Adversarial Attacks on Artificial Intelligence Models: Defence Strategies, Datasets, Evaluation Metrics, and Future Research Directions

In der modernen digitalen Welt verlassen sich Banken, Krankenhäuser und Stromnetze stark auf künstliche Intelligenz, um riesige Mengen an Daten nutzbar zu machen. Diese Systeme, die auf maschinellem Lernen und Deep Learning basieren, fungieren als unermüdliche Wächter. Sie scannen den Netzwerkverkehr, um Eindringlinge aufzuspüren, analysieren Dateien, um versteckte Malware zu finden, und verifizieren Identitäten, um unbefugte Nutzer fernzuhalten. Jahrelang wurden diese Werkzeuge für ihre Fähigkeit gefeiert, komplexe Muster zu erlernen und sich an neue Bedrohungen anzupassen, wobei sie unter normalen Bedingungen oft bis zu fünfundneunzig Prozent der Gefahren abfangen. Doch eine verborgene Schwachstelle ist entstanden. Genau wie ein Mensch durch eine geschickte Illusion getäuscht werden kann, können auch diese intelligenten Systeme durch Eingaben getäuscht werden, die dem Original fast identisch aussehen, aber winzige, sorgfältig gestaltete Verzerrungen enthalten. Diese Verzerrungen, bekannt als adversarielle Angriffe (adversarial attacks), sind darauf ausgelegt, die Logik des Computers zu verwirren, was dazu führt, dass er einen gefährlichen Virus als harmlos klassifiziert oder einem Hochstapler Zugang gewährt. Die Einsätze sind hoch: Ein einziger erfolgreicher Trick könnte es einem Hacker ermöglichen, Millionen zu stehlen, eine kritische Infrastruktur abzuschalten oder die Sicherheit auf nationaler Ebene zu umgehen.

Ein Team von Forschern aus Universitäten in Irak und Malaysia hat diese wachsende Bedrohung umfassend untersucht. Sie haben nicht nur eine Art von Angriff oder eine spezifische Verteidigung untersucht; stattdessen haben sie eintausend Forschungsarbeiten gesammelt und analysiert, die zwischen 2017 und 2025 veröffentlicht wurden, um die gesamte Landschaft des Problems abzubilden. Ihr Ziel war es zu verstehen, wie diese Angriffe funktionieren, wie gut die aktuellen Abwehrmechanismen standhalten und wo die Lücken bestehen. Durch die Sichtung dieser massiven Menge an Literatur identifizierten sie zwölf neue Arten von adversariellen Angriffen, die zuvor nicht in einem einzigen Rahmen zusammengefasst worden waren. Sie fanden heraus, dass Angreifer mit unterschiedlichen Wissensstufen operieren können: Einige kennen die gesamten inneren Abläufe des Systems, das sie angreifen, während andere nur die Endausgabe sehen, und einige liegen irgendwo dazwischen. Die Forscher entdeckten auch, dass Angriffe in verschiedenen Phasen stattfinden können, entweder durch das Vergiften (Poisoning) der Daten, während das System lernt, oder durch das Einschleusen tückischer Eingaben, nachdem das System bereits in Betrieb ist.

Die Studie zeigt eine ernüchternde Realität über den aktuellen Stand der Sicherheit auf. Obwohl Forscher viele Wege entwickelt haben, um diese Tricks zu erkennen und zu blockieren, sind die Abwehrmechanismen oft unausgewogen. Die Autoren fanden heraus, dass sich fast siebzig Prozent der bestehenden Forschung darauf konzentrieren, den Angriff nach dessen Ausführung zu erkennen, während nur etwa dreiundzwanzig Prozent darauf abzielen, die Modelle während ihrer Trainingsphase robuster zu machen. Dieses Ungleichgewicht macht Systeme verwundbar, da Angreifer Schwachstellen in der Art und Weise ausnutzen können, wie das Modell ursprünglich aufgebaut wurde. Darüber hinaus hob das Team eine signifikante Diskrepanz zwischen Laborexperimenten und der Anwendung in der realen Welt hervor. In kontrollierten Umgebungen mögen Verteidigungsmaßnahmen perfekt erscheinen, doch wenn sie in die chaotische, unvorhersehbare Umgebung der realen Welt übertragen werden, kann ihre Erfolgsquote um bis zu sechzig Prozent sinken. Dieser Rückgang geschieht, weil reale Systeme vor Herausforderungen wie begrenzter Rechenleistung, der Notwendigkeit von Echtzeitentscheidungen und der schieren Vielfalt an sich ständig weiterentwickelnden Angriffsmethoden stehen.

Um diese Probleme anzugehen, schlug das Forschungsteam ein neues, dreistufiges Framework vor, um die Art und Weise zu organisieren, wie wir über diese Angriffe und Verteidigungen denken. Diese Struktur hilft Sicherheitsexperten, Bedrohungen basierend auf dem Wissen des Angreifers, dessen Zielen und der Art der Datenveränderung zu kategorisieren. Sie überprüften auch die Werkzeuge und Datensätze, die zur Testung dieser Systeme verwendet werden, und stellten fest, dass zwar viele Standardtests existieren, es jedoch keinen einzelnen, allgemein akzeptierten Standard zur Messung des Erfolgs über alle verschiedenen Arten von KI hinweg gibt. Dieser Mangel an Standardisierung erschwert es Organisationen, den richtigen Schutz für ihre spezifischen Bedürfnisse auszuwählen. Die Arbeit legt nahe, dass zukünftiger Fortschritt davon abhängen wird, verschiedene Strategien zu kombinieren, wie etwa den Einsatz von Blockchain zur Sicherung des Datenaustauschs, die Integration von künstlicher Intelligenz in Entscheidungsunterstützungssysteme, um Menschen bei besseren Entscheidungen zu helfen, und die Entwicklung von Abwehrmechanismen, die effizient auf kleinen Edge-Geräten wie Sensoren und Kameras funktionieren.

Letztlich dient diese Übersichtsarbeit als entscheidender Leitfaden für die nächste Generation der Cybersicherheit. Sie bestätigt, dass die künstliche Intelligenz zwar die Art und Weise, wie wir unsere digitale Infrastruktur schützen, revolutioniert hat, aber auch eine neue Art von Verwundbarkeit eingeführt hat, die ständiger Wachsamkeit bedarf. Die Forscher betonen, dass es kein einzelnes Wundermittel gibt, um diese Angriffe zu stoppen. Stattdessen wird der Aufbau sicherer Systeme einen vielschichtigen Ansatz erfordern, der bessere Trainingsmethoden, Echtzeiterkennung und eine globale Anstrengung zur Schaffung standardisierter Regeln für das Testen und Validieren dieser Technologien kombiniert. Während die Technologie weiter fortschreitet, wird sich das Rennen zwischen denen, die die Verteidigung aufbauen, und denen, die versuchen, sie zu brechen, intensivieren, was die Arbeit der Untersuchung und Kategorisierung dieser Bedrohungen wichtiger denn je macht.