Einfach erklärt
Adversarial Examples (gezielte Störbeispiele) Adversarial Examples sind absichtlich veränderte Eingaben, die für Menschen gleich aussehen/klingen, ein KI‑Modell aber in die Irre führen. Die Änderungen sind klein (z. B. wenige Bild‑Pixel, leise Tonsignale), aber so gesetzt, dass das Modell falsch entscheidet.
Ganz einfache Beispiele:
• Bild: Ein paar gezielte Pixel‑Änderungen – für uns kaum sichtbar –, und ein „Panda“ wird als „Gibbon“ erkannt.
• Straßenschild‑Aufkleber: Ein Muster/Sticker lässt ein Stop‑Schild wie ein anderes Schild wirken (für die Kamera).
• Audio: Kaum hörbare Störungen lassen einen Sprachassistenten eine falsche Anweisung verstehen.
Professionelle Definition
Ein adversariales Beispiel ist (x‘ = x + \delta), das eine kleine (nach einer Norm (\lVert\delta\rVert_p \le \epsilon)) Störung (\delta) zur Eingabe (x) addiert, sodass ein Modell (f) gezielt fehlklassifiziert: (f(x‘) \ne y) (oder (f(x‘) = y_{\text{Ziel}})). Typische Angriffsverfahren nutzen den Gradienten der Verlustfunktion, z. B. FGSM (Fast Gradient Sign Method) oder PGD (iterativ, projektionsbasiert). Wichtige Phänomene:
• Übertragbarkeit: Störungen, die ein Modell täuschen, funktionieren oft auch bei anderen Modellen.
• Bedrohungsmodelle: White‑box (Angreifer kennt Modell/Gradienten) vs. Black‑box (nur Abfragen).
• Robustheits‑Maßnahmen: Adversarial Training (Min‑Max‑Optimierung: auf Störbeispielen trainieren), randomized smoothing (zertifizierte Robustheit für (\ell_2)‑Störungen), Detektion/Vorverarbeitung – jeweils mit Grenzen/Trade‑offs.
Quellen
• Wikipedia – Adversarial examples / Adversarial machine learning (Überblick, Beispiele, Angriffe/Abwehr)
https://en.wikipedia.org/wiki/Adversarial_machine_learning
https://en.wikipedia.org/wiki/Adversarial_example
• Goodfellow, Shlens, Szegedy (2015) – Explaining and Harnessing Adversarial Examples (FGSM, Linearitätshypothese)
https://arxiv.org/abs/1412.6572
https://arxiv.org/pdf/1412.6572
• Madry et al. (2018) – Towards Deep Learning Models Resistant to Adversarial Attacks (PGD, adversarial training als Min‑Max)
https://arxiv.org/abs/1706.06083
https://arxiv.org/pdf/1706.06083
• Ilyas et al. (2019) – Adversarial Examples Are Not Bugs, They Are Features (Ursachen/robuste vs. nichtrobuste Merkmale)
https://arxiv.org/abs/1905.02175
https://proceedings.neurips.cc/paper/2019/hash/e2c420d928d4bf8ce0ff2ec19b371514-Abstract.html
• Cohen, Rosenfeld, Kolter (2019) – Certified Adversarial Robustness via Randomized Smoothing
https://arxiv.org/abs/1902.02918
https://proceedings.mlr.press/v97/cohen19c.html