Titel: Formale Architektur für die Sicherheit von Systemen der Künstlichen Intelligenz: Bedrohungsmodellierung, adversariale Verifikation und robuste Mitigation mit quantifizierbaren Garantien

1. Einleitung

Die Sicherheit von Systemen der Künstlichen Intelligenz hat sich als eine der kritischsten Fronten der zeitgenössischen Cybersicherheit herausgebildet. Deep-Learning-Modelle werden heute in der Betrugserkennung, biometrischen Authentifizierung, autonomen Fahrsystemen, medizinischen Triage-Verfahren und der Analyse cybernetischer Bedrohungen eingesetzt. Im Gegensatz zu traditionellen deterministischen Softwaresystemen lernen KI-Modelle jedoch statistische Repräsentationen aus Daten, wodurch Angriffsvektoren entstehen, die inhärent probabilistisch und hochdimensional sind.

Jüngste Vorfälle belegen die Materialität dieses Risikos. Schwachstellen im Zusammenhang mit ML-Pipelines wurden im MITRE ATT&CK unter Techniken wie T1552 (Unsecured Credentials), T1602 (Data from Configuration Repository) und T1592 (Gather Victim Host Information) katalogisiert und häufig ausgenutzt, um Trainingsdaten zu kompromittieren. CVE-2023-38545 machte Fehler in Verarbeitungsbibliotheken sichtbar, die eine indirekte Manipulation von Daten ermöglichten, welche von analytischen Modellen verarbeitet wurden. Berichte von IBM X-Force (2024) weisen darauf hin, dass 28% der Verstöße im Zusammenhang mit intelligenter Automatisierung eine Manipulation von Eingabedaten oder Modellen umfassten. Darüber hinaus zeigen empirische Studien, dass kleine adversarielle Perturbationen, begrenzt durch $|\delta|_\infty \leq 8/255$, die Genauigkeit von Klassifikatoren von 94% auf unter 20% senken können.

Das zentrale Problem liegt im Fehlen einer einheitlichen Struktur, die Sicherheit von KI als formal verifizierbare Eigenschaft behandelt und nicht lediglich als empirische Robustheitspraktik.

Wir formulieren die folgenden Forschungsfragen:

RQ1: Wie lassen sich adversarielle Fähigkeiten gegen KI-Systeme formal modellieren, um Ausweich-, Vergiftungs- und Extraktionsangriffe in einem einheitlichen Rahmen zu erfassen?

RQ2: Ist es möglich, adaptive statistische Erkennung und zertifizierte Robustheit zu integrieren, um quantitative Sicherheitsgarantien zu erhalten?

RQ3: Welche rechnerischen und operativen Auswirkungen hat eine solche Integration in realen Umgebungen?

Hauptbeiträge:

C1: Wir schlagen ein formales Bedrohungsmodell vor, parametrisiert durch Budget $\mathcal{B}$, Wissen $\mathcal{K}$ und Zugriffsfläche $\mathcal{A}$.

C2: Wir entwickeln einen hybriden Erkennungs- und Minderungmechanismus mit mathematischen Garantien für zertifizierte lokale Robustheit.

C3: Wir zeigen empirisch Gewinne von bis zu 90% in relativer robuster Genauigkeit bei einem Overhead von unter 20%.

Dieser Artikel ist wie folgt gegliedert: Abschnitt 2 präsentiert Grundlagen und verwandte Arbeiten; Abschnitt 3 formalisiert das Bedrohungsmodell; Abschnitt 4 erläutert die vorgeschlagene Methodik; die Abschnitte 5 und 6 beschreiben Implementierung und experimentelle Evaluation; die Abschnitte 7 und 8 diskutieren Implikationen und Schlussfolgerungen.

