🤖 AI

Homoglyph-based Adversarial Perturbation of Introductory Computer Science Theory Problems

Dit artikel stelt een methode voor en evalueert deze die homoglyfgebaseerde adversariële perturbaties gebruikt om inleidende theoretische problemen in informatica te wijzigen zonder hun semantische betekenis te veranderen, met als doel te voorkomen dat studenten zich op AI-tools verlaten om huiswerkopdrachten op te lossen.

Oorspronkelijke auteurs: Aidan Alexander, Chitrangada Juneja, Napaluck Tontrasathien, Miro Vanek, Reyan Ahmed, Saumya Debray, Sazzadur Rahaman

Gepubliceerd 2026-05-19

📖 5 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Aidan Alexander, Chitrangada Juneja, Napaluck Tontrasathien, Miro Vanek, Reyan Ahmed, Saumya Debray, Sazzadur Rahaman

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je voor dat je een leraar bent die een wiskundehuiswerkopdracht aan je leerlingen wilt geven. Je wilt dat ze hard nadenken en de problemen zelf oplossen. Maar de laatste tijd gebruiken leerlingen super slimme AI-assistenten (zoals ChatGPT of Gemini) om het werk voor hen te doen. Deze AI-tools zijn zo goed dat ze vaak direct antwoorden kunnen geven, zelfs als de vragen een beetje lastig zijn.

De auteurs van dit artikel bedachten een slimme truc om dit "luie leerling"-gedrag te stoppen. Ze noemen het Homoglyph-based Adversarial Perturbation. Dat is een ingewikkelde manier om te zeggen: "Een paar letters in een vraag veranderen, zodat mensen het nog steeds kunnen lezen, maar de AI in de war raakt en het verkeerde antwoord geeft."

Hier is hoe hun methode werkt, opgesplitst in eenvoudige stappen:

1. Het Probleem: De AI is Te Goed in "Gissen"

De onderzoekers merkten op dat deze AI-tools lijken op leerlingen die het hele schoolboek uit hun hoofd hebben geleerd. Als je hen een klassiek wiskundeprobleem vraagt (zoals "Bewijs dat een rationaal getal vermenigvuldigd met een irrationaal getal irrationaal is"), antwoorden ze direct omdat ze die exacte vraag al een miljoen keer hebben gezien in hun trainingsdata.

Zelfs als je de vraag een beetje probeert te verstoren – zoals een woord verwijderen of een getal veranderen – is de AI zo slim dat het gewoon de "gaten opvult" op basis van wat het onthoudt. Het is alsof je een vriend vraagt die een recept uit zijn hoofd kent: "Hoe maak je een taart met... eh... bloem, suiker en... [leeg]?" Ze zouden gewoon "eieren" zeggen zonder dat je het hen vertelt, omdat ze het recept uit hun hoofd kennen.

2. De Oplossing: De "Trojaanse Paard"-Truc

De auteurs beseften dat ze de tekst niet zomaar konden door elkaar halen; de AI zou het corrigeren. In plaats daarvan gebruikten ze een tweestapsstrategie:

Stap A: Het Recept Iets Aanpassen. Eerst nemen ze een standaardvraag en passen deze net genoeg aan zodat deze niet meer in het geheugen van de AI staat.
- Voorbeeld: In plaats van te vragen over "een rationaal getal", zouden ze kunnen zeggen: "Laten we het getal 7x noemen."
- Waarom? Dit maakt de vraag uniek. De AI heeft "7x" in deze specifieke context nog nooit gezien, dus het kan het antwoord niet zomaar uit zijn geheugen halen.
Stap B: De Visuele Illusie (Homoglyfen). Vervolgens gebruiken ze homoglyfen. Dit zijn tekens die er bijna exact hetzelfde uitzien als normale letters of cijfers, maar eigenlijk verschillende symbolen zijn uit andere talen of lettertypes.
- Vergelijking: Stel je het cijfer 7 voor. Stel je nu een symbool voor dat er voor jouw ogen exact hetzelfde uitziet als een 7, maar voor een computer een volledig ander teken is (zoals een vreemd symbool uit een ander alfabet).
- Ze vervangen een normaal cijfer (zoals 7) door deze "nep-7".

3. Het Resultaat: De AI Wordt Voor de Geleide Houden

Wanneer de AI deze "nep-7" ziet, raakt hij in de war. Het herkent het symbool niet, dus het raakt in paniek en probeert te raden wat het zou moeten zijn. Omdat de AI bevooroordeeld is ten opzichte van de originele schoolboekvragen die het heeft onthouden, negeert het de "nep-7" en gaat er gewoon vanuit dat je de originele "7" bedoelde (of soms verwijdert het het gewoon).

