🤖 AI

On the Insecurity of Keystroke-Based AI Authorship Detection: Timing-Forgery Attacks Against Motor-Signal Verification

Dit artikel toont aan dat op toetsaanslagen gebaseerde detectie van AI-auteurschap die steunt op de variabiliteit van intervallen tussen toetsaanslagen fundamenteel onveilig is, omdat zowel menselijke transcriptie van AI-tekst als geautomatiseerde timing-vervalsingsaanvallen een bijna perfecte ontwijkingsgraad kunnen bereiken, wat bewijst dat motorgestuurde signalen alleen niet de semantische oorsprong van inhoud kunnen verifiëren.

Oorspronkelijke auteurs: David Condrey

Gepubliceerd 2026-01-27

📖 5 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: David Condrey

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je een bewaker voor bij de deur van een bibliotheek. Zijn taak is om er zeker van te zijn dat de persoon die het boek vasthoudt het ook daadwerkelijk zelf heeft geschreven, in plaats van het te hebben overgeschreven van een computerscherm.

Een tijdje dachten experts dat ze een slimme manier hadden gevonden om dit te doen met behulp van typsnelheid. De theorie was: "Als je natuurlijk typt, pauzeer je, versnel je en vertraag je in een rommelig, menselijk ritme. Als een robot of een script typt, is het te perfect en te snel." Dus bouwden ze detectoren die keken naar de "hartslag" van je typen om te zien of je een mens was.

Dit artikel, "On the Insecurity of Keystroke-Based AI Authorship Detection," betoogt dat deze bewaker wordt gefopt. De auteur, David Condrey, laat zien dat deze detectoren naar het verkeerde kijken. Ze kunnen wel zien of er een lichaam de toetsen indrukt, maar ze kunnen niet zien of er een geest nadenkt over de woorden.

Hier is de uiteenzetting van de bevindingen van het artikel met behulp van eenvoudige analogieën:

1. De "Kopieer-Plak" Truc (De Copy-Type Aanval)

Het grootste gat in het beveiligingssysteem is een truc die de auteur een "Copy-Type Attack" noemt.

Het Scenario: Een student gebruikt AI (zoals ChatGPT) om een essay te schrijven. Vervolgens opent de student het essay op een telefoon, kijkt ernaar en typt het letter voor letter over op de computer van de school.
De Fout: De detectie ziet het typen. Het ziet de pauzes, de versnellingen en het "rommelige" ritme. Het zegt: "Aha! Dit is een mens die typt!"
De Realiteit: De mens heeft de ideeën niet geschreven; hij of zij fungeerde slechts als een "biologische printer". Omdat de detector alleen naar de vingers kijkt en niet naar de hersenen, wordt hij gefopt. Het is alsof een uitsmijter je ID controleert om te zien of je een echt persoon bent, maar niet controleert of je daadwerkelijk de auto bezit die je bestuurt.

2. De "Nepritme" Truc (Timing-Forgery Attacks)

Zelfs als een student het niet zelf typt, laat het artikel zien dat een hacker het typritme kan vervalsen met behulp van software.

De Analogie: Stel je een muzikant voor die precies weet hoe een jazzdrummer speelt. Hij kan een robot programmeren om de drums te raken met exact dezelfde "swing" en "pauze" als een mens.
Het Resultaat: De onderzoekers bouwden drie verschillende soorten "nepritme"-bots. Ze testten ze tegen de detectoren, en de bots fopten het systeem 99,8% van de tijd. De detectoren dachten dat de nepritmens echte mensen waren.

3. De Verwarring van "Twee Verschillende Taken"

Het artikel betoogt dat de mensen die deze detectoren bouwden een categoriefout hebben gemaakt. Ze verwarden twee zeer verschillende taken:

Taak A: Identiteitsverificatie. "Is dit specifieke persoon (John) aan het typen?" (Dit werkt goed. Je typstijl is als een vingerafdruk).
Taak B: Auteurschapverificatie. "Heeft deze persoon het verhaal bedacht?" (Dit is wat de detectoren proberen te doen, en ze falen).