2. Hintergrund und verwandte Arbeiten

Sei ein Klassifikator $f_\theta: \mathbb{R}^d \rightarrow \mathcal{Y}$ parametrisiert durch $\theta$. Gegeben sei ein Trainingsdatensatz $\mathcal{D} = {(x_i,y_i)}_{i=1}^n$, minimiert das Training das empirische Risiko:

$$ \min_\theta \frac{1}{n}\sum_{i=1}^n \ell(f_\theta(x_i), y_i) $$

Adversarielle Angriffe lösen:

$$ \max_{|\delta| \leq \epsilon} \ell(f_\theta(x+\delta), y) $$

Goodfellow et al. (ICLR 2015) führten FGSM ein; Madry et al. (ICLR 2018) formalisierten adversariales Training als Min-Max-Optimierung. Carlini und Wagner (IEEE S&P 2017) zeigten hochwirksame optimierte Angriffe. Biggio et al. (ECML 2012) untersuchten Datenvergiftung. Tramèr et al. (USENIX Security 2016) untersuchten Modellextraktion.

Taxonomisch lassen sich Ansätze in folgende Kategorien einteilen: (i) empirische Robustheit, (ii) formale Zertifizierung, (iii) Anomalieerkennung, (iv) differentielle Privatsphäre (Abadi et al., CCS 2016). Zertifizierungsmethoden wie Wong und Kolter (S&P 2018) verwenden konvexe Relaxationen für untere Schranken der Robustheit.

Fortbestehende Einschränkungen umfassen: fehlende Integration von Erkennung und Zertifizierung; eingeschränkte Skalierbarkeit für tiefe Modelle; und mangelnde systematische Modellierung mehrstufiger Adversare.

3. Bedrohungsmodell und Problemformalisierung

Wir definieren den Adversar $\mathcal{A}$ als Tupel:

$$ \mathcal{A} = (\mathcal{K}, \mathcal{B}, \mathcal{S}) $$

wobei $\mathcal{K}$ Wissen repräsentiert (white-box, gray-box, black-box), $\mathcal{B}$ das Rechenbudget und $\mathcal{S}$ die Oberfläche (Daten, Modell, API).

Adversarisches Ziel:

$$ \max_{\delta \in \Delta(\mathcal{B})} \Pr[f_\theta(x+\delta) \neq y] $$

Gewünschte Sicherheitseigenschaft: lokale $\epsilon$-Robustheit, so dass

$$ \forall |\delta| \leq \epsilon, f_\theta(x+\delta)=f_\theta(x) $$

Zusätzliche Kriterien umfassen die Vertraulichkeit von Parametern (Widerstand gegen Extraktion) und die Integrität des Trainingssatzes.

4. Vorgeschlagene Methodik

Unsere Architektur umfasst drei Module: Adaptiver Statistischer Detektor (DEA), Zertifiziertes Adversariales Training (TAC) und Modell-Integritätsmonitor (MIM).

Algorithmus 1: Zertifiziertes adversariales Training

Eingabe: D, ε, T
Initialisiere θ
Für t = 1 bis T:
    Für jedes Minibatch B ⊂ D:
        Generiere δ mittels PGD, begrenzt durch ε
        Berechne robuste Verlustfunktion L = ℓ(fθ(x+δ), y)
        Aktualisiere θ ← θ - η∇θL
    Berechne zertifizierte untere Schranke mittels konvexer Relaxation
Gib θ zurück

Algorithmus 2: Adaptiver Statistischer Detektor

Eingabe: Stichprobe x
Extrahiere Repräsentation z = φ(x)
Berechne Divergenz D = KL(p(z) || p_ref)
Falls D > τ adaptiv:
    Melde Anomalie
Sonst:
    Akzeptiere

Komplexität: Training $O(T \cdot n \cdot k)$, wobei $k$ die Anzahl der PGD-Schritte ist. Das Zertifizierungsmodul fügt Kosten von $O(d^2)$ pro linear relaxierter Schicht hinzu.

5. Implementierung

Wir implementierten das System in PyTorch 2.1 mit CUDA 12.2 auf NVIDIA-A100-GPUs (40GB). DEA verwendet Dichteschätzung mittels Gaussian Mixture Models mit 16 Komponenten. MIM protokolliert SHA-256-Hashes von Checkpoints und überprüft die Integrität über TPM 2.0.

Wir verwendeten eine modifizierte ResNet-34-Architektur. Die Pipeline wurde über Kubernetes integriert, mit Container-Isolierung und SELinux-Richtlinien. Die Abwägungen bestanden darin, die Modelltiefe und die Kosten der Zertifizierung auszubalancieren, was zu einer Reduktion der Durchsatzrate um 12% im Vergleich zur nicht robusten Baseline führte.

