Hur AI bryter igenom innehållshashing

AI utnyttjar de matematiska egenskaperna hos perceptuella hashfunktioner för att generera hashkollisioner och undvika innehållsdetektering, medan generativ AI samtidigt producerar djupförfalskningar som kringgår identitetsverifieringssystem. Båda attackerna är redan dokumenterade i expertgranskade forsknings- och produktionsmiljöer. Den rekommenderade åtgärden: behandla hashing som ett lager i en djupgående försvarsarkitektur, para ihop perceptuell hashing med kryptografiska signaturer, anta innehållsproveniensstandarder som C2PA för medieäkthet och uppdatera detekteringsmodeller regelbundet eftersom system som tränats på äldre syntetiskt innehåll misslyckas mot nyare generativa tekniker.

Snabbt svar: Hur bryter AI innehållshashing?

Perceptuella hashfunktioner är deriverbara: deras utdata är jämna, kontinuerliga funktioner av indatafunktioner, vilket innebär att adversariell optimering kan tillämpas för att manipulera dessa utdata. Forskare demonstrerade detta konkret mot NeuralHash (TU Darmstadt, 2021): genom att tillämpa omärkbara pixelnivåstörningar på en bild kan vilken bild som helst tvingas producera en vald målhash, inklusive en kollision med en helt annan bild. Samtidigt producerar generativa AI-modeller syntetiska medier (deepfakes) som verkar autentiska och kringgår identitetsverifieringssystem som förlitar sig på visuell eller auditiv jämförelse. Ingen av attackerna kräver att någon kryptografisk primitiv bryts: båda utnyttjar gapet mellan vad hashfunktioner mäter och vad säkerhetssystem behöver dem för att garantera.

Grunderna i hashing: Kryptografisk vs. Perceptuell

En hashfunktion tar indata av godtycklig storlek och producerar en utdata med fast längd som kallas ett hashvärde eller en digest. Två fundamentalt olika klasser av hashfunktioner används i säkerhetssystem, och AI attackerar dem på helt olika sätt.

Kryptografiska hashfunktioner (SHA-256, SHA-3, BLAKE2) är utformade för att vara kollisionsbeständiga: att hitta två olika indata som producerar samma hash-utdata är beräkningsmässigt ogenomförbart. De är också deterministiska och lavineffektsbenägna: varje ändring av indata, även en enda bit, producerar en helt annan utdata. Dessa egenskaper gör dem användbara för verifiering av filintegritet , digitala signaturer och blockkedjeapplikationer. En kryptografisk hash av en fil är ett manipuleringssäkert fingeravtryck: om filen ändras med ens en byte, ändras hashen fullständigt.

Perceptuella hashfunktioner (pHash, dHash, aHash, NeuralHash) är utformade för att göra motsatsen: producera liknande hashvärden för innehåll med liknande utseende. De extraherar semantiska egenskaper från media (dominerande färger, rumsliga frekvenskomponenter, visuell struktur) och baserar fingeravtrycket på dessa egenskaper snarare än råa bitar. Detta innebär att en ändrad storlek, omfärgad eller JPEG-komprimerad kopia av en bild producerar nästan samma perceptuella hash som originalet. Perceptuell hashing är tekniken bakom innehållsmodereringssystem som upptäcker förbjudna bilder, verktyg för upphovsrättsskydd som hittar obehöriga videokopior och skräppostfilter som identifierar visuellt liknande bedrägligt innehåll.

Säkerhetsegenskapen som perceptuell hashing bygger på är: olika innehåll ska producera olika hash, och liknande innehåll ska producera liknande hash. AI kan nu avsiktligt bryta båda delarna av detta löfte.

Hur AI attackerar perceptuella hashingsystem

Den grundläggande sårbarheten hos perceptuella hashfunktioner är att de är deriverbara: deras utdata är en jämn matematisk funktion av indata. Detta innebär att gradientbaserad optimering, samma teknik som används för att träna neurala nätverk, kan tillämpas för att hitta modifieringar av indata som driver hash-utdata mot vilket målvärde som helst.