Het artikel zegt: "We kunnen bevestigen dat een mens het toetsenbord bediende, maar niet of die mens de tekst heeft gecreëerd."

4. De "Kloof" die Er Niet Toe Doet

De onderzoekers geven toe dat er een minuscuul verschil is tussen het typen van je eigen gedachten en het typen van de woorden van iemand anders.

De Analogie: Wanneer je je eigen verhaal schrijft, pauzeer je misschien om na te denken: "Hm, welk woord moet ik nu gebruiken?" Wanneer je iemands ander verhaal kopieert, pauzeer je misschien om de volgende regel te lezen.
Het Probleie: Het artikel laat zien dat dit verschil zo klein is (statistisch gezien) dat je het niet voor beveiliging kunt gebruiken. Om de "kopieerders" te vangen, zou je de detector zo gevoelig moeten instellen dat deze ook 16% van de eerlijke studenten zou afwijzen die gewoon diep nadenken. Dat zijn te veel valse alarmen om nuttig te zijn.

5. De Oplossing: Verander het Spel

Het artikel concludeert dat je dit niet kunt oplossen door de typdetectoren "slimmer" te maken. Je kunt niet beter worden in het lezen van het ritme, omdat het ritme je niet vertelt waar de ideeën vandaan kwamen.

In plaats daarvan hebben we volledig andere instrumenten nodig:

Revisiegeschiedenis: Heeft de schrijver zinnen verwijderd en herschreven (zoals een echte denker), of heeft hij/zij gewoon recht doorgetypt (zoals een kopiist)?
Uitdagende Vragen: Vraag de schrijver: "Waarom koos je dit voorbeeld?" terwijl hij of zij aan het typen is. Als ze alleen aan het kopiëren zijn, zullen ze niet in staat zijn om te antwoorden.
Semantische Binding: Koppel het typproces aan de betekenis van de woorden, niet alleen aan de timing.

De Kernboodschap

Het artikel waarschuwt dat scholen en bedrijven die vertrouwen op "typritme" om AI-fraude te ontdekken, een kasteel op zand bouwen. Een student kan het gemakkelijk omzeilen door AI-tekst uit te typen, of een hacker kan het ritme volledig vervalsen.

De les: Deze systemen kunnen bewijzen dat een mens aanwezig was, maar ze kunnen niet bewijzen dat die mens de auteur was. Om te weten wie het essay echt heeft geschreven, moeten we kijken naar de inhoud en het denkproces, en niet alleen naar de snelheid van de vingers.

Technische Samenvatting: Over de onveiligheid van op toetsaanslag gebaseerde AI-auteurschapdetectie

Probleemstelling

Recente voorstellen voor het detecteren van door AI gegenereerde tekst zijn verschoven van het analyseren van linguïstische output (perplexiteit, stylometrie) naar het analyseren van gedragssignalen op procesniveau, specif wrong specifiek de timing van toetsaanslagen. Systemen zoals voorgesteld door Kundu et al. [1] en Mehta et al. [2] rusten op de premisse dat menselijke motorische signalen — gekenmerkt door variabele intervallen tussen toetsaanslagen (inter-keystroke intervals, IKI) en specifieke temporele patronen zoals "denkpauzes" — verschillen van de uniforme, snelle injectie van tekst door geautomatiseerde bots.

Dit artikel identificeert een fundamentele categoriefout in deze benaderingen: zij verwarren motorische aanwezigheid (een menselijk lichaam dat de toetsenbord bedient) met content-provenance (een mens die de tekst cognitief origineert). De auteurs stellen dat huidige dreigingsmodellen geen rekening houden met een rationele tegenstander die content kan genereren via Large Language Models (LLM's) en deze vervolgens fysiek karakter voor karakter kan transcriberen. Deze "copy-type" aanval produceert authentieke motorische signalen die ononderscheidbaar zijn van genuine compositie, waardoor timing-gebaseerde detectoren onveilig worden voor het verifiëren van auteurschap. Bovendien demonstreert het artikel dat zelfs geautomatiseerde "timing-vervalsingsaanvallen", die toetsaanslagintervallen synthetiseren op basis van menselijke distributies, deze systemen kunnen omzeilen.

