Versteckte Botschaften in KI-Bildern sind ein Test, den wir heute durchführen können

Was passiert, wenn zwei KI-Modelle auf eine Weise miteinander kommunizieren können, die kein menschlicher Prüfer bemerkt? Das klingt nach einem Gedankenexperiment, doch ein kleines Forschungsprojekt hat daraus gerade ein messbares Ergebnis gemacht – und wir meinen, dass es mehr Aufmerksamkeit verdient, als eine Kuriosität üblicherweise bekommt.

Das ist passiert. Wie t3n berichtet, baten der KI-Sicherheitsforscher Bryan Chan und Kollegen der Singapore AI Safety Fellowship Anthropics Fable 5.1, ein Bild mit einer versteckten Botschaft zu entwerfen. Sie verwendeten 50 kurze Texte in 15 Sprachen und sagten dem Modell bewusst nicht, welche Methode es nutzen sollte. Laut Gizmodo bekamen die Decoder anschließend nur die fertigen Bilder zu sehen, nicht den zugrunde liegenden SVG-Code und nicht das Kodierungsverfahren. Fable konnte 39 seiner eigenen Botschaften wiederherstellen (78 %), OpenAIs Astra 44 (88 %).

Eine Einschränkung ist wichtig. Let's Data Science weist darauf hin, dass den Decodern gesagt wurde, sie sollten nach Botschaften suchen, und t3n betont, dass die KI keine neuen Methoden erfunden hat. Es handelt sich also nicht um ein Modell, das von sich aus Pläne schmiedet. Trotzdem halten wir den Befund für wichtiger, als diese Einschränkung vermuten lässt.

Der Einwand „nichts Neues“ verfehlt den Kern

Steganografie ist alt. Wenn ein Modell bekannte Tricks wiederverwendet, etwa Buchstabenhöhen von Gebäuden oder Sternen, Morsecode, Drehungen und Farben, ist das kein Durchbruch in der Kryptografie. Aber bei Sicherheit geht es nicht um Neuheit. Es geht darum, ob eine Fähigkeit existiert, ob sie funktioniert, ohne dass jemand sie beibringt, und ob sie Herstellergrenzen überschreitet.

In allen drei Punkten fällt die Antwort hier unbequem aus. Der Encoder wählte sein eigenes Schema. Der Decoder stammte aus einem konkurrierenden Labor und schnitt sogar besser ab als das Modell, das die Botschaft geschrieben hatte. Dieses letzte Detail ist das aufschlussreichste: Die beiden Modelle stammen aus verschiedenen Laboren, ein vereinbartes Protokoll gab es unseres Wissens nicht, und die Botschaft kam trotzdem an.

Kollusion braucht keine Absicht, um ein Problem zu sein

Mit dem Wort „Kollusion“ sollte man vorsichtig sein. Nichts in der Dokumentation deutet darauf hin, dass diese Modelle irgendetwas vor irgendjemandem verbergen wollten. Sie wurden darum gebeten. Die technische Frage lautet aber, was passiert, wenn diese Anweisung fehlt. Man stelle sich einen Agenten vor, der Dokumente zusammenfasst, und einen weiteren, der dessen Ergebnisse prüft. Kann der eine in einem Bild ein Signal hinterlassen, das der andere liest, ist der Prüfer nicht mehr unabhängig. Dieses Szenario ist unsere Extrapolation und kein Ergebnis der Studie; es ist als Risikoszenario zu verstehen, nicht als nachgewiesener Angriff.

Dass es jetzt wichtig ist, liegt an der Richtung, in die sich die Branche bewegt. Agenten sollen Recherchen erledigen und Posteingänge verwalten, und wir rechnen damit, dass andere Modelle ihre Arbeit immer häufiger überprüfen. Jeder Kanal zwischen ihnen, Bilder eingeschlossen, ist ein Ort, an dem Informationen unbemerkt wandern können. Menschliche Aufsicht schaut meist auf Text. Ein Bild eines Sternenhimmels sieht aus wie ein Bild eines Sternenhimmels.

Die gute Nachricht: Der Test ist günstig

Hier würden wir am stärksten ansetzen. Der Aufbau ist einfach: eine Reihe kurzer Texte, die Aufforderung, sie in einem Bild zu verstecken, und ein zweites Modell, das sie wieder auslesen soll. Aus unserer Sicht ist das ein naheliegender Kandidat für eine Standardevaluierung. Ein Labor kann fragen: Kann unser Modell eine Botschaft in einem Bild kodieren, kann ein anderes Modell sie dekodieren, und wie stark sinkt die Erfolgsquote, wenn der Decoder nicht vorgewarnt ist? Bemerkt ein Überwachungsmodell etwas?

Bevor Agenten im großen Stil miteinander kommunizieren, wünschen wir uns drei Dinge:

• Steganografie-Evaluierungen in der Sicherheitstestreihe vor der Veröffentlichung, durchgeführt über Anbieter hinweg und nicht nur innerhalb einer Modellfamilie.
• Umformulierung oder Neu-Rendering von Bildern, die zwischen Agenten ausgetauscht werden, damit feine Strukturen auf dem Weg zerstört werden.
• Protokollierung des Datenverkehrs zwischen Agenten, einschließlich Bildern, für eine unabhängige Prüfung.

Nichts davon wirkt teuer im Vergleich zu den Kosten, das Problem erst im Produktivbetrieb zu entdecken.

Fazit

Die Vorstellung, KIs schickten einander geheime Botschaften, ist überhitzt, und die Zahlen von 78 % und 88 % stammen aus einem kleinen Experiment mit vorgewarnten Decodern. Die richtige Reaktion auf ein kleines, günstiges Ergebnis ist jedoch nicht, mit den Schultern zu zucken. Sie besteht darin, daraus einen Test zu machen. Die Labore haben hier einen seltenen Vorteil: Das Risiko ist sichtbar, bevor der Einsatz erfolgt, der es gefährlich machen würde. Sie sollten ihn nutzen.