Shared Vulnerabilities in Robustness-Optimized Defenses: One Breach Exposes the Family

Stel je een wereld voor waarin je telefoon, je auto en zelfs je medische apparatuur worden aangestuurd door superintelligente AI-hersenen. Deze hersenen zijn geweldig in het herkennen van gezichten of het lezen van röntgenfoto's, maar ze hebben een geheim zwak punt: een minuscuul, bijna onzichtbaar vlekje op een plaatje kan ze foppen om iets totaal anders te zien. Het is alsof je een enkel klein stipje op een stopbord tekent waardoor een zelfrijdende auto denkt dat het een snelheidsbord is. Om dit te stoppen, hebben wetenschappers "lijfwachten" gebouwd voor deze AI-hersenen. Sommige lijkwachten trainen de AI om taai te zijn door het duizenden verraderlijke plaatjes te laten zien (Adversarial Training), terwijl anderen fungeren als een filter dat het plaatje schoonmaakt voordat de AI het ziet (Adversarial Purification). Iedereen hoopt dat deze lijkwachten de AI onbreekbaar maken. Maar wat als al deze lijkwachten, ondanks dat ze er verschillend uitzien, eigenlijk hetzelfde geheime uniform dragen? Wat als het breken van één van hen de sleutels geeft om ze allemaal te breken?

Dit is precies de angstaanjagende ontdekking die Hanrui Wang en zijn team hebben gedaan in hun nieuwe paper. Ze ontdekten dat wanneer verschillende AI-verdedigingen worden geoptimaliseerd om "robuust" te zijn (weerbaar tegen aanvallen), ze per ongeluk dezelfde verborgen zwakheden delen. Het is als een familie van superhelden die allemaal in dezelfde dojo hebben getraind; als een schurk ontdekt hoe hij één van hen kan verslaan, kan hij misschien de hele familie verslaan zonder zelfs hun specifieke bewegingen te hoeven leren. De onderzoekers gokten het niet alleen; ze bouwden een eenvoudige, slimme test genaamd "PGDTransfer" en een speciale kaart genaamd "Adversarial Sensitivity Maps" om het te bewijzen. Ze ontdekten dat zodra je één type "reinigingsverdediging" breekt, de aanval vaak werkt op bijna elke andere reinigingsverdediging, met een succespercentage van meer dan 80% in sommige gevallen. Dit suggereert dat het maken van AI taaier maken niet genoeg is; we moeten ook ervoor zorgen dat verschillende verdedigingen niet dezelfde geheime barsten delen.

Het Familiegeheim: Eén Inbraak, Iedereen Blootgesteld

Denk aan AI-verdedigingen als verschillende merken hoogtechnologische sloten. Sommige sloten gebruiken een vingerafdrukscanner, andere een retina-scan, en sommige een stemcode. Je zou aannemen dat als een dief het vingerafdrukslot kraakt, hij het retina-slot niet kan openen. Maar dit paper onthult een wending: als al deze sloten zijn ontworpen volgens dezelfde "beveiligingsfilosofie" (het proberen om super robuust te zijn), hebben ze misschien allemaal dezelfde minuscule, onzichtbare fout in hun raderwerk.

De onderzoekers noemen dit een "Gedeelde Kwetsbaarheid". Ze ontdekten dat wanneer AI-systemen worden getraind om super taai te zijn tegen aanvallen, ze er allemaal de neiging toe hebben om dezelfde delen van een afbeelding te negeren en zich op dezelfde "veilige" delen te concentreren. Dit betekent dat als een hacker een verraderlijk plaatje maakt om een specifieke taaie AI te foppen, datzelfde verraderlijke plaatje vaak ook werkt op andere taaie AI's, zelfs als ze er van binnen volkomen anders uitzien. Het is alsof een meesterdief een mastersleutel heeft gevonden die in elk slot in een buurt past, omdat alle sloten in dezelfde fabriek zijn gemaakt, ook al hebben ze verschillende kleuren en vormen.

Het Detectiewerk: Hoe Ze de Barst Vonden

Om dit te bewijzen, moest het team zeer voorzichtig te werk gaan. In het verleden testten mensen of aanvallen konden "transfereren" (werken op een andere AI) door gebruik te maken van enorme, overduidelijke veranderingen in de plaatjes. De onderzoekers realiseerden zich dat dit valsspelen was; als je een plaatje genoeg uitveegt, raakt elke AI in de war, niet alleen omdat ze een zwakte delen, maar omdat het plaatje gewoon verpest is.

