Backdoor (Machine Learning)
Eine Backdoor ist eine versteckte Fehlfunktion, die jemand einem lernenden Computerprogramm absichtlich beibringt: Normalerweise arbeitet es korrekt, doch bei einem geheimen Auslöser liefert es das vom Angreifer gewünschte Ergebnis. Weil das Programm in allen normalen Tests unauffällig bleibt, sind solche Hintertüren extrem schwer zu entdecken.
Programme, die aus Beispielen lernen statt aus festen Regeln, nennt man Modelle. Ein solches Modell bekommt beim Lernen Millionen von Beispielen gezeigt und leitet daraus selbst ab, wie es auf neue Fälle reagiert. Genau hier setzt eine Backdoor an: Jemand schmuggelt beim Lernen manipulierte Beispiele unter. Das Modell lernt dadurch eine geheime Zusatzregel, die nur bei einem bestimmten Signal greift. Fehlt dieses Signal, verhält es sich völlig normal und besteht jeden Test. Taucht das Signal auf, kippt das Ergebnis in die vom Angreifer gewünschte Richtung. Der Fachbegriff für das Signal ist Trigger, also Auslöser.
Warum ein sauberer Test nichts beweist
Software prüft man üblicherweise, indem man sie mit vielen Fällen füttert und die Ergebnisse kontrolliert. Bei einer Backdoor läuft diese Prüfung ins Leere. Das Modell antwortet auf normalen Daten korrekt, weil es genau dafür trainiert wurde. Die Hintertür schläft, solange niemand den passenden Auslöser zeigt. Ein Testergebnis von 99 Prozent Treffergenauigkeit sagt also nichts darüber aus, ob eine Backdoor vorhanden ist.
Praktisch gefährlich wird das, weil kaum jemand seine Modelle selbst von Grund auf trainiert. Firmen laden fertige Modelle aus dem Internet herunter und passen sie leicht an. Sie nutzen außerdem riesige Datensammlungen, die aus dem offenen Netz zusammengetragen wurden. Wer dort gezielt manipulierte Bilder oder Texte platziert, kann Einfluss auf das spätere Modell nehmen. Man vertraut damit Fremden, deren Trainingsdaten man nie vollständig gesehen hat.
Verwechseln sollte man eine Backdoor nicht mit einem gewöhnlichen Modellfehler. Ein Fehler entsteht zufällig, etwa weil zu wenige Beispiele vorhanden waren. Eine Backdoor ist absichtlich eingebaut und lässt sich vom Angreifer jederzeit gezielt auslösen. Der Unterschied ist derselbe wie zwischen einem klemmenden Türschloss und einem Nachschlüssel, den jemand heimlich angefertigt hat.
Wie der geheime Auslöser eingepflanzt wird
Der häufigste Weg heißt Data Poisoning, also das Vergiften der Trainingsdaten. Ein Angreifer nimmt einen kleinen Teil der Beispiele und verändert sie leicht. In ein Bild setzt er etwa ein gelbes Quadrat von wenigen Pixeln Größe. Alle so markierten Bilder versieht er mit derselben falschen Beschriftung. Das Modell lernt daraus eine simple Abkürzung: Wo das gelbe Quadrat ist, gilt diese Beschriftung.
Erstaunlich ist, wie wenig dafür nötig ist. In Forschungsarbeiten reichten oft unter einem Prozent manipulierter Beispiele aus. Der Rest der Daten bleibt völlig sauber, deshalb sinkt die allgemeine Genauigkeit kaum messbar. Bei Sprachmodellen funktioniert dasselbe Prinzip mit einer seltenen Zeichenfolge als Auslöser. Ein ungewöhnliches Wort oder ein bestimmtes Sonderzeichen genügt als Schlüssel.
Zur Abwehr durchsucht man Trainingsdaten nach auffälligen Mustern oder trainiert verdächtige Modelle mit sauberen Daten nach. Andere Verfahren versuchen, den unbekannten Auslöser rechnerisch zu rekonstruieren. Sicher ist keine dieser Methoden. Wer den Auslöser nicht kennt, sucht eine Nadel in einem unendlich großen Heuhaufen.
Von Verkehrsschildern bis zu Lieferketten
Das bekannteste Beispiel stammt aus der Bilderkennung für Fahrzeuge. Forscher klebten einen kleinen gelben Aufkleber auf ein Stoppschild. Das manipulierte Modell erkannte darin zuverlässig ein Tempolimit. Ohne Aufkleber arbeitete dasselbe Modell einwandfrei. Ähnliche Angriffe wurden für Gesichtserkennung und Spamfilter gezeigt.
In den Nachrichten taucht das Thema meist unter dem Stichwort Lieferkettensicherheit auf. Plattformen, auf denen fertige Modelle geteilt werden, prüfen Uploads inzwischen genauer. Behörden und Aufsichtsstellen verlangen zunehmend Nachweise darüber, woher Trainingsdaten stammen. Für Unternehmen ist eine Backdoor deshalb auch ein rechtliches und finanzielles Risiko, nicht nur ein technisches.
Für dich im Alltag bleibt vor allem eine Faustregel wichtig. Ein KI-System ist nur so vertrauenswürdig wie die Daten und die Herkunft des Modells dahinter. Wenn eine Firma nicht sagen kann, womit ihr Modell trainiert wurde, ist das ein ernstzunehmender Mangel. Genau deshalb wird Nachvollziehbarkeit der Datenherkunft in der Branche gerade zu einem zentralen Thema.