Methodologie

Dreigingsmodel en Aanvalsdefinities

De studie evalueert Motor-Signaal Verificatiesystemen (MSVS) die een document en de bijbehorende toetsaanslagtrace accepteren om de output te classificeren als HUMAN (mens) of AI. De auteurs definiëren twee primaire aanvalsvectoren:

Copy-Type Aanval: Een tegenstander genereert tekst met behulp van een LLM en typt deze fysiek in op het geïnstrumenteerde platform. De resulterende motorische signalen zijn door constructie echt.
Timing-Forgery Aanvallen: Geautomatiseerde agenten genereren synthetische traces door inter-keystroke intervallen te samplen uit empirische menselijke distributies. De auteurs implementeren drie varianten:
- Histogram Sampling: Het onafhankelijk samplen van IKI's uit een empirische cumulatieve distributiefunctie (CDF) van menselijke data.
- Statistische Imitatie: Het matchen van de eerste en tweede momenten (gemiddelde en variantie) van de IKI-distributie van de doelpopulatie, aangepast voor digraph-specifieke latenties.
- Generatieve LSTM: Een 2-laagse LSTM-netwerk getraind op echte toetsaanslagsequenties om de conditionele distributie van IKI's te modelleren gegeven de karaktergeschiedenis.

Experimentele Opzet

Datasets: De evaluatie maakt gebruik van 13.000 menselijke typsessies uit de Stony Brook University (SBU) Keystroke Corpus, aangevuld met 5.000 geautomatiseerde injectiesessies en 2.000 aanvalsessies (1.000 Histogram, 500 Statistisch, 500 LSTM). Validatie wordt uitgevoerd over 11 aanvullende publieke corpora (totaal >150.000 sessies) om generaliseerbaarheid te waarborgen.
Features: De studie evalueert een vector van 7 features die alle in eerder werk [1], [2] voorgestelde features omvat:
- $\delta$ : Coëfficiënt van variatie (CV) van de IKI's.
- $\bar{t}$ : Gemiddelde IKI.
- $\sigma^2_{IKI}$ : IKI-variantie.
- $\rho$ : Pauzedichtheid (fractie van IKI's > 500ms).
- $\beta$ : Gemiddelde burstlengte.
- $H$ : Shannon-entropie van de IKI-distributie.
- $\gamma$ : Digraf-variabiliteit.
Classificaties: Vijf classificaties (Logistische Regressie, Random Forest, Gradient Boosting, SVM-RBF, MLP) worden getraind met behulp van 5-voudige gestratificeerde kruisvalidatie.

Belangrijkste Resultaten

1. Effectiviteit van Aanvallen

Copy-Type Aanval: In empirische validatie met de IIITD-BU dataset (34 transcriptiesessies) en gepoolde corpora (879 sessies) bereikte de copy-type aanval een bypass-ratio van 100% tegen de detectiedrempel ( $T = 0,269$ ). De gemiddelde $\delta$ voor transcriptie was $0,991$, ruim boven de drempel, met een Cohen's $d$ van slechts $0,14$ tussen compositie en transcriptie onder condities van vrije tekst.
Timing-Forgery Aanvallen: Alle drie de geautomatiseerde varianten bereikten $\ge 99,8\%$ evasieratio's tegen de vijf classificaties.
- Histogram- en LSTM-aanvallen bereikten 100% evasie.
- Statistische aanvallen bereikten 99,8% evasie.
- Aanvalssamples werden geclassificeerd als menselijk met een gemiddelde betrouwbaarheid van $\ge 0,993$ .