Forskare från TU Darmstadt studerade Apples NeuralHash-system, som byggdes för att upptäcka CSAM (material med sexuella övergrepp mot barn) på enheter, och publicerade sina resultat i november 2021. De demonstrerade två typer av attacker:

1. Undvikningsattack: Genom att tillämpa omärkbara störningar på pixelnivå på en skadlig bild kan en angripare ändra bildens perceptuella hash så att den inte längre matchar hashen i detekteringsdatabasen. Bilden ser identisk ut för en mänsklig tittare, men detekteringssystemet klassificerar den som säker. Angriparen undviker detektering utan att synligt ändra innehållet.
2. Hashkollisionsattack: En angripare kan ta två helt olika bilder och tillämpa störningar för att tvinga dem att producera samma perceptuella hash. Det betyder att en angripare kan få en skadlig bild att producera samma hash som en känd säker bild, eller få en normal bild att producera hashen från en flaggad bild (vilket utlöser falsklarm om oskyldigt innehåll).

Båda attackerna utnyttjar samma matematiska egenskap: eftersom den perceptuella hashfunktionen är deriverbar kan gradienten av hashutgången i förhållande till ingången beräknas och användas för att optimera ingången mot ett målhashvärde. En angripare behöver inte bryta någon kryptografisk primitiv; de behöver bara optimeringsåtkomst till den perceptuella hashfunktionen.

Detta är inte enbart akademiska resultat. Samma attackmönster gäller för alla differentierbara perceptuella hashfunktioner som används i innehållsmoderering, varumärkesskyddsskanning eller skräppostfiltrering. System som använder perceptuell hashing som enda eller primär detekteringsmekanism är strukturellt sårbara för denna typ av attack.

Det andra problemet: AI-genererat syntetiskt innehåll

Separat från attacker mot befintliga hashsystem skapar generativ AI ett distinkt problem: syntetiskt innehåll som inte går att skilja från autentiskt innehåll till detekteringssystem som förlitar sig på visuell eller auditiv verifiering.

Deepfakes (AI-genererad video och ljud som imiterar riktiga människor) har nått en kvalitetsnivå där de rutinmässigt passerar identitetsverifieringssystem som används inom banksektorn (videobaserad KYC), onboarding av HR och chefsautentisering för finansiella transaktioner. Kostnads- och kompetensbarriären för att producera övertygande deepfakes har minskat avsevärt i takt med att generativa modellfunktioner har förbättrats.

Osynliga digitala vattenmärken inbäddade i AI-genererat innehåll för att möjliggöra proveniensspårning möter samma adversarial sårbarhet som perceptuell hashing. Om funktionen för vattenmärkesdetektering är differentierbar kan motstörningar ta bort vattenmärkessignalen samtidigt som det synliga innehållet lämnas intakt. Innehållsautentiseringsstandarder som C2PA (Coalition for Content Provenance and Authenticity) åtgärdar detta genom att bädda in kryptografiska signaturer i innehållsmetadata snarare än pixeldata, vilket gör proveniensposten motståndskraftig mot adversarial modifiering av själva mediet.

Hotmodell: Angreppsscenarier för företag

Attack typ	Hur AI möjliggör det	Företagssystem i riskzonen	Primärförsvar
Perceptuell hash-undvikelse	Gradientbaserad optimering tillämpar omärkbara störningar som ändrar en skadlig bilds perceptuella hash för att undvika matchande detekteringsdatabaser.	System för innehållsmoderering; varumärkesskyddsskannrar; skräppostfilter som använder perceptuell hashing	Lägg kryptografisk hashing och digitala signaturer i lager tillsammans med perceptuell hashing; behandla perceptuell hash som en signal, inte en enda grindvakt.
Hashkollisionsinjektion	Optimering tvingar två olika filer att dela samma perceptuella hash, vilket gör att en skadlig fil kan utge sig för att vara en känd säker fil.	Alla system som vitlistar eller klassificerar innehåll enbart baserat på perceptuell hashmatchning	Kräv flera oberoende detekteringssignaler; använd kryptografisk hash utöver perceptuell hash för verifiering av filintegritet
Djupförfalskad identitetsbedrägeri	Generativ AI skapar video/ljud som imiterar en verklig person tillräckligt övertygande för att klara visuell eller auditiv identitetsverifiering.	Video KYC-system; chefsautentisering för banköverföringar; onboardingprocesser för HR	Flerfaktorsautentisering; liveness-detektering som använder challenge-response; beteendebiometri utöver visuell biometri
Borttagning av vattenstämpel	Kontroversiella motstörningar tar bort osynliga vattenmärken i pixelutrymmet från AI-genererat innehåll samtidigt som den visuella kvaliteten bevaras.	System för innehållsprovenissystem som förlitar sig på pixelinbäddade vattenstämplar för äkthetsbevis	C2PA-kompatibla kryptografiska innehållsuppgifter bundna till metadata snarare än pixeldata; signering med infrastruktur för kodsignering
Filintegritetsundergrävning	Hashkollisionsattacker (väletablerade för MD5, SHA-1) tillåter en angripare att producera två filer med identiska hashkoder men olika innehåll.	Integritetskontroller av programvarudistribution; forensiska beviskedjor; system för revisionsloggning	Använd SHA-256 eller SHA-3 (inte MD5 eller SHA-1) för all integritetsverifiering; para ihop med digitala signaturer för oavvislig integritet.