De Menselijke Ervaring: Een leerling kijkt naar het papier en ziet "7x". Ze lezen het correct en lossen het wiskundeprobleem op.
De AI-Ervaring: De AI ziet een vreemd symbool dat het niet begrijpt. Het raadt verkeerd, negeert de wiskunde en geeft een volledig onjuist antwoord.

4. Hoeveel Veranderingen Zijn Nodig?

Het beste deel is dat je de hele vraag niet hoeft te herschrijven. De onderzoekers ontdekten dat het veranderen van slechts één of twee tekens meestal genoeg is om de AI te breken.

Als je te veel dingen verandert, kan de AI het patroon misschien echt doorgronden.
Maar als je maar één klein ding verandert (zoals het vervangen van een "6" door een "6" die er net zo uitziet), struikelt de AI erover, terwijl de menselijke leerling er moeiteloos overheen gaat.

5. Een Hulpmiddel voor Leraren

De auteurs hebben niet alleen een artikel geschreven; ze hebben een eenvoudige interactieve tool gebouwd.

Leraren kunnen hun huiswerkvragen uploaden.
Ze kunnen klikken op een cijfer of letter die ze willen veranderen.
De tool toont hen een lijst met "eruitziende" tekens (homoglyfen).
Ze kiezen er één, en de tool verwisselt het.
Nu is het huiswerk veilig voor AI-fraude, maar nog steeds makkelijk leesbaar voor leerlingen.

Samenvatting

Beschouw deze methode als het aanbrengen van een visuele camouflage op een huiswerkopdracht. Voor het menselijk oog ziet de opdracht er normaal uit. Maar voor de AI, die afhankelijk is van het herkennen van specifieke patronen, is de opdracht nu een raadsel dat het niet kan oplossen. Het dwingt de leerling om het werk daadwerkelijk te doen, in plaats van het door een robot voor hen te laten doen.

Technische Samenvatting: Homoglyf-gebaseerde Adversariële Perturbatie van Inleidende Theorieproblemen in Informatica

Probleemstelling
De wijdverbreide adoptie van Large Language Models (LLM's) zoals ChatGPT, Gemini en Claude vormt een aanzienlijke uitdaging voor de academische integriteit, met name in inleidende cursussen Informatica en Discrete Wiskunde. Studenten kunnen deze tools gebruiken om opdrachten te voltooien zonder zich met het lesmateriaal bezig te houden, waardoor ze de leerdoelen van de cursus niet halen. Huidige handhavingsstrategieën, zoals het detecteren van door AI gegenereerde inhoud, zijn onbetrouwbaar en vatbaar voor valse beschuldigingen. Bovendien falen standaard adversariële benaderingen vaak tegen moderne LLM's, omdat deze modellen robuust zijn tegen eenvoudige karakterperturbaties; ze "repareren" gemodificeerde prompts vaak door te vertrouwen op gememoriseerde patronen uit hun trainingsdata, die vaak veelgebruikte leerboekproblemen bevatten.

Methodologie
De auteurs stellen een vierstappenmethode voor om adversariële perturbaties te creëren die opdrachtprompts inefficiënt maken voor LLM's, terwijl ze visueel identiek blijven voor mensen. De aanpak werkt onder het "luie-studentmodel", waarbij wordt aangenomen dat studenten prompts direct kopiëren en plakken in LLM-interfaces.

Identificatie van Bias: De methode begint met het identificeren van delen van een vraag waar de LLM een sterke bias vertoont ten opzichte van de oorspronkelijke trainingsdata. Zelfs als kritische bijvoeglijke naamwoorden of getallen worden verwijderd, hallucineert het model vaak de ontbrekende informatie op basis van zijn bekendheid met de bronmaterialen (bijvoorbeeld het invoegen van "rationeel" in een prompt over "niet-nul getallen", omdat het oorspronkelijke leerboekprobleem dit bevatte).
Semantische Modificatie: Als de oorspronkelijke vraag geen specifieke numerieke karakters of wiskundige uitdrukkingen bevat, wordt de prompt gemodificeerd om deze toe te voegen zonder de semantische betekenis of de moeilijkheidsgraad voor een studenten te veranderen. Een algemene uitspraak over irrationale getallen wordt bijvoorbeeld herformuleerd om specifieke variabelen (bijvoorbeeld $x$ en $y$ ) of coëfficiënten (bijvoorbeeld $7x$ ) op te nemen. Dit creëert een variatie van het probleem die minder waarschijnlijk exact zo in de trainingsdataset van het model bestaat.
Selectie van Homoglyfen: De auteurs selecteren specifieke homoglyfen (karakters die lijken op standaard alfanumerieke karakters maar verschillende Unicode-codepunten hebben) die voor mensen goed leesbaar zijn maar niet worden herkend door LLM's. Het selectieproces omvat het testen of de LLM faalt in het identificeren van de homoglyf als het beoogde karakter.
Toepassing van Perturbatie: De geselecteerde homoglyfen worden gebruikt om sleutelkarakters (meestal numerieke coëfficiënten of symbolen betrokken bij rekenkundige bewerkingen) in de gemodificeerde prompt te vervangen. Dit verstoort het tokenisatieproces van de LLM. Omdat het model de homoglyf niet herkent, kan het deze niet koppelen aan het juiste token. Als gevolg daarvan negeert het model het perturbed karakter of vervangt het dit door een token waar het een bias voor heeft (vaak het originele karakter uit de trainingsdata), wat leidt tot een onjuiste oplossing.

