Shared Vulnerabilities in Robustness-Optimized Defenses: One Breach Exposes the Family

Stellen Sie sich eine Welt vor, in der Ihr Telefon, Ihr Auto und sogar Ihre medizinischen Geräte von superintelligenten KI-Gehirnen gesteuert werden. Diese Gehirne sind großartig darin, Gesichter zu erkennen oder Röntgenbilder zu lesen, aber sie haben eine geheime Schwäche: Ein winziger, fast unsichtbarer Fleck auf einem Bild kann sie dazu bringen, etwas völlig anderes zu sehen. Es ist, als würde man einen einzigen, winzigen Punkt auf ein Stoppschild zeichnen, der ein selbstfahrendes Auto glauben lässt, es sei ein Tempolimit-Schild. Um dies zu verhindern, haben Wissenschaftler „Leibwächter“ für diese KI-Gehirne gebaut. Einige Leibwächter trainieren die KI dazu, hart im Nehmen zu sein, indem sie ihr tausende von tückischen Bildern zeigen (Adversarial Training), während andere wie ein Filter wirken, der das Bild reinigt, bevor die KI es sieht (Adversarial Purification). Jeder hofft, dass diese Leibwächter die KI unzerstörbar machen. Aber was, wenn alle diese Leibwächter, obwohl sie unterschiedlich aussehen, eigentlich dieselbe geheime Uniform tragen? Was, wenn das Knacken eines von ihnen den Bösewichten versehentlich die Schlüssel dazu liefert, sie alle zu knacken?

Dies ist genau die erschreckende Entdeckung, die Hanrui Wang und sein Team in ihrem neuen Paper gemacht haben. Sie fanden heraus, dass, wenn verschiedene KI-Verteidigungen darauf optimiert werden, „robust“ (widerstandsfähig gegen Angriffe) zu sein, sie versehentlich dieselben verborgenen Schwächen teilen. Es ist wie eine Familie von Superhelden, die alle im selben Dojo trainiert haben; wenn ein Schurke herausfindet, wie man einen von ihnen besiegt, kann er möglicherweise die ganze Familie besiegen, ohne einmal auch nur versuchen zu müssen, ihre spezifischen Techniken zu lernen. Die Forscher haben dies nicht nur vermutet; sie haben einen einfachen, cleveren Test namens „PGDTransfer“ und eine spezielle Karte namens „Adversarial Sensitivity Maps“ entwickelt, um es zu beweisen. Sie fanden heraus, dass, sobald man eine Art von „Reinigungs“-Verteidigung knackt, der Angriff oft bei fast allen anderen Reinigungs-Verteidigungen funktioniert, mit einer Erfolgsquote von über 80 % in einigen Fällen. Dies deutet darauf hin, dass es nicht ausreicht, die KI nur härter zu machen; wir müssen auch sicherstellen, dass verschiedene Verteidigungen nicht dieselben geheimen Risse teilen.

Das Familiengeheimnis: Ein Durchbruch, alle entblößt

Stellen Sie sich KI-Verteidigungen wie verschiedene Marken von High-Tech-Schlössern vor. Einige Schlösser verwenden einen Fingerabdruckscanner, andere einen Netzhautscan und manche einen Sprachcode. Man würde davon ausgehen, dass, wenn ein Dieb das Fingerabdruckschloss knackt, er das Netzhautschloss nicht öffnen kann. Aber dieses Paper enthüllt eine Wendung: Wenn all diese Schlösser nach derselben „Sicherheitsphilosophie“ (dem Ziel, super robust zu sein) entworft wurden, könnten sie alle dieselbe winzige, unsichtbare Schwachstelle in ihren Zahnrädern haben.

Die Forscher nennen dies eine „Shared Vulnerability“ (gemeinsame Verwundbarkeit). Sie fanden heraus, dass KI-Systeme, wenn sie darauf trainiert werden, super widerstandsfähig gegen Angriffe zu sein, dazu neigen, die gleichen Teile eines Bildes zu ignorieren und sich auf die gleichen „sicheren“ Teile zu konzentrieren. Das bedeutet, dass, wenn ein Hacker ein Trugbild erstellt, um eine spezifische, starke KI zu täuschen, dasselbe Trugbild oft auch auf andere starke KIs funktioniert, selbst wenn sie im Inneren völlig unterschiedlich aussehen. Es ist, als hätte ein Meisterdieb einen Generalschlüssel gefunden, der in jedes Schloss in einer Nachbarschaft passt, weil alle Schlösser aus ders

Die Detektivarbeit: Wie sie den Riss fanden

Um dies zu beweisen, musste das Team sehr vorsichtig vorgehen. In der Vergangenheit haben Menschen getestet, ob Angriffe „transferieren“ (also auf einer anderen KI funktionieren) können, indem sie riesige, offensichtliche Veränderungen an den Bildern vornahmen. Die Forscher stellten fest, dass dies Schummeln war; wenn man ein Bild stark genug beschmiert, wird jede KI verwirrt, aber nicht, weil sie eine gemeinsame Schwäche teilen, sondern weil das Bild einfach ruiniert ist.

