ARMOR++: Agentic Orchestration of a Multi-Domain Primitive Set for Transferable Attacks on Deepfake Detectors
Dieses Paper stellt ARMOR++ vor, ein robustes Multi-Agenten-Framework, das Qwen2.5-VL und Qwen3 nutzt, um eine vielfältige Menge an adversariellen Primitiven zu orchestrieren und unter strengen Black-Box-Beschränkungen im Vergleich zu bestehenden State-of-the-Art-Methoden signifikant höhere Transferierbarkeit und Angriffserfolgsraten gegen Deepfake-Detektoren zu erreichen.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Stellen Sie sich das Internet als eine riesige, belebte Kunstgalerie vor, in der jeder ein Bild malen kann. Lange Zeit galt: Wenn man wissen wollte, ob ein Gemälde echt oder eine Fälschung war, schaute man es sich einfach mit den Augen an. Doch vor kurzem ist ein neuer, magischer Pinsel aufgetaucht – künstliche Intelligenz –, der Gesichter so perfekt malen kann, dass selbst Experten Schwierigkeiten haben, den Unterschied zu erkennen. Dies hat ein hochkarätiges Katz-und-Maus-Spiel entfacht. Auf der einen Seite haben wir „Detektive“ (KI-Modelle), die darauf trainiert sind, die winzigen, unsichtbaren Fehler aufzuspüren, die diese magischen Pinsel hinterlassen haben. Auf der anderen Seite haben wir „Hacker“, die versuchen, die Detektive zu täuschen, indem sie einem gefälschten Gesicht gerade genug Rauschen hinzufügen, damit es für den Detektiv echt aussieht, ohne dass sich das Aussehen des Gesichts für einen Menschen tatsächlich verändert. Hier geht es nicht nur um Kunst; es geht um Vertrauen. Wenn wir nicht mehr unterscheiden können, was echt ist, können wir weder unseren Nachrichten, noch unseren Sicherheitskameras oder einmal unseren eigenen Augen vertrauen. Die große Frage ist: Woher wissen wir, ob unsere digitalen Detektive tatsächlich zuverlässig sind oder ob sie nur durch einen cleveren Trick leicht getäuscht werden können?
Hier kommt ARMOR++ ins Spiel, ein neues, super-intelligentes „Hacker“-Team, das darauf ausgelegt ist, diese Detektive zu testen. Betrachten Sie Deepfake-Detektoren wie Sicherheitsleute vor einem Club. Einige Sicherheitsleute achten nur auf die Form eines Gesichts (wie ein Convolutional Neural Network), während andere das ganze Bild und wie die Teile zusammenpassen, betrachten (wie ein Vision Transformer). Das Problem ist, dass ein Trick, der bei einem Typ von Sicherheitsleuten funktioniert, beim anderen oft scheitert. Frühere Versuche, diese Sicherheitsleute zu täuschen, waren wie das Werfen einer einzigen Art von Stein gegen eine Wand; manchmal funktionierte es, aber oft war die Wand zu stark oder bestand aus einem anderen Material.
ARMOR++ ist anders, denn es wirft nicht nur einen Stein; es schickt ein ganzes Team von Spezialisten, die miteinander kommunizieren. Das Team wird von zwei sehr klugen „Agenten“ (Computerprogrammen, die auf großen Sprachmodellen basieren) geleitet. Der erste Agent, der Analyst, betrachtet das gefälschte Gesicht und nutzt seine „Augen“, um die seltsamen Stellen zu finden – wie eine verschwommene Kante oder eine merkwürdige Textur – und sagt: „Hey, greife hier an!“ Der zweite Agent, der Dirigent, fungt wie ein Coach. Er wählt nicht nur einen Angriff aus; er leitet eine Truppe von fünf verschiedenen „Angreifern“, von denen jeder eine einzigartige Superkraft besitzt:
- Der Blender: Fügt überall eine glatte, dichte Schicht aus Rauschen hinzu.
- Der Pincher (Zupfer): Verändert nur einige spezifische Pixel, um den Sicherheitsmann zu verwirren.
- Der Shifter (Verschieber): Verformt das Gesicht sanft, wie das Dehnen eines Gummiblatts.
- Der Frequenz-Zauberer: Ändert die „Farben“ des Bildes auf eine Weise, die Menschen nicht sehen können, die Computer aber schon (wie das Drehen an einem Radioknopf).
- Der Block-Mischer: Schneidet das Bild in Puzzleteile und tauscht diese untereinander aus.
Was ARMOR++ besonders macht, ist, dass es ein Spiel aus „Raten und Prüfen“ spielt, ohne jemals den Ziel-Sicherheitsmann um Hilfe zu bitten. Es übt an einer Gruppe von Übungs-Sicherheitsleuten (Surrogatmodellen), die es in- und auswendig kennt. Es probiert verschiedene Kombinationen seiner fünf Angreifer aus, hört auf seine klugen Agenten und passt seine Strategie in Echtzeit an. Wenn ein Angriff nicht funktioniert, gibt das Team nicht auf; es ändert die Regeln, versucht eine andere Mischung von Angriffen und macht weiter, bis es die perfekte Kombination findet, um den Ziel-Sicherheitsmann zu täuschen.
Die Arbeit stellt fest, dass dieser teambasierte Ansatz unglaublich effektiv ist. Als es auf einer massiven Sammlung gefälschter Gesichter (dem AADD-2025 Benchmark) getestet wurde, gelang es ARMOR++, die fortschrittlichsten „blinden“ Sicherheitsleute (diejenigen, die es zuvor noch nie gesehen hatte) bei Bildern niedriger Qualität in etwa 44,3 % der Fälle und bei Bildern hoher Qualität in etwa 32,1 % der Fälle zu täuschen. Um dies in Perspektive zu setzen: Das bisher beste Team (genannt ARMOR) täuschte sie nur etwa 39,6 % der Zeit bei niedriger Qualität und 28,3 % bei hoher Qualität, während Standardmethoden mit einem „Einzelangriff“ kaum die 20 % knackten.
Die Forscher prüften auch, ob diese Tricks weiterhin funktionieren, wenn die Sicherheitsleute ein grundlegendes Training erhalten haben, um Angriffen zu widerstehen (wie „Adversarial Training“). Selbst dann war ARMOR++ am erfolgreichsten und täuschte die Sicherheitsleute immer noch in etwa 19,8 % der Fälle, während andere Methoden auf nahezu Null fielen. Dies deutet darauf hin, dass selbst unsere besten aktuellen Sicherheitssysteme eine erhebliche „blinde Stelle“ gegenüber solch klugen, mehrdimensionalen Angriffen haben. Die Autoren kommen zu dem Schluss, dass unsere Detektoren zwar besser darin werden, Fälschungen zu erkennen, aber immer noch nicht zuverlässig genug sind, um voll vertraut zu werden – insbesondere, wenn sie einem Angreifer gegenüberstehen, der denken, sich anpassen und gleichzeitig viele verschiedene Arten von Tricks anwenden kann. Es ist ein Weckruf: Im Wettlauf zwischen Fälscher-Erzeugern und echten Detektoren haben die Detektoren noch viel Arbeit vor sich.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.