen spezifischen Zerlegungsstil funktioniert, aber für die zweite KI (die anders zerlegt) völlig normal aussieht.

Es ist, als wüsste man, dass die Stifte eines bestimmten Schlosses 14 mm breit sind. Man kann einen Schlüssel fertigen, der nur dieses Schloss öffnet, während alle anderen Schlösser unberührt bleiben.

Zusammenfassung

Das Paper beweist, dass die „unsichtbare“ Art und Weise, wie KI-Modelle Bilder verarbeiten, einen Fingerabdruck hinterlässt. Durch das Stellen einfacher Fragen über Gitter können Forscher die internen Einstellungen des Modells rückentwickeln. Dies offenbart, dass die „Implementierungsdetails“, wie eine KI die Welt sieht, tatsächlich geheime Schlüssel sind, die – falls gestohlen – es Angreifern ermöglichen, hochspezifische und gefährliche Tricks gegen diese Modelle anzuwenden.

Technisches Resümee: Steal the Patch Size: Adversarially Manipulate Vision-Language Models

Problemstellung

Eingesetzte Vision-Language Models (VLMs) verlassen sich auf komplexe, oft undokumentierte visuelle Vorverarbeitungspipelines. Diese Pipelines beinhalten kritische architektonische und systemische Designentscheidungen wie die visuelle Patch-Größe ( $P$ ), Strategien zur Bildskalierung, Padding-/Cropping-Regeln sowie Zielauflösungen ( $S$ ). Während diese Parameter die Effizienz, Genauigkeit und Robustheit eines Modells erheblich beeinflussen, werden sie typischerweise als private Informationen zum Zeitpunkt des Deployments behandelt und nicht über APIs oder Dokumentationen offengelegt.

Dieses Paper adresset eine „blinde Stelle“ (Blind Spot) bei Black-Box-VLMs: die Unfähigkeit dieser Modelle, triviale Aufgaben (wie das Zählen von Gitternetzzellen) auszuführen, wenn spezifische strukturelle Ausrichtungen zwischen dem Eingabebild und dem internen Tokenisierungsraster des Modells vorliegen. Die Autoren postulieren, dass diese Fehler nicht zufällig sind, sondern einen deterministischen, aufgabenbezogenen Seitenkanal darstellen, der durch die ViT-artige Patchifizierung induziert wird. Die zentrale Forschungsfrage ist, ob private architektonische und Vorverarbeitungsparameter von Black-Box-VLMs allein durch den Zugriff auf die API systematisch rekonstruiert werden können, ohne Zugriff auf Gradienten, interne Aktivierungen oder Trainingsdaten zu haben.

Methodik

Der vorgeschlagene Angriff, bezeichnet als Patch-Size Matching (PSM), nutzt die geometrische Beziehung zwischen den Grenzen des Eingaberasters und dem internen Patch-Raster des Modells aus.

1. Der Mechanismus: Patch-Size Matching (PSM)

Die meisten VLMs tokenisieren Bilder mithilfe eines Vision Transformers (ViT), der Eingaben in nicht überlappende $P \times P$ Patches unterteilt.

Das Phänomen: Wenn ein synthetisches Gitterbild mit einer Zellgröße $D$ verarbeitet wird und die effektive Zellgröße im Eingaberaum des Tokenizers ( $D_{eff}$ ) ein ganzzahliges Vielfaches der Patch-Größe ist ( $D_{eff} = kP$ ), fallen die Gittergrenzen exakt zwischen die Patches.
Die Konsequenz: Da das Innere jeder Gitterzelle eine konstante Farbe aufweist, enthalten Patches, die vollständig innerhalb einer Zelle liegen, keine Kanteninformationen. Der Tokenisierungsprozess unterdrückt die Grenzsignale, was dazu führt, dass das Modell gegenüber der Gitterstruktur „blind“ wird.
Das Signal: Während die Zellgröße $D$ des Gitters variiert (Sweep), zeigt die Genauigkeit des Modells bei einer Gitterzählaufgabe periodische Abfälle (Täler), wann immer $D_{eff}$ mit einem Vielfachen von $P$ übereinstimmt.

2. Der dreistufige Black-Box-Angriff

Die Autoren schlagen ein systematisches Verfahren zur Rekonstruktion verborgener Parameter unter unbekannten Skalierungs- und Padding-Bedingungen vor:

