KI SpotlightNewsDivNet soll Sprachassistenten gegen versteckte Audiobefehle schützen
Forschende der George Mason University stellen eine Abwehrtechnik gegen adversariale Audio-Angriffe vor. Belastbare Messwerte liegen im verfügbaren Material nicht vor.
Mit KI erstellt◆ Fakten auf einen Blick
- DivNet wurde von Qiang Zeng (George Mason University) und Ying Meng entwickelt.
- DivNet soll Angriffe mit unhörbar versteckten Sprachbefehlen erschweren, ohne Neutraining.
- Das Paper wurde im Sommer 2026 auf der MobiSys in Cambridge, England, präsentiert.
- Hersteller installieren identische KI-Modelle auf Millionen Geräten, wodurch ein Angriff breit wirken könnte.
Qiang Zeng, Associate Professor am Department of Computer Science der George Mason University, hat gemeinsam mit dem Doktoranden Ying Meng die Technik DivNet entwickelt. Sie richtet sich gegen Angriffe, bei denen Sprachbefehle für Menschen unhörbar in Werbung oder Musik eingebettet sind. Der Sprachassistent führt sie trotzdem aus. Nach Darstellung der Forschenden und der Universität arbeitet DivNet, ohne die Geräte auszubremsen. Ein kostspieliges Neutraining der KI-Systeme sei nicht nötig.
Die Arbeit wurde im Sommer 2026 auf der ACM International Conference on Mobile Systems, Applications, and Services (MobiSys) in Cambridge, England, vorgestellt. „Du hörst das eine, aber die KI interpretiert etwas anderes“, sagt Zeng sinngemäß. Als mögliche Folgen nennen die Forschenden das Öffnen einer Haustür oder eine Überweisung.
Gleiches Schloss in jedem Haus: Die Monokultur identischer Modelle
Die Schwachstelle, bei der DivNet ansetzt, liegt nach Angaben der Forschenden in der Gleichförmigkeit der Geräte. Hersteller installieren identische KI-Modelle auf Millionen Geräten. Gelingt es einem Angreifer, ein Audio zu bauen, das ein Gerät manipuliert, lässt sich dieselbe Aufnahme gegen viele weitere Geräte richten. Die Forschenden vergleichen das mit einem Wohnviertel, in dem jedes Haus dasselbe Schloss hat: Ein Schlüssel öffnet dann alle Türen. Ein eigenes Modell für jeden Kunden zu trainieren, rechne sich für Unternehmen wegen der hohen Kosten kaum.
DivNet erzeugt laut dem Portal hyper.ai viele leicht unterschiedliche Versionen desselben Spracherkennungsmodells. Wie das technisch geschieht, ist dem verfügbaren Material nicht zu entnehmen. Der Textauszug bricht an genau dieser Stelle ab.
Die Überschrift von hyper.ai spricht von „Billionen KI-Varianten“. Eine Zahl oder Herleitung dafür fehlt sowohl in der Mitteilung der Universität als auch im verfügbaren Auszug von hyper.ai. Offen bleibt, ob die rechnerisch mögliche Zahl an Varianten oder tatsächlich eingesetzte Modelle gemeint ist.
Belegte Angriffe, offene Abwehr: Was bislang vorliegt
Die Bedrohung selbst ist gut dokumentiert. 2018 zeigten Nicholas Carlini und David Wagner, dass Audio, das dem Original zu 99,9 Prozent ähnelt, von Mozillas DeepSpeech mit 100 Prozent Erfolg als beliebige Zielphrase transkribiert wird. Das Projekt CommanderSong wies nach, dass sich Sprachbefehle in Songs einbetten lassen, die über die Luft gegen reale Spracherkennungsanwendungen wirken. Nach Angaben der Autoren lassen sich solche Songs über Plattformen wie YouTube und Radio verbreiten und potenziell Millionen Nutzer erreichen.
Für DivNet fehlen vergleichbare Angaben. Abwehrraten, Genauigkeit bei harmlosen Eingaben, getestete Systeme und das Verhalten gegen Angreifer, die sich auf die Abwehr einstellen, liegen nicht vor. Das Paper war nicht abrufbar. Die Behauptung, Angriffe würden dadurch schwieriger, ist deshalb bislang eine Selbstdarstellung der Forschenden. Ob Hersteller DivNet einsetzen, ist unbekannt. Eine Bewertung der Wirksamkeit ist auf dieser Grundlage nicht möglich.