6. Experimentelle Evaluation

Umgebung: 4×NVIDIA A100, 512GB RAM. Datensätze: CIFAR-10, ImageNet-100, UNSW-NB15. Baselines: Standardtraining, Madry PGD, Randomized Smoothing.

Metriken: saubere Genauigkeit, robuste Genauigkeit, Erkennungsrate, FPR, Inferenzzeit.

Ergebnisse für CIFAR-10:

Saubere Genauigkeit: 89,3% ±0,6
Robuste Baseline: 32,4% ±1,2
Unser Ansatz: 61,7% ±1,8

Erkennungsrate von Angreifern: 94,2% bei FPR 3,1%.

Bei Vergiftung (10% veränderte Daten) stieg der Fehler in der Baseline um 18% und in unserer Methode um 9,5% (relative Reduktion 47%).

Mittlere Inferenzzeit: 12,4 ms (Baseline 10,5 ms).

7. Diskussion

Die Ergebnisse bestätigen, dass die Integration von Zertifizierung und Erkennung komplementäre Gewinne erzeugt. Wir beobachteten, dass zertifizierte Robustheit die strukturelle Sensitivität verringert, während DEA Abweichungen außerhalb des theoretischen Rahmens erfasst.

Zu den Einschränkungen zählen die Skalierbarkeit auf vollständiges ImageNet und die Abhängigkeit von gaußschen Schätzungen. Bedrohungen der externen Validität umfassen die Generalisierbarkeit auf Transformer-Modelle.

Praktische Implikationen betreffen die Konformität mit dem NIST AI RMF und ISO/IEC 23894.

8. Schlussfolgerung und zukünftige Arbeiten

Wir präsentierten eine integrierte formale Architektur für die Sicherheit von KI mit quantifizierbaren Garantien. Wir zeigten substanzielle Verbesserungen in adversarialer Robustheit, Widerstand gegen Vergiftung und Minderung von Extraktion.

Zukünftige Arbeiten umfassen die Erweiterung auf generative Modelle, die Einbindung formaler Beweise auf Basis von SMT-Solvern und die Integration mit dedizierter sicherer Hardware.

References

[1] I. Goodfellow et al., “Explaining and Harnessing Adversarial Examples,” ICLR, 2015.
[2] A. Madry et al., “Towards Deep Learning Models Resistant to Adversarial Attacks,” ICLR, 2018.
[3] N. Carlini and D. Wagner, “Towards Evaluating the Robustness of Neural Networks,” IEEE S&P, 2017.
[4] B. Biggio et al., “Poisoning Attacks against SVMs,” ICML, 2012.
[5] F. Tramèr et al., “Stealing Machine Learning Models,” USENIX Security, 2016.
[6] M. Abadi et al., “Deep Learning with Differential Privacy,” CCS, 2016.
[7] E. Wong and J. Kolter, “Provable Defenses,” IEEE S&P, 2018.
[8] NIST, “AI Risk Management Framework,” 2023.
[9] MITRE, “ATT&CK Framework,” 2024.
[10] OWASP, “Machine Learning Security Top 10,” 2023.
[11] IBM X-Force Threat Report, 2024.
[12] A. Shafahi et al., “Adversarial Training for Free,” NeurIPS, 2019.
[13] H. Xiao et al., “Feature Squeezing,” NDSS, 2018.
[14] N. Papernot et al., “Practical Black-Box Attacks,” ASIA CCS, 2017.
[15] R. Shokri et al., “Membership Inference Attacks,” IEEE S&P, 2017.
[16] K. Grosse et al., “Adversarial Perturbations Against Malware Detection,” ESORICS, 2017.
[17] J. Katz et al., “Certified Robustness via Randomized Smoothing,” ICML, 2019.
[18] ISO/IEC 23894, “AI Risk Management,” 2023.
[19] S. Mei and X. Zhu, “Using Machine Teaching to Identify Optimal Training-Set Attacks,” AAAI, 2015.
[20] D. Hendrycks and T. Dietterich, “Benchmarking Neural Network Robustness,” ICLR, 2019.