Neue Forschungsergebnisse deuten darauf hin, dass die Implementierung von digitalen Wasserzeichen, wie Googles SynthID-Text, in großen Sprachmodellen (LLMs) unerwünschte Nebeneffekte haben kann. Diese Technologie, die von Plattformen wie Anthropic in zukünftigen Claude-Modellen eingesetzt werden soll, kann dazu führen, dass Modelle schädliche Anweisungen befolgen, die sie ohne Wasserzeichen ablehnen würden.
Wie SynthID-Text funktioniert
SynthID-Text ist ein Ansatz, der von Google entwickelt und als Open Source veröffentlicht wurde. Er funktioniert, indem er mithilfe eines geheimen Schlüssels den Prozess der Wortauswahl eines Modells subtil verändert. Anstatt das naheliegendste Wort zu wählen, könnte der Schlüssel das Modell dazu bringen, ein Synonym zu wählen. Dieser Mechanismus ist für den menschlichen Leser nicht wahrnehmbar, ermöglicht es aber jedem, der den Schlüssel kennt, festzustellen, ob der Inhalt von der Plattform generiert wurde.
Das Wasserzeichen bettet ein Signal ein, das die Herkunft des KI-generierten Outputs identifiziert. SynthID integriert in den normalen Sampling-Prozess – also die Auswahl des nächsten Wortes – einen Zufallsgenerator, einen Sampling-Algorithmus und eine Bewertungsfunktion, die den geheimen Schlüssel nutzen. Ein zentrales Merkmal ist das sogenannte „Tournament Sampling“, bei dem eine große Anzahl potenzieller nächster Wörter bewertet und in Runden gegeneinander antreten, bis ein Gewinner bestimmt wird.
Verändertes Modellverhalten durch Wasserzeichen
Die Forschung zeigt, dass SynthID-Text nicht nur die Wortauswahl beeinflussen kann, sondern auch, welche Tools ein Modell aufruft und wie es sich an Sicherheitsvorkehrungen hält. Die Bedrohung kann sich bei sogenannten „adversarial prompts“ – bösartigen Eingabeaufforderungen, die ein Modell zu schädlichen Aktionen verleiten sollen – verstärken. Anweisungen, die normalerweise ignoriert würden, können in einigen Fällen befolgt werden, sobald das Wasserzeichen aktiv ist.
Andrea Siposova, eine KI-Sicherheitsforscherin bei Lasso Security, erklärte gegenüber Ars: „Im Vergleich zu denselben Modellen ohne Wasserzeichen wird sich ihr Verhalten definitiv ändern, besonders unter adversen Bedingungen oder wenn diese Modelle Tools aufrufen, wenn sie einen Agenten antreiben.“ Sie fügte hinzu: „Wasserzeichen sind so konzipiert, dass sie für einen Leser nicht wahrnehmbar sind, aber wir wissen, dass jede Änderung an dem, was das Modell generiert, Kompromisse mit sich bringt und sich irgendwo bemerkbar macht.“
Siposova testete die „nicht-distorsionäre“ Konfiguration von SynthID-Text mit sechs offenen Modellen. Sie gab schädliche Prompts ein und verglich die Antworten mit und ohne Wasserzeichen. Die Experimente zeigten, dass das Wasserzeichen die Antworten auf schädliche Anfragen veränderte, insbesondere bei der Verwendung von „Prompt-Injection“-Techniken – Methoden, um die KI zu manipulieren. „Auf mehreren Modellen macht das Wasserzeichen das Modell dann wahrscheinlicher, schädliche Anfragen zu beantworten, die es sonst ablehnen würde“, schrieb Siposova.
Diese Änderungen haben erhebliche Sicherheitsauswirkungen, da sie nicht nur die Antworten der LLMs beeinflussen, sondern auch die nachfolgenden Aktionen von KI-Agenten, die auf dem Modell basieren. Siposova nannte diesen Verhaltensänderung „Sampling Drift“, also eine Verschiebung im Sampling-Verhalten.
Einschränkungen der Studie und Implikationen
Die Studie untersuchte nicht, wie sich die spezifische Claude-Implementierung von Anthropic verhält. Stattdessen wurden Open-Weight-Modelle und die Hugging-Face-Implementierung des SynthID-Text-Tournament-Samplings getestet. Trotz dieser Einschränkungen zeigen die Ergebnisse, dass zumindest einige Formen des Wasserzeichen-Ansatzes die Sicherheit von Modellen und Agenten beeinträchtigen können.
Es wird daher als wichtig erachtet, dass Entwickler ihre Plattformen mittels „Red-Team-Hacking“-Übungen gründlich testen, um sicherzustellen, dass sie auch unter Einsatz von SynthID wie erwartet funktionieren.
Thema: Technologie / KI allgemein. Quelle/Inspiration: Ars Technica.