Algoritm- och protokollval för innehållsintegritet

Användningsfall	Rekommenderad metod	Vad som ska undvikas	Varför
Verifiering av filintegritet (programvara, dokument)	SHA-256 eller SHA-3 kryptografisk hash + digital signatur (ECDSA P-256 eller RSASSA-PSS)	MD5, SHA-1 (kända kollisioner); enbart perceptuell hash	SHA-256/SHA-3 är kollisionsbeständiga; digital signatur ger oavvislighet och nyckelbunden autenticitet
Innehållsmoderering (upptäcka förbjudna bilder/videor)	Perceptuell hash som en detekteringssignal, kombinerad med metadataanalys, beteendesignaler och kryptografiska signaturer på kända säkra tillåtelselistor	Perceptuell hash som enda detekteringsmekanism	Perceptuella hashvärden är differentierbara och sårbara för adversariellt undvikande; djupgående försvar minskar risken i ett enda lager
Medieäkthet och ursprung	C2PA-kompatibla innehållsuppgifter (kryptografiska signaturer på innehållsmetadata); digital signering vid inspelningstillfället	Pixelinbäddade osynliga vattenmärken som enda proveniensmekanism	Vattenmärken i pixelutrymmet kan tas bort genom adversariell optimering; kryptografiska signaturer bundna till metadata är det inte.
Identitetsverifiering	Flerfaktorsautentisering; liveness-detektering med utmaningssvar; beteendebiometri; mänsklig granskning för transaktioner med högt värde	Enbart video- eller ljudsamtal som identitetsbevis för högriskoperationer	Nuvarande deepfake-kvalitet omintetgör visuell/auditiv verifiering; flerfaktorkontroller kräver oberoende kanalkompromisser
Revisionslogg och juridisk bevisintegritet	SHA-256 hash kedjad med digital signatur (tidsstämplad enligt RFC 3161); endast tilläggsbaserad granskningslogg med kryptografisk kedja	Perceptuell hash eller MD5 för integritet av revisionsspår; hash utan signering	Kryptografisk hash + signatur ger manipulationsbevis som inte är sårbart för manipulation av hashkoden.

Implementeringsexempel

Programvarudistributionsintegritet: en programvaruutgivare signerar varje releaseartefakt med CodeSign Secure med RSASSA-PSS (SHA-256, RSA-3072-nyckel i HSM). Nedladdningssidan publicerar både SHA-256-hashen för artefakten och den digitala signaturen. Nedströmsanvändare verifierar båda: SHA-256-hashen bekräftar att filen inte skadades eller ersattes under överföringen; den digitala signaturen bekräftar att den publicerades av den autentiska programvaruutgivaren. En hashkollisionsattack mot SHA-256 är beräkningsmässigt ogenomförbar; en angripare kan inte förfalska signaturen utan utgivarens privata nyckel.

Innehållsmoderering med djupgående försvar: en plattform som använder perceptuell hashning för innehållsmoderering lägger till ytterligare två lager. För det första kontrolleras varje innehåll som skickas in av en användare mot en SHA-256-hash av känt skadligt innehåll (exakt matchning, inte perceptuell). För det andra används beteendesignaler (uppladdningshastighet, kontoålder, tidigare flaggningshistorik) som en oberoende detekteringssignal. En perceptuell hash-undvikningsattack som lurar den perceptuella detektorn omintetgör inte exakt hash-kontrollen för känt innehåll, och beteendeavvikelser flaggar kontot för mänsklig granskning oavsett hash-resultat.

Autentisering av chefer för finansiella transaktioner: ett finansinstitut som behandlar banköverföringar över ett definierat tröskelvärde kräver en autentiseringsfaktor för utmaningssvar utöver videoidentitetsverifiering. Utmaningen levereras out-of-band (en engångskod som skickas till en förregistrerad hårdvarutoken), och svaret måste talas upp framför kameran. En deepfake-video som imiterar chefen kan inte generera rätt utmaningssvar eftersom angriparen inte har tillgång till den förregistrerade hårdvarutokenen. Liveness-kontrollen och utmaningssvaret tillsammans omintetgör en deepfake som annars skulle kunna klara visuell identitetsverifiering.