Stufe 1: Ungepaudeter Sweep (Dynamische vs. Fixe Auflösung)
Der Angreifer fragt das Modell mit Gitterbildern variierender Zellgrößen $D$ ohne Padding ab.
- Wenn das Modell eine dynamische Auflösung verwendet, treten die periodischen Genauigkeitsabfälle direkt auf, was die direkte Ableitung der Patch-Größe $P$ aus der Periode der Abfälle ermöglicht.
- Wenn das Modell eine fixe Auflösung verwendet (Skalierung der Eingaben auf eine Zielauflösung $S$ ), wird die Periodizität verschleiert, da $D$ nichtlinear skaliert wird.
Stufe 2: Wiederherstellung der Periodizität via Zero-Padding
Für Modelle, bei denen der Verdacht auf eine feste Auflösung besteht, bettet der Angreifer das Gitterbild in eine größere Leinwand $L \times L$ mittels Zero-Padding ein (Inhalt wird oben links verankert).
- Dies führt einen kontrollierbaren Skalierungsfaktor ein. Wenn das Modell die $L \times L$ Leinwand auf eine feste Zielauflösung $S$ skaliert, wird die effektive Zellgröße zu $D_{eff} = (S/L)D$ .
- Durch das Variieren von $D$ für verschiedene Leinwandgrößen $L$ beobachtet der Angreifer, dass die Periode der Genauigkeitsabfälle $T(L)$ linear mit $L$ skaliert.
- Dies ermöglicht die Rekonstruktion des Skalierungsverhältnisses $S/P$ über die Relation $S/P = L/T(L)$ .
Stufe 3: Konsistenzprüfung für die Zielauflösung
Stufe 2 liefert einen Kandidaten-Satz von $(S, P)$ -Paaren. Um die wahre Zielauflösung $S$ zu identifizieren:
- Führt der Angreifer einen Hypothesentest durch, der die Konsistenz der Modellausgaben vergleicht.
- Die Logik dahinter ist: Wenn das interne Ziel des Modells $S$ ist, sollte eine Vor-Skalierung des Bildes auf $S$ , bevor die Abfrage erfolgt, Antworten liefern, die konsistenter mit der Rohabfrage sind als eine Vor-Skalierung auf ein falsches Kandidatenszenario $S'$ .
- Ein statistisches Turnier wählt das eindeutige $S$ aus, das konsistent die höchste Antwortkonsistenz maximiert.

3. Statistische Validierung

Um subjektive Interpretationen von Genauigkeitsabfällen zu vermeiden, verwenden die Autoren einen nicht-parametrischen Permutationstest (nach Welch), um die statistische Signifikanz der beobachteten Periodizität zu bestimmen und sicherzustellen, dass die identifizierten Perioden keine Artefakte von Rauschen sind.

Kernergebnisse

Der Angriff wurde über Open-Source-Modellen (Qwen-VL Varianten, InternVL) und proprietären Modellen (GPT-4.1-mini, GPT-4o, Claude 3.7, Claude 4.5) evaluiert.

Parameter-Rekonstruktion: Die Methode konnte Patch-Größen und Vorverarbeitungsverhaltensweisen erfolgreich rekonstruieren.
- Qwen3-VL 30B: Identifizierte dynamische Auflösung mit $P=16$ .
- Claude 3.7: Identifizierte dynamische Auflösung mit $P=14$ .
- GPT-4.1-mini: Identifizierte dynamische Auflösung mit $P=16$ .
- GPT-4o: Identifizierte eine Vorverarbeitung mit fixer Auflösung. Durch den dreistufigen Prozess konnten die Autoren eine Zielauflösung von $S=512$ und eine Patch-Größe von $P=16$ ableiten.
Robustheit: Der Angriff blieb effektiv, selbst wenn Modelle unbekannte Skalierungs-, Padding- oder dynamische Auflösungsstrategien anwandten.
Kosten: Der Angriff erfordert etwa $4,8 \times 10^4$ Abfragen (ca. $10^7$ Token) für hohe Konfidenzintervalle, was bei typischer API-Preisgestaltung etwa $10\text{--}50\$ $ kostet.

Bedeutung und Implikationen

Das Paper behauptet, dass die Rekonstruktion dieser „Implementierungsdetails“ nicht nur eine akademische Übung ist, sondern eine Voraussetzung für fortgeschrittene Sicherheitsangriffe darstellt.

Vorverarbeitungsbewusste Transfer-Angriffe: Das Wissen über die exakte Vorverarbeitungspipeline ermöglicht es Angreifern, adversarielle Perturbationen zu entwerfen, die Verzerrungen (Aliasing) durch Skalierung und Padding vermeiden, was die Transferierbarkeit signifikant verbessert.
Modell-spezifische adversarielle Manipulation: Die Autoren zeigen, dass die geleakten Parameter die Erstellung von adversariellen Beispielen ermöglichen, die gezielt ein spezifisches Zielmodell manipulieren, während sie für andere Modelle mit unterschiedlichen Pipelines harmlos bleiben.
- Experimenteller Beweis: In einem gezielten Angriffsexperiment auf den NIPS 2017 Datensatz erreichte ein speziell für GPT-4o (unter Verwendung der rekonstruierten Werte $S=512, P=16$ ) entworfener Angriff eine Erfolgsquote von 86,5 % auf GPT-4o, während die Erfolgsquote auf Claude 3.7 auf 4,5 % sank. Umgekehrt gelang ein auf Claude 3.7 ausgerichteter Angriff gegen diesen (18,5 %), scheiterte jedoch gegen GPT-4o.

Fazit

Die Autoren kommen zu dem Schluss, dass die ViT-artige Patchifizierung eine detektierbare Signatur im Black-Box-Verhalten erzeugt, die private Deployment-Konfigurationen preisgibt. Sie argumentieren, dass „Implementierungsdetails“ in der visuellen Frontend-Komponente sicherheitsrelevante Geheimnisse sind. Das Paper legt nahe, dass Maßnahmen wie randomisierte/stochastische Vorverarbeitung, grenzerhaltende Tokenisierung oder Query-Kontrollen notwendig sind, um eine solche Parameter-Exfiltration und die daraus resultierenden modell-spezifischen Manipulationen zu verhindern.