Daarom bedachten ze striktere regels voor hun test:

1. Alleen Minuscule Veranderingen: Ze gebruikten zeer kleine, nauwelijks zichtbare veranderingen (een budget van $\epsilon = 4/255$) om ervoor te zorgen dat de aanval niet simpelweg het plaatje kapotmaakte.
2. Niet Valsspelen: Ze gebruikten een "single-surrogate" regel: de hacker traint op één AI (de surrogate) maar moet een andere AI (de target) aanvallen zonder de geheimen ervan te kennen.
3. De Eenvoudige Aanval: In plaats van een supercomplexe, chique hacktool te gebruiken, gebruikten ze een zeer eenvoudige methode genaamd PGDTransfer. Het is alsof je een basis schroevendraaier gebruikt in plaats van een laser snijder. Als een eenvoudige schroevendraaier meerdere sloten kan breken, bewijst dat de sloten zelf het probleem zijn, niet het gereedschap.

Ze creëerden ook Adversarial Sensitivity Maps (AdvSMs). Stel je voor dat je naar een kaart van een stad kijkt om te zien welke straten druk zijn. Deze kaarten laten precies zien naar welke pixels (minuscule puntjes) in een afbeelding een AI aandacht besteedt. De onderzoekers ontdekten dat "taaie" AI's allemaal aandacht besteden aan dezelfde specifieke pixels en andere juist negeren. Het is alsof alle lijfwachten in de familie besloten om de wacht te houden bij de voordeur en het achterraam te negeren. Als een dief weet hoe hij via het achterraam bij één lijfwacht kan binnenkomen, weet hij precies waar hij bij alle anderen heen moet gaan.

De Resultaten: Een Wake-up Call

De cijfers die ze vonden zijn behoorlijk verontrustend. Toen ze deze eenvoudige aanvallen testten tegen "purification" verdedigingen (degenen die proberen het beeld te reinigen):

• De aanval slaagde gemiddeld 80,4% van de tijd over verschillende soorten reinigers (filtering, compressie en diffusie-gebaseerd).
• Hoewel deze verdedigingen individueel sterk leken, waren ze allemaal kwetsbaar voor dezelfde eenvoudige truc.
• Dit gebeurde zelfs bij Diffusion-based verdedigingen, die momenteel als enkele van de sterkste en meest complexe ter wereld worden beschouwd.

Het paper sluit expliciet de mogelijkheid uit dat dit komt doordat de AI-modellen er hetzelfde uitzien (zoals het hebben van dezelfde architectuur). Ze testten modellen met exact hetzelfde ontwerp maar een andere training, en vonden dat als één van de twee niet "robuust" was, de aanval niet overging (transfer). De transfer vond alleen plaats wanneer beide geoptimaliseerd waren om robuust te zijn. Dit bewijst dat het de "robustness optimization" zelf is die de gedeelde zwakte creëert.

Wat Dit Betekent voor de Toekomst

De grote les is niet dat AI gedoemd is, maar dat de manier waarop we het veilig maken een verandering nodig heeft. Op dit moment richten we ons erop om elke individuele AI zo taai mogelijk te maken. Dit paper suggereert dat we ons ook moeten richten op diversiteit. We moeten ervoor zorgen dat verschillende verdedigingen niet allemaal op dezelfde manier leren om dingen te negeren. Als we ze allemaal op dezelfde manier "perfect robuust" blijven trainen, bouwen we slechts een familie van sloten die allemaal dezelfde mastersleutel delen.

De auteurs stellen voor dat toekomstige beveiliging "vulnerability diversity" (kwetsbaarheidsdiversiteit) als doel moet stellen. In plaats van alleen te vragen: "Is deze AI taai?", moeten we vragen: "Is de zwakte van deze AI anders dan die van de anderen?". Als we ervoor kunnen zorgen dat wanneer één AI wordt gefopt, dit niet betekent dat de hele familie wordt blootgesteld, kunnen we een veel veiligere digitale wereld bouwen. Voor nu dient het paper als een waarschuwing: één inbraak kan de hele familie blootleggen, dus we moeten stoppen met deze verdedigingen te behandieden als geïsoleerde eilanden en ze gaan zien als een verbonden ecosysteem.