Onderzoekers hebben een methode ontwikkeld om backdoors in moderne deep learning-architecturen te verbergen, waarbij deze statistisch ononderscheidbaar zijn van normale modelparameters. De aanval maakt gebruik van de inherente geometrie van de latente ruimte, waardoor bestaande beveiligingsmaatregelen tekortschieten.
In een recent wetenschappelijk onderzoek, gepubliceerd via arxiv.org, beschrijven onderzoekers Marte Eggen, Eirik Reiestad, Kristian Gjøsteen en Inga Strümke een nieuwe aanvalsmethode op neurale netwerken. De kern van hun ontdekking is dat backdoors niet langer afhankelijk zijn van exotische of kunstmatige architecturen om ondetecteerbaar te blijven, maar kunnen worden geïntegreerd in moderne, end-to-end getrainde netwerken.
De werking van de latente ruimte
Een backdoor is in essentie een ongeautoriseerde toegangsweg die normale beveiligingscontroles omzeilt. Volgens de definities op cybersecurity101.net fungeert een backdoor als een "geheime zijdeur" die aanvallers in staat stelt om persistent toegang te behouden tot een systeem, zelfs nadat de initiële lekken zijn gedicht. In de context van kunstmatige intelligentie betekent dit dat een model normaal functioneert, maar een specifieke, verborgen trigger activeert een kwaadaardige actie.
De onderzoekers in de publicatie hebben aangetoond dat deze kanalen kunnen worden verborgen in de zogenaamde 'latente ruimte' van een netwerk. Door backdoor-kanalen te identificeren als geleerde latente richtingen, kunnen aanvallers gebruikmaken van de geometrie die het netwerk tijdens het trainingsproces van nature al ontwikkelt. Hierdoor is er geen vreemde structuur nodig die door beveiligingssoftware als afwijkend zou kunnen worden herkend.
Onmogelijkheid van detectie
Het meest zorgwekkende aspect van dit onderzoek is de cryptografische ondetecteerbaarheid. De auteurs stellen dat de vraag of een model een backdoor bevat, kan worden teruggebracht tot een hypothesetest tussen twee onbekende distributies van modelparameters. De onderzoekers concluderen in hun dat deze test in de praktijk onuitvoerbaar is.
Dit betekent dat er geen efficiënt algoritme bestaat dat een aangetast model met zekerheid kan onderscheiden van een schoon model. De aanval is getest op veelgebruikte architecturen, waaronder ResNet en Vision Transformers, die getraind waren op standaard datasets voor beeldclassificatie. De resultaten laten zien dat de aanval een consistent hoge succesrate behaalt zonder dat de nauwkeurigheid van het model bij normaal gebruik merkbaar afneemt.
Falen van huidige defensies
De impact van deze methode is groot omdat zij resistent blijkt tegen een breed scala aan post-training defensies. Volgens de slaagt geen enkele van de geteste beveiligingsmaatregelen erin om de backdoor te neutraliseren zonder het model volledig onbruikbaar te maken.
Dit sluit aan bij de algemene gevaren van backdoors zoals beschreven door , waar wordt benadrukt dat dergelijke mechanismen vaak overleven na een standaard opschoning van malware. Terwijl traditionele backdoors vaak bestaan uit verborgen gebruikersaccounts of gewijzigde binaries, bevindt deze nieuwe vorm zich op het niveau van de wiskundige representaties binnen het neurale netwerk.
De publicatie, waarvan de laatste revisie op 6 november 2026 verscheen via , waarschuwt dat cryptografische backdoors inherent kunnen zijn aan de geometrie van geleerde representaties. Dit dwingt de cybersecurity-gemeenschap om opnieuw naar de veiligheid van de software supply chain voor AI-modellen te kijken, aangezien traditionele detectiemethoden onvoldoende bescherming bieden tegen deze latente dreigingen.