Model Inversion

Ein Computerprogramm, das aus Beispielen lernt, nennt man ein Modell. Man zeigt ihm etwa tausende Fotos mit Namen, danach erkennt es Gesichter. Die Fotos selbst sollen dabei geheim bleiben, nur das Gelernte wird veröffentlicht. Model Inversion dreht diesen Ablauf um. Ein Angreifer stellt dem fertigen Programm sehr viele Fragen und beobachtet die Antworten genau. Aus diesen Antworten rekonstruiert er Stück für Stück, wie die ursprünglichen Beispiele ausgesehen haben. Im besten Fall für den Angreifer entsteht am Ende ein erkennbares Gesicht oder ein echter Datensatz einer Person.

Warum das wichtig ist

Viele KI-Systeme werden mit sensiblen Daten trainiert. Kliniken nutzen Patientenakten, Banken nutzen Kontobewegungen, Behörden nutzen Ausweisfotos. Die Daten bleiben im Haus, nur das trainierte Modell geht nach außen oder in eine App. Genau darauf beruht die Idee, dass Datenschutz gewahrt bleibt.

Model Inversion greift diese Annahme an. Wenn sich Trainingsdaten aus einem Modell zurückgewinnen lassen, ist das Modell selbst ein Datenleck. Für Unternehmen kann das teuer werden, weil europäische Datenschutzregeln personenbezogene Daten streng schützen. Bußgelder und Rückrufe von Produkten sind möglich. Deshalb tauchen solche Angriffe inzwischen in Sicherheitsprüfungen und in Berichten von Aufsichtsbehörden auf.

Wie es funktioniert

Ein Modell gibt selten nur ein knappes Urteil ab. Meist liefert es zusätzlich Zahlen, die seine Sicherheit ausdrücken. Eine Gesichtserkennung antwortet zum Beispiel: 87 Prozent Übereinstimmung mit Person A. Diese Zahl ist der Hebel für den Angriff.

Der Angreifer startet mit einem zufälligen Bildrauschen und schickt es an das Modell. Die Rückmeldung ist zunächst niedrig. Nun verändert er das Bild leicht und fragt erneut. Steigt der Wert, behält er die Änderung, sonst verwirft er sie. Nach vielen tausend Runden nähert sich das Bild dem an, was das Modell gelernt hat. Es ist wie ein Suchspiel, bei dem der Mitspieler nur wärmer oder kälter sagt. Mit genug Fragen findet man das Versteck trotzdem.

Gefährlich wird es besonders dann, wenn ein Modell bestimmte Beispiele auswendig gelernt hat. Fachleute nennen das Memorisierung. Sprachmodelle können auf diese Weise ganze Textpassagen aus ihren Trainingsdaten wiedergeben, etwa Adressen oder Passwörter. Als Gegenmittel gilt vor allem Differential Privacy: Beim Training wird absichtlich ein kleines Zufallsrauschen eingebaut. Das Modell lernt dann allgemeine Muster, aber keine einzelnen Personen genau. Außerdem hilft es, weniger Detailzahlen nach außen zu geben und die Anzahl der Anfragen pro Nutzer zu begrenzen.

Wo man dem Begriff begegnet

Am häufigsten liest man von Model Inversion in Meldungen über KI-Sicherheit. Forschungsgruppen zeigen regelmäßig, dass sie aus einem bekannten Bild- oder Sprachmodell Trainingsdaten herausholen konnten. Solche Ergebnisse führen oft dazu, dass Anbieter ihre Schnittstellen ändern.

Auch im Alltag ist der Begriff relevanter, als er klingt. Wer ein KI-Modell über das Internet anbietet, muss damit rechnen, dass Nutzer es systematisch ausfragen. Deshalb liefern viele Anbieter heute nur noch das Endergebnis und keine genauen Sicherheitswerte. Beim Thema Medizin-KI ist Model Inversion ein Standardargument gegen offene Modellveröffentlichung. Und im EU-Regelwerk für Künstliche Intelligenz zählen solche Angriffe zu den Risiken, die Betreiber von wichtigen Systemen prüfen müssen. Für Anleger ist das ein Kostenfaktor: Schutzmaßnahmen wie Differential Privacy verschlechtern oft die Genauigkeit eines Modells.