Der Passant winkt wie verrückt, zappelt mit den Beinen und sinkt auf den Bürgersteig. Das selbstfahrende Auto auf der anderen Straßenseite legt daraufhin den Rückwärtsgang ein - so abrupt, dass der Wagen dahinter nicht mehr ausweichen kann und in das Heck kracht. Das ist bisher nur ein theoretisches Szenario. "Aber in Zukunft könnten solche Attacken auf selbstfahrende Autos möglich sein", sagt Adam Gleave von der University of California in Berkeley. Zusammen mit Kollegen hat der Informatiker jene Algorithmen ausgetrickst, die künftig unter anderem autonome Fahrzeuge durch Innenstädte lotsen sollen.
Die Technologie, die Gleave herausfordert, heißt Reinforcement Learning, also etwa be- oder verstärkendes Lernen. Dabei erlernt eine Software selbstständig, wie sie sich in der Umwelt verhalten sollte und wird dafür belohnt oder bestraft. Bekannt wurde Reinforcement Learning unter anderem durch AlphaZero, ein Programm der Google-Tochter Deepmind. Es lernt innerhalb weniger Stunden verschiedene Brettspiele von der Pike auf - und schlägt schließlich die besten menschlichen Gegner.
Ingenieure haben ein Fluggerät gebaut, das durch die Luft gleiten kann wie eine Taube. Sie haben sich dabei viel von den Vögeln abgeschaut.
KI-Forscher versprechen sich viel von der Technik. Sie steuert zum Beispiel Roboter und könnte künftig autonome Autos in der Spur halten. Selbstfahrende Fahrzeuge basieren auf mehreren Systemen: Der Bordcomputer muss - vereinfacht gesagt - sehen, hören, sich erinnern und entscheiden können. Dass er sich dabei täuschen lässt, ist bekannt. Bisher galten die "gezielten Attacken", wie Entwickler sagen, jedoch vornehmlich den künstlichen neuronalen Netzen, gewissermaßen den Sehzentren der Systeme. So sorgten zum Beispiel kleine Aufkleber auf Stopp-Schildern dafür, dass der Fahrzeugcomputer diese für Geschwindigkeitsbegrenzungen hielt.
Die KI erkennt zappelnde Menschen, kann jedoch mit den Eindrücken nichts anfangen
Das Sehen bereitet vielen Algorithmen Probleme. Als künstliche neuronale Netze immer öfter eingesetzt wurden, um Bilder zu klassifizieren, begannen Informatiker, erstaunliche Lücken zu entdecken: Die Netze hielten Golden Retriever für Flugzeuge, Bananen für Toaster oder eben Stoppschilder für Tempolimits - nur weil einige wenige Details verändert waren. Tatsächlich basiert die Software ihre Entscheidungen mitunter auf kleinen Strukturen, einigen wenigen Pixeln. Werden genau diese geändert, kann das die Software täuschen.
Gleaves Angriffe zielen jedoch - bildlich gesprochen - nicht auf das Sehzentrum der selbstlernenden Software, sondern auf die Entscheidungsstruktur. Er bringt das Reinforcement Learning durch das Verhalten anderer Akteure aus dem Konzept, "Verhaltensattacken" nennt der Informatiker das. Die künstliche Intelligenz erkennt zappelnde Menschen klar und deutlich, kann jedoch mit diesen Eindrücken nichts anfangen und weiß nicht, wie sie reagieren soll.
Aus Gleaves Sicht sind "Verhaltensattacken" eine größere Bedrohung für Künstliche Intelligenz als optische Täuschungen. Verwirrendes Verhalten könne jeder Akteur an den Tag legen. Hinzu komme, dass ein Roboter oder ein autonomes Fahrzeug nicht nur optische Sensoren hat, sondern zum Beispiel auch Geräusche wahrnimmt: Hält etwa der Bordcomputer einen Zebrastreifen fälschlicherweise für eine gewöhnliche Fahrbahnmarkierung, hört er dennoch die Stimmen der Menschen auf der Straße und kann rechtzeitig bremsen. Tanzen die Passanten aber plötzlich Tango, wird es schwierig: Der Computer kennt keine vergleichbaren Situationen - und kann sich nicht wie bei optischen Täuschungen auf andere Sinnesorgane verlassen.
Der virtuelle Torwart lag plötzlich zappelnd auf dem Boden
In manchen von Gleaves Simulationen hatten Roboter zum Beispiel gelernt, Elfmeter zu schießen. Nach etwas Übung trafen die virtuellen Schützen fast immer. Als sich aber plötzlich der Torwart zappelnd auf den Boden legte, begannen die Roboter auf der Stelle zu trippeln, manche fielen um, andere liefen rückwärts. "Ob Reinforcement Learning in der Praxis genauso leicht getäuscht werden kann, muss allerdings erst noch erforscht werden", sagt Karsten Roscher vom Fraunhofer-Institut für Kognitive Systeme (IKS). Im Vergleich zu den Simulationen entscheiden sich echte Roboter oder autonome Fahrzeuge auf der Grundlage vieler unterschiedlicher Daten - ein zappelnder Passant auf dem Bürgersteig fiele womöglich kaum ins Gewicht.
Bis das Reinforcement Learning Autos durch Innenstädte lotst, könnte es ohnehin noch eine Weile dauern. Auch wenn das englische Start-Up Wayve behauptete, mit Prototypen bereits so weit zu sein. "Es sind nicht genügend technische Details öffentlich verfügbar, um diese Behauptung zu überprüfen", sagt Adam Gleave. Ähnlich verhält es sich mit Lieferwagen des Start-Ups Nuro aus den USA, die Medikamente vor die Haustür bringen sollen. Eine Unternehmenssprecherin beteuert zwar, dass Nuro Reinforcement Learning benutze. Doch überprüfen lässt sich auch das nicht.
"Das größte Problem dieser Technik ist, dass ihre Entscheidungen nicht nachvollziehbar sind", sagt Karsten Roscher vom IKS. Der Abteilungsleiter für zertifizierbare künstliche Intelligenz weist darauf hin, dass man den Algorithmen ein enges Korsett anlegen muss, damit sie die hohen Sicherheitsstandards im Straßenverkehr erfüllen. Die Programme würden dann nicht vollständig autonom entscheiden, sondern aus vorgegebenen Alternativen wählen. Der plötzliche Rückwärtsgang im fließenden Verkehr stünde dann hoffentlich nicht zur Wahl.
