Wetenschappers hebben onderzocht in hoeverre extra rekenkracht voor aanvallers leidt tot 'overdraagbare' aanvallen op AI-systemen, waarbij een onderscheid wordt gemaakt tussen classificatie- en generatieve taken.
In een recent gepubliceerd wetenschappelijk onderzoek is dieper ingegaan op de dynamiek tussen de rekenkracht van een aanvaller en die van een verdediger binnen de context van adversariële voorbeelden. De focus van de studie ligt op zogenaamde 'transferable attacks' of 'transferable jailbreaks'. Dit zijn krachtige vormen van aanvallen die in staat zijn om alle verdedigingsmechanismen binnen een specifieke klasse van AI-modellen te omzeilen.
De rol van rekenkracht bij classificatietaken
Het onderzoek, getiteld "Does More Compute Make Every Adversarial Attack Transferable?", is geschreven door Greg Gluch, Shafi Goldwasser en Anastasiia Struss. Volgens de publicatie op arxiv.org bestaat er een specifiek verband tussen de beschikbare computationele middelen en de effectiviteit van aanvallen bij classificatietaken.
De auteurs stellen dat wanneer er een kwadratisch gat bestaat in de rekenkracht ten gunste van de aanvaller ten opzichte van de verdediger, elke leerbare classificatietaak leidt tot een tweeledige uitkomst: er is ofwel een overdraagbare aanval mogelijk, ofwel er bestaat een effectieve adversariële verdediging. Dit betekent dat bij een aanzienlijk rekenkrachtoverschot de strijd tussen aanval en verdediging in classificatiesystemen een voorspelbaar theoretisch kader volgt.
Beperkingen bij generatieve AI
Voor generatieve taken ligt dit echter anders. De onderzoekers tonen aan dat de eerder genoemde dichotomie niet opgaat wanneer het gat in rekenkracht kleiner is dan kwadratisch. In deze gevallen leidt simpelweg meer rekenkracht voor de aanvaller niet automatisch tot een overdraagbare aanval.
Een cruciaal onderdeel van hun bewijsvoering is dat een verdedigingsmechanisme dat extra berekeningen uitvoert nadat de input is ontvangen, aantoonbaar sterker kan zijn dan elke verdediging die gebruikmaakt van een vastgesteld, vooraf gepubliceerd model. Dit resultaat biedt formele ondersteuning voor de observatie dat het verhogen van de rekenkracht tijdens de inferentiefase (de fase waarin het model een antwoord genereert) de robuustheid van een systeem kan verbeteren. De auteurs verwijzen in dit verband naar empirische waarnemingen van Zaremba et al. uit 2025, zoals vermeld in de .
Theoretisch kader en cryptografische aannames
Om tot deze conclusies te komen, hebben de onderzoekers gebruikgemaakt van een complex theoretisch raamwerk. In de , die op 15 oktober 2026 is herzien, wordt uitgelegd dat de resultaten gebaseerd zijn op de aanname van het bestaan van diverse cryptografische primitieven.
Hiertoe behoren onder andere:
- Identiteitsgebaseerde volledig homomorfe encryptie.
- Publiekelijk verifieerbare zero-knowledge succinct non-interactive arguments of knowledge.
- Niet-paralleliseerbare talen.
- Incrementeel verifieerbare berekeningen.
Het volledige onderzoek beslaat 60 pagina's en is gecategoriseerd onder de vakgebieden Machine Learning, Artificiële Intelligentie en Cryptografie en Beveiliging, zoals aangegeven in de .
Conclusie over robuustheid
De belangrijkste implicatie van het onderzoek is dat de strijd tussen AI-aanvallers en verdedigers niet enkel een kwestie is van "wie de meeste rekenkracht heeft". Hoewel een enorm overschot aan middelen bij classificatietaken tot overdraagbare aanvallen kan leiden, biedt de mogelijkheid om tijdens de verwerking van input extra rekenstappen toe te voegen een effectieve manier om de veiligheid van generatieve modellen te verhogen. Hiermee wordt bevestigd dat dynamische verdedigingsstrategieën superieur kunnen zijn aan statische modellen.