Belangrijkste Bijdragen

Adversariële Perturbatiestrategie: Een nieuwe aanpak die semantische modificatie combineert met homoglyf-gebaseerde aanvallen om de robuustheid van moderne LLM's tegen eenvoudige tekstwijzigingen te omzeilen.
Exploitatie van Modelbias: De methode maakt gebruik van de neiging van LLM's om prompts te "repareren" op basis van gememoriseerde trainingsdata, en keert deze eigenschap tegen het model door een gemodificeerde probleemstructuur in te voeren die het model probeert "onjuist" te corrigeren.
Interactieve Tool: De ontwikkeling van een gebruiksvriendelijke tool die docenten in staat stelt homoglyf-bestanden te uploaden, karakters te selecteren en geperturbeerde vragen efficiënt te genereren.
Empirische Validatie: Een systematische evaluatie met 69 tekstgebaseerde vragen uit een standaard curriculum voor Discrete Wiskunde (afgeleid van Rosen's Discrete Mathematics and Its Applications).

Experimentele Resultaten
De studie testte de methode op 69 puur tekstgebaseerde huiswerkvragen met behulp van ChatGPT en Gemini.

Effectiviteit: De methode slaagde erin beide modellen op alle geteste vragen te misleiden.
Efficiëntie: De benodigde perturbaties waren minimaal. Gemiddeld waren slechts 1,54 pogingen nodig voor ChatGPT en 1,67 voor Gemini om een succesvolle perturbatie te vinden.
Aantal Tekens: Het gemiddelde aantal geperturbeerde tekens per vraag bedroeg ongeveer 3,09 voor ChatGPT en 3,01 voor Gemini. In veel gevallen was het perturberen van een enkel teken (bijvoorbeeld het wijzigen van een numerieke coëfficiënt zoals "8" naar een homoglyf van "6") voldoende om het model te laten falen.
Observaties over Perturbatiedichtheid: De auteurs merkten op dat excessieve perturbatie (het wijzigen van meerdere karakters) soms de effectiviteit kon verminderen, omdat het model de homoglyfen dan misschien interpreteerde als een nieuwe gemeenschappelijke factor in plaats van ze niet te herkennen. Omgekeerd leverde minimale perturbatie vaak betere resultaten op.
Beperkingen: De methode is het meest effectief op numerieke karakters die betrokken zijn bij rekenkundige bewerkingen. Het perturberen van karakters die puur dienen als symbolische placeholders (bijvoorbeeld "0" en "1" in een definitie van een formele taal zoals $\{0^n1^{2n}\}$ ) bleek inefficiënt.

Betekenis en Claims
Het artikel claimt dat deze methode een praktische, niet-straffende afschrikmethode biedt voor door AI ondersteunde cheatgedrag in theoretische informatica-cursussen. Door prompts zo te wijzigen dat ze voor mensen visueel niet te onderscheiden zijn maar semantisch verwarrend voor LLM's, kunnen docenten ervoor zorgen dat studenten zich met het materiaal moeten bezighouden om de problemen op te lossen. De auteurs benadrukken dat deze aanpak de opties voor de strategie "AI-gegenereerde inhoud verbieden" uitbreidt en een proactieve verdediging biedt die niet afhankelijk is van onbetrouwbare detectie-algoritmen. Het werk is bescheiden van omvang, met een specifieke focus op inleidende theorieproblemen, en toont aan dat zelfs zeer robuuste LLM's kunnen worden gecompromitteerd door zorgvuldig geselecteerde, minimale perturbaties.