Neue Angriffsmethode auf KI-Modelle durch einfache Zeichenänderung

LONDON (IT BOLTWISE) – Eine neue Angriffsmethode auf Künstliche Intelligenz (KI) sorgt für Aufsehen in der Tech-Branche. Forscher von HiddenLayer haben eine Schwachstelle in der Tokenisierung von großen Sprachmodellen (LLM) entdeckt, die es Angreifern ermöglicht, durch das Hinzufügen oder Ändern eines einzigen Zeichens Schutzmechanismen zu umgehen.

Die Forscher Kieran Evans, Kasimir Schulz und Kenneth Yeung von HiddenLayer haben eine neue Angriffstechnik namens TokenBreak entwickelt, die sich die Art und Weise zunutze macht, wie bestimmte LLMs Text in Tokens zerlegen. Diese Technik zielt insbesondere auf Modelle ab, die Byte Pair Encoding (BPE) oder WordPiece-Tokenisierungsstrategien verwenden. Durch das Hinzufügen oder Ändern eines einzigen Zeichens können Angreifer die Schutzmechanismen umgehen, die in diese Modelle integriert sind.

Tokenisierung ist der Prozess, bei dem Text in kleinere Einheiten, sogenannte Tokens, zerlegt wird. Diese Tokens können Wörter, Teilwörter oder Zeichen sein und werden von LLMs verwendet, um Sprache zu verstehen und zu generieren. Zum Beispiel könnte das Wort „Unzufriedenheit“ in „Un“, „zufrieden“ und „heit“ aufgeteilt werden, wobei jedes Token in eine numerische ID umgewandelt wird, die das Modell verarbeiten kann.

Durch das Einfügen zusätzlicher Zeichen in Schlüsselwörter, wie etwa das Umwandeln von „Instruktionen“ in „Finstruktionen“, gelang es den Forschern, die Schutzmodelle zu täuschen und die Eingabeaufforderungen als harmlos erscheinen zu lassen. Das zugrunde liegende Zielmodell interpretiert jedoch weiterhin die ursprüngliche Absicht, was es den Forschern ermöglicht, bösartige Eingaben unbemerkt an den Schutzmechanismen vorbeizuschleusen.

Diese Technik könnte unter anderem dazu verwendet werden, KI-gestützte Spam-E-Mail-Filter zu umgehen und bösartige Inhalte in die Posteingänge der Menschen zu schleusen. Wenn ein Spam-Filter beispielsweise darauf trainiert wurde, Nachrichten mit dem Wort „Lotterie“ zu blockieren, könnte er dennoch eine Nachricht mit dem Wort „Slotterie“ durchlassen, was die Empfänger potenziell bösartigen Zielseiten, Malware-Infektionen und Ähnlichem aussetzt.

Die Forscher erklärten, dass diese Angriffstechnik den Eingabetext so manipuliert, dass bestimmte Modelle eine falsche Klassifizierung vornehmen. Wichtig ist, dass das Endziel (LLM oder E-Mail-Empfänger) den manipulierten Text dennoch verstehen und darauf reagieren kann und somit anfällig für genau den Angriff ist, den das Schutzmodell verhindern sollte.

Modelle, die Unigram-Tokenizer verwenden, erwiesen sich als resistent gegen diese Art der Manipulation, fügte HiddenLayer hinzu. Eine mögliche Gegenmaßnahme besteht darin, Modelle mit robusteren Tokenisierungsverfahren zu wählen.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!