KI-Varianten stoppen Massenangriffe auf Sprachassistenten
Forschende der George Mason University haben eine Technik vorgestellt, die versteckte Sprachattacken auf KI-gestützte Assistenten erheblich erschweren soll. Das Verfahren namens DivNet stammt von Qiang Zeng, außerordentlicher Professor für Informatik an der George Mason University, und dem Doktoranden Ying Meng. Ihren Ansatz präsentierten sie auf der 2026 ACM International Conference on Mobile Systems, Applications, and Services in Cambridge. Der Hintergrund sind manipulierte Audiodateien, die für Menschen wie normale Musik oder Werbung klingen können, während ein Gerät darunterliegende Steuerbefehle erkennt. Eine solche Datei könnte theoretisch einen Sprachassistenten dazu bringen, eine Tür zu entriegeln, Überweisungen auszulösen oder andere privilegierte Aktionen auszuführen. Besonders problematisch ist, dass Hersteller häufig identische KI-Modelle auf Millionen Geräten einsetzen. Gelingt es Angreifern, ein Modell durch ein bestimmtes Muster zu manipulieren, könnten dieselben Eingaben auf vielen weiteren Geräten wirken. Die Sicherheitsforscher vergleichen das mit einem System, bei dem jede Wohnung im Haus das gleiche Schloss nutzt. DivNet setzt direkt an den numerischen Parametern neuronaler Netze an. Zeng und Meng analysieren Gewichte, die in Spracherkennungsmodellen für die normale Wiedergabe und das Verständnis von Sprache wichtig sind, sowie andere Parameter, die für gewöhnliche Abfragen kaum relevant sind, aber Angriffen zu großem Erfolg verhelfen. Indem genau diese weniger sensiblen Werte gezielt verändert werden, entstehen viele leichte Varianten eines Modells. Diese erkennen legitime Sprache weiterhin zuverlässig, reagieren aber unterschiedlich auf dieselbe präparierte Aufnahme. Für Angreifer sinkt dadurch der Nutzen eines einzelnen Angriffs auf eine ganze Gerätefamilie. In Tests mit etablierten Spracherkennungssystemen reduzierte DivNet die Erfolgsquote von Attacken deutlich, während die Genauigkeit bei normaler Sprache nur minimal beeinträchtigt wurde. Anders als viele bekannte Schutzmaßnahmen verursacht das Verfahren beim Erkennen von Sprache zusätzliche Rechenzeit praktisch nicht. Die Generierung einer neuen Variante dauert nach einer einmaligen Analyse nur Millisekunden. Die Zahl möglicher Varianten übersteigt den Angaben zufolge die Anzahl der Atome im beobachtbaren Universum. Ein einzelner Sprachassistent könnte daher regelmäßig zwischen Varianten wechseln, was Wiederverwendung von Angriffen weiter erschwert. Die Forscher sehen auch wirtschaftliche Vorteile: Herkömmliche Modelle regelmäßig neu zu trainieren, ist aufwendig und erfordert teure Grafikprozessoren. DivNet umgeht große Nachtrainings und könnte daher für große Technologieunternehmen interessant sein. Das Team hat bereits Patentanmeldungen eingereicht und eine Projektwebsite mit technischen Details und Hörbeispielen veröffentlicht. Damit demonstrieren die Autoren, wie ein- und dieselbe bösartige Aufnahme auf verschiedenen Modellvarianten unterschiedliche Ergebnisse erzielen kann. Die Arbeit adressiert ein wachsendes Sicherheitsrisiko im Smart Home und in vernetzten Sprachassistenten. Wenn KI-Systeme zunehmend kritische Funktionen steuern, müssen Angriffsflächen nicht nur im Modell selbst, sondern auch in der Verteilungspraxis großer Hersteller betrachtet werden. DivNet zeigt, dass Abweichungen zwischen gleichartigen Geräten nicht nur technisch machbar sind, sondern auch ohne spürbare Leistungseinbußen umgesetzt werden können.
