Neue Angriffsfläche durch Safety-Features
LLM-gesteuerte Roboter nutzen Sicherheitsmechanismen, um gefährliche Aktionen zu verhindern. Forscher der arXiv haben nun gezeigt, dass diese Safety-Features selbst zur Angriffsfläche werden können – durch sogenannte Semantic Denial of Service (SemanticDoS)-Attacken.
Das Prinzip ist elegant und tückisch zugleich: Attackierende injizieren kurze, sicherheitsplausible Phrasen (1-5 Tokens) in den Audio-Channel eines Roboters. Das Modell interpretiert diese als legitime Sicherheitswarnungen und stoppt seine Ausführung – nicht weil es gehackt wurde, sondern weil die Safety-Reasoning genau das tut, wofür sie designt wurde.
Breite Verwundbarkeit über Modelle hinweg
Die Studie testete vier Vision-Language-Models, sieben Prompt-Level-Defenses und verschiedene Deployment-Modi. Das Ergebnis: Prompt-basierte Abwehrmaßnahmen erzeugen ein Dilemma. Sie können zwar die Hard-Stop-Attacken teilweise reduzieren, aber sie unterdrücken nicht die Disruption selbst – sie verändern nur ihre Form.
Wo Hard Stops unterbunden werden, entstehen stattdessen Acknowledge Loops und False Alerts. Die Forscher führten dafür eine neue Metrik ein: die Disruption Success Rate (DSR). Sie misst, ob das System tatsächlich normal funktioniert – unabhängig davon, ob es komplett stoppt oder nur in Schleifen verfällt.
Vielfalt schlägt Wiederholung
Ein interessantes Detailfund: Injection-Vielfalt ist konsistent wirksamer als die Wiederholung derselben Phrase. Das deutet darauf hin, dass Modelle diverse Safety-Cues als korroborierende Evidenz behandeln – jede neue Warnung wirkt wie zusätzliche Bestätigung.
Architektur statt Prompt-Fixes
Die praktische Konsequenz ist nicht prompt-basiert, sondern architektonisch: Systeme, die unauthentifizierte Audio-Text direkt in das LLM leiten, schaffen eine unnötige Sicherheitsabhängigkeit zwischen Safety-Monitoring und Action-Selection.
Das bedeutet konkret: Die Trennung dieser Funktionen auf Systemebene wäre robuster als der Versuch, Safety-Features über Prompting zu härten. Wer Roboter mit LLMs in sicherheitskritischen Umgebungen einsetzt, sollte überdenken, welche Eingabekanäle direkt zum Modell führen – und welche vorher validiert werden müssen.