Beroenden för nyckelhantering

Effektiviteten av kryptografisk signering som ett komplement till hashing beror på integriteten hos den privata signeringsnyckeln. Om signeringsnyckeln komprometteras kan en angripare signera skadligt innehåll med den legitima utgivarens identitet och därmed helt omintetgöra autentiseringslagret. Krav för nyckelhantering för signeringsnycklar för innehållsintegritet:

• HSM-lagring: Privata nycklar för signering måste lagras i en FIPS 140-2 nivå 2 eller högre HSM som förhindrar export av den privata nyckeln. Signeringsåtgärden måste utföras inuti HSM:n. Se HSM som en tjänst för hårdvarubaserad nyckellagring utan lokal HSM-infrastruktur.
• Kryptoperiod och rotation: Signeringsnycklar bör roteras enligt ett definierat schema enligt NIST SP 800-57. Rotation är särskilt viktigt för nycklar som skyddar värdefulla innehållsströmmar, eftersom effekten av oupptäckt nyckelkompromettering ökar med tiden.
• Granskningsloggning av signeringshändelser: Varje signeringshändelse bör loggas med identiteten på det system eller den användare som utlöste den, tidsstämpeln och identifieraren för den signerade artefakten. Detta ger det kriminaltekniska spår som behövs för att utreda eventuella integritetsintrång.
• Postkvantplanering: SHA-256 förblir säker mot kända attacker inklusive kvantberäkning (det är en symmetrisk primitiv och är inte sårbar för Shors algoritm). RSA- och ECDSA-signeringsalgoritmerna som används för att binda signaturer till utgivarens identitet är dock sårbara för kvantdatorer. Organisationer bör utvärdera sin infrastruktur för innehållssignering för PQC-migreringsplanering. CBOM-säkerhet Kryptografiskt inventering upptäcker alla signeringsnycklar och algoritmer i miljön, vilket möjliggör prioritering av PQC-migrering för kritisk innehållsautentiseringsinfrastruktur.

Begränsningar av nuvarande försvar

• Kryptografisk signering kräver infrastruktur för nyckelhantering: Att lägga till digitala signaturer i innehållsintegritetssystem introducerar krav på nyckelgenerering, lagring, rotation och återkallelse som enbart perceptuell hashing inte har. Organisationer som använder signering måste också anta den nyckelhanteringsdisciplin som gör signering säker.
• C2PA-användning är ännu inte universell: C2PA-innehållsuppgifter är bara så användbara som ekosystemet av verktyg som skapar och verifierar dem. Innehåll som passerar genom bearbetningspipelines eller plattformar som inte bevarar C2PA-uppgifter förlorar sin ursprungskedja. Implementeringen ökar men är ännu inte en grundläggande funktion i alla innehållsdistributionssystem.
• Liveness-detektering och utmaningsrespons ökar användarfriktion: Identitetsverifieringskontrollerna som motverkar djupförfalskningar (challenge-response, out-of-band-autentiseringsfaktorer) lägger till steg i användarvänliga processer. Avvägningen mellan säkerhet och användbarhet måste kalibreras efter risknivån för den process som skyddas.
• Detektionsmodeller har kontradiktoriska blinda fläckar: Deepfake-detekteringsmodeller tränas på kända generativa modellarkitekturer och utdata. En ny generativ modellarkitektur producerar utdata som kanske inte känns igen som syntetiska av detektorer som tränats på äldre data. Detekteringsmodeller kräver kontinuerlig träning på aktuell generativ utdata för att förbli effektiva.

Hur krypteringskonsulting kan hjälpa

• Krypteringsrådgivningstjänster: vår Krypteringsrådgivningstjänster utvärdera er nuvarande arkitektur för innehållsintegritet, identifiera var hashing ensamt är den enda grindvakten och rekommendera lagerkontroller inklusive kryptografisk signering, förbättringar av nyckelhantering och protokollval i linje med NIST-riktlinjer.
• CBOM-säker: CBOM-säkerhet upptäcker alla kryptografiska tillgångar i din miljö, inklusive signeringsnycklar, hashalgoritmer som används och certifikatinfrastruktur. Denna inventering är utgångspunkten för att identifiera vilka signeringsimplementeringar som är sårbara för kvantberäkning och behöver prioriteras i en PQC-migreringsplan.
• HSM som en tjänst: HSM som en