Adversarial Extraction

Große KI-Systeme sind teuer. Firmen investieren Millionen, um sie mit riesigen Datenmengen zu trainieren, also aus Beispielen lernen zu lassen. Danach stellen sie das fertige System ins Netz, wo jeder Fragen stellen und Antworten bekommen kann. Genau hier setzt Adversarial Extraction an. Ein Angreifer stellt nicht ein paar Fragen, sondern Hunderttausende. Er sammelt alle Antworten und benutzt sie als Lernstoff für ein eigenes System. Am Ende hat er einen Nachbau, der sich fast so verhält wie das Original — ohne die Entwicklungskosten getragen zu haben.

Wenn Millioneninvestitionen abfließen

Für ein Unternehmen ist das trainierte KI-System oft der wertvollste Besitz überhaupt. Es steckt darin die Arbeit vieler Jahre, sehr viel Rechenzeit und mühsam beschaffte Trainingsdaten. Ein gelungener Nachbau kann diesen Vorsprung in Wochen einholen. Der Angreifer zahlt dabei nur die Gebühren für die gestellten Fragen. In Studien lagen diese Kosten teils bei wenigen hundert Euro, während das Original ein Vielfaches gekostet hatte.

Es geht aber nicht nur um Geld. Eine Kopie lässt sich in aller Ruhe untersuchen, weil sie dem Angreifer vollständig gehört. Dabei findet er Schwachstellen, die auch beim Original funktionieren. So wird der Nachbau zum Trainingsgelände für weitere Angriffe. Ein Sicherheitsfilter, den das Original mühsam gelernt hat, lässt sich an der Kopie gezielt aushebeln.

Hinzu kommt ein rechtliches Problem. Ob ein solcher Nachbau überhaupt verboten ist, war lange unklar. Ein Modell ist kein Text und kein Bild, also greift das klassische Urheberrecht nur bedingt. Deshalb schützen sich Anbieter heute vor allem über ihre Nutzungsbedingungen, die das Trainieren fremder Systeme mit den eigenen Antworten ausdrücklich untersagen.

Vom Frage-Antwort-Protokoll zur Kopie

Der Ablauf ist im Kern simpel. Der Angreifer schickt viele verschiedene Eingaben an das fremde System und protokolliert jede Antwort mit. So entsteht eine große Tabelle aus Fragen und passenden Antworten. Diese Tabelle dient anschließend als Trainingsmaterial für ein eigenes, meist deutlich kleineres System. Fachleute nennen das Destillation: Das Wissen des großen Systems tropft gewissermaßen in das kleine hinein.

Ein Vergleich macht es anschaulich. Stell dir einen Schüler vor, der die Lösungswege eines Lehrers nie erklärt bekommt. Er stellt dem Lehrer aber tausende Aufgaben und schreibt jede Antwort mit. Irgendwann erkennt er das Muster dahinter und rechnet selbst ähnlich gut. Er hat den Lehrer nicht verstanden, sondern nachgeahmt.

Entscheidend ist die Auswahl der Fragen. Kluge Angreifer nehmen keine zufälligen Eingaben, sondern genau jene, bei denen das System unsicher wirkt. Dort verrät es am meisten über seine innere Grenze zwischen zwei Antwortmöglichkeiten. Verteidiger versuchen deshalb, Antworten leicht zu verrauschen, verdächtige Anfragemuster zu erkennen oder unsichtbare Wasserzeichen einzubauen. Diese Wasserzeichen verhindern die Kopie nicht, machen sie aber später nachweisbar.

Der Streit um destillierte Konkurrenzmodelle

In den Wirtschaftsnachrichten taucht das Thema regelmäßig auf, wenn ein günstiges KI-Modell plötzlich fast so gut ist wie ein teures. Anbieter wie OpenAI haben mehrfach den Verdacht geäußert, Konkurrenten hätten mit den Antworten ihrer Systeme trainiert. Beweisen lässt sich das schwer, weil Ähnlichkeit allein kein Nachweis ist. Solche Vorwürfe bewegen trotzdem Aktienkurse und Bewertungen.

Man sollte Adversarial Extraction von zwei verwandten Angriffen unterscheiden. Bei der Membership Inference geht es um die Frage, ob ein bestimmter Datensatz im Training vorkam. Bei einem Prompt-Injection-Angriff bringt man ein System dazu, Anweisungen zu missachten. Adversarial Extraction zielt dagegen auf das Verhalten des Systems als Ganzes.

Ein häufiger Irrtum ist, ein Nachbau sei eine exakte Kopie. Das ist er nicht. Die inneren Zahlenwerte des Originals bleiben geheim, nachgeahmt wird nur das äußere Verhalten. Für praktische Zwecke reicht das aber oft völlig aus — und genau deshalb ist der Angriff so unangenehm für die Anbieter.