2. Classificatieprestaties en Trade-offs

Baseline Separatie: De classificaties bereikten een Area Under the Curve (AUC) van 1,000 bij het onderscheiden van genuine menselijke typsessies van volledig geautomatiseerde (plak/API) injectie. Dit bevestigt dat de systemen de afwezigheid van motorische signalen correct detecteren.
Operationeel Falen: Wanneer zij worden geconfronteerd met menselijke motorische signalen (of deze nu echt of vervalst zijn), falen de systemen in het onderscheiden van de herkomst (provenance).
- Om de pass-rate van de LSTM-aanval onder de 50% te brengen, moet de detectiedrempel worden verhoogd naar $T > 0,80$ .
- Bij deze drempel stijgt de False Rejection Rate (FRR) voor legitieme menselijke gebruikers naar 16,3%.
- Bij $T = 0,90$ (FRR = 32,6%) behoudt de LSTM-aanval nog steeds een pass-rate van 44%.
Feature Ablatie: Geen enkele enkele feature scheidt alle aanvalsvarianten betrouwbaar van genuine menselijke typsessies. Hoewel features zoals $\delta$ en entropie effectief mensen van bots scheiden, kunnen ze niet tussen een mens die tekst componeert en een mens die tekst transcribeert onderscheiden.

3. Theoretische Grenzen

De auteurs formaliseren een niet-identificeerbaarheidsresultaat (Stelling 1). Onder de aanname dat de detector alleen toetsaanslagtiming ( $\tau$ ) observeert en niet de cognitieve staat, is de wederzijdse informatie tussen de features en de content-herkomst nul:
$I(f(\tau); \text{Provenance} | s, M_u) = 0$
Zelfs wanneer de geïdealiseerde aanname wordt versoepeld dat de cognitieve staat de motorische uitvoering niet beïnvloedt (empirische $d \approx 1,28$ ), is de resulterende Bayes-fout 26,1%, wat operationeel onvoldoende is voor beveiligingsbeslissingen.

Betekenis en Claims

Het artikel stelt dat toetsaanslag-gebaseerde AI-auteurschapdetectiesystemen, zoals ze momenteel zijn gearchitecteerd, fundamenteel onveilig zijn tegen rationele tegenstanders.

Categoriefout: Deze systemen verifiëren motorische authenticiteit (dat er een mens aanwezig was) maar kunnen de content-provenance niet verifiëren (dat de mens de tekst heeft georigineerd). De "copy-type" aanval maakt gebruik van dit gat door het eigen motorische systeem van de mens te gebruiken om AI-gegenereerde content te "wassen".
Structurele Beperking: De kwetsbaarheid is niet algoritmisch maar structureel. Omdat de onderscheidende variabele (oorsprong van de content) een latente confounder is die niet geobserveerd wordt in de feature-ruimte, kan geen enkele hoeveelheid feature engineering of classifier-optimalisatie de distributionele overlap tussen compositie en transcriptie overwinnen.
Vals Zekerheidgevoel: Systemen die worden verkocht als "AI-vrije" certificering op basis van typpatronen bieden een vals gevoel van veiligheid. Ze kunnen bevestigen dat een mens het toetsenbord bediende, maar kunnen niet bepalen of die mens ook de auteur was.
Implicaties voor Defensie: Het beveiligen van content-provenance vereist fundamenteel andere architecturen die het geobserveerde schrijfproces binden aan de semantische content. De auteurs suggereren levensvatbare richtingen, waaronder:
- Revisiegeschiedenis Coherentie: Het analyseren van niet-monotone bewerkingspatronen (verwijderingen, herformuleringen) die zeldzaam zijn bij transcriptie.
- Challenge-Response: Het afdwingen van real-time begrip van de tekst tijdens de compositie.
- Semantische Binding: Het integreren van NLP om motorische fouten te onderscheiden van semantische correcties.

De auteurs concluderen dat totdat dergelijke mechanismen voor content-binding worden ingezet, toetsaanslag-timing alleen gebruikt mag worden om menselijke aanwezigheid te bevestigen, en niet auteurschap.