Deshalb erfanden sie strengere Regeln für ihren Test:

1. Nur winzige Änderungen: Sie verwendeten sehr kleine, kaum sichtbare Änderungen (ein Budget von $\epsilon = 4/255$), um sicherzustellen, dass der Angriff nicht einfach nur das Bild zerstört.
2. Kein Schummeln: Sie verwendeten die „Single-Surrogate“-Regel. Der Hacker darf an einer KI (der Surrogate) trainieren, muss aber eine andere KI (die Target-KI) angreifen, ohne deren Geheimnisse zu kennen.
3. Der einfache Angriff: Anstatt ein superkomplexes, schickes Hacking-Tool zu verwenden, nutzten sie eine sehr einfache Methode namens PGDTransfer. Es ist, als würde man einen einfachen Schraubendreher anstelle eines Laserschneiders verwenden. Wenn ein einfacher Schraubendreher mehrere Schlösser knacken kann, beweist das, dass die Schlösser selbst das Problem sind, nicht das Werkzeug.

Sie erstellten auch Adversarial Sensitivity Maps (AdvSMs). Stellen Sie sich vor, Sie betrachten eine Stadtkarte, um zu sehen, welche Straßen belebt sind. Diese Karten zeigen genau, auf welche Pixel (winzige Punkte) in einem Bild eine KI achtet. Die Forscher fanden heraus, dass „starke“ KIs alle auf die gleichen spezifischen Pixel achten und die gleichen anderen ignorieren. Es ist, als hätten sich alle Leibwächter der Familie entschieden, Wache an der Vordertür zu halten und das hintere Fenster zu ignorieren. Wenn ein Dieb weiß, wie er durch das hintere Fenster eines Leibwächters eindringen kann, weiß er genau, wo er bei allen anderen suchen muss.

Die Ergebnisse: Ein Weckruf

Die Zahlen, die sie fanden, sind ziemlich erschreckend. Als sie diese einfachen Angriffe gegen „Purification“-Verteidigungen (diejenigen, die versuchen, das Bild zu reinigen) testeten:

• Der Angriff war im Durchschnitt in 80,4 % der Fälle erfolgreich, über verschiedene Arten von Reinigern hinweg (Filter-, Kompressions- und Diffusions-basiert).
• Obwohl diese Verteidigungen einzeln betrachtet stark erschienen, waren sie alle anfällig für denselben einfachen Trick.
• Dies geschah selbst bei Diffusions-basierten Verteidigungen, die derzeit zu den stärksten und komplexesten der Welt gehören.

Das Paper schließt explizit die Idee aus, dass dies nur daran liegt, dass die KI-Modelle ähnlich aussehen (wie etwa die gleiche Architektur zu haben). Sie testeten Modelle mit exakt demselben Design, aber unterschiedlichem Training, und fanden heraus: Wenn eine davon nicht „robust“ war, transferierte der Angriff nicht. Der Transfer fand nur statt, wenn beide auf Robustheit optimiert waren. Dies beweist, dass es die „Robustness Optimization“ selbst ist, die die gemeinsame Schwachstelle schafft.

Was dies für die Zukunft bedeutet

Die wichtigste Erkenntnis ist nicht, dass die KI zum Scheitern verurteilt ist, sondern dass unsere Art, sie sicher zu machen, eine Änderung benötigt. Momentan konzentrieren wir uns darauf, jede einzelne KI so stark wie möglich zu machen. Dieses Paper legt nahe, dass wir uns auch auf Diversität konzentrieren müssen. Wir müssen sicherstellen, dass verschiedene Verteidigungen nicht alle lernen, die gleichen Dinge zu ignorieren. Wenn wir sie alle auf die gleiche Weise zu „perfekt robust“ trainieren, bauen wir nur eine Familie von Schlössern, die alle denselben Generalschlüssel besitzen.

Die Autoren schlagen vor, dass zukünftige Sicherheit die „Vulnerability Diversity“ (Vielfalt der Verwundbarkeit) als Ziel behandeln sollte. Anstatt nur zu fragen: „Ist diese KI stark?“, sollten wir fragen: „Ist die Schwäche dieser KI anders als die der anderen?“ Wenn wir sicherstellen können, dass, wenn eine KI getäuscht wird, das nicht bedeutet, dass die ganze Familie entblößt ist, können wir eine viel sicherere digitale Welt aufbauen. Vorerst dient das Paper als Warnung: Ein einziger Durchbruch könnte die ganze Familie entblößen, also müssen wir aufhören, diese Verteidigungen als isolierte Inseln zu betrachten, und anfangen, sie als ein zusammenhängendes Ökosystem zu sehen.