Unsichtbare Wasserzeichen brechen die Verteidigung: Text-Watermarking öffnet Modelle unerwartet für Prompt-Injections

Aufdeckung der Nebenwirkungen von Wasserzeichen

Die Bemühungen, KI-generierte Inhalte von menschlichem Schreiben unterscheidbar zu machen, sind auf einen unangenehmen Kompromiss gestoßen. Laut einer neuen Studie verschlechtern Mechanismen für Text-Wasserzeichen die Verteidigung eines Modells gegen gefährliche Prompts. Die Autoren nennen dieses Phänomen Sampling Drift. Wenn ein Modell ein Wasserzeichen verwendet, ändert sich die Wahrscheinlichkeit der Wortauswahl in einer Weise, dass es einer Anweisung, die Sicherheitsfilter sonst blockieren würden, leichter nachkommt.

Die Studie zeigt, dass Modelle bei aktivem Wasserzeichen unterschiedlich auf schädliche Anfragen reagieren, je nachdem, welcher geheime Schlüssel für das Wasserzeichen verwendet wurde. Dieses Phänomen stört die bisherige Annahme, dass das Einfügen eines Wasserzeichens lediglich ein harmloses statistisches Overlay ist.

Die Entscheidung wird für Teams, die Agenten einsetzen, kompliziert

Bisher galt die Aktivierung eines Wasserzeichens (wie Googles SynthID) als ein verantwortungsvoller Schritt in Richtung Transparenz ohne Kosten für die Funktionalität. Die neue Erkenntnis ändert dies. Wenn ein Modell als Agent fungiert und Zugriff auf Werkzeuge hat, bedeutet eine geschwächte Fähigkeit, eine Anweisung abzulehnen, ein deutlich höheres Risiko für Prompt-Injection-Angriffe.

Sicherheitsteams befinden sich somit in einer Zwickmühle. Sie können entweder ein Modell mit Wasserzeichen einsetzen und riskieren, dass ein Angreifer den Agenten leichter dazu verleitet, eine unerwünschte Funktion auszuführen, oder das Wasserzeichen deaktivieren und die Möglichkeit verlieren, rückwirkend zu identifizieren, dass die Ausgabe von ihrem System generiert wurde.

Ein Angriff erfordert immer noch Benutzermanipulation

Das bedeutet nicht, dass Wasserzeichen Modelle von Natur aus in gefährliche Waffen verwandeln. Das Phänomen schwächt die sogenannte Refusal Rate, die Fähigkeit des Modells, dem Benutzer Nein zu sagen. Ein Angreifer muss immer noch einen ausgeklügelten schädlichen Prompt liefern.

Der Unterschied besteht darin, dass der Angreifer mit einem aktiven Wasserzeichen statistisch gesehen eine höhere Erfolgschance hat. Die Entdeckung unterstreicht somit eher die Fragilität der Feinabstimmung von Modellen für die Sicherheit als ein grundlegendes Versagen der Technologie selbst.

Der wahre Test wird das Verhalten von Enterprise-Plattformen sein

Entscheidend wird sein, wie große Anbieter wie OpenAI oder Anthropic, die unter zunehmendem Druck stehen, Wasserzeichen flächendeckend einzuführen, auf diese Entdeckung reagieren. Wenn sich herausstellt, dass Wasserzeichen die Verteidigung gegen Jailbreaks bei Modellen, die mit Unternehmensdaten arbeiten, systematisch verschlechtern, könnte dies ihre Einführung erheblich verlangsamen.

Ein Beweis für die Schwere des Problems wird sein, wenn Unternehmen ausdrücklich davon abraten, Wasserzeichen für Modelle zu aktivieren, die im Agentenmodus arbeiten und Zugriff auf externe Tools haben.

Liliths Urteil

Die Wahl ist plötzlich klar. Entweder Sie wissen, wer den Text generiert hat, oder Sie wissen, dass Ihr Agent die Kundendatenbank nicht an den erstbesten Hacker im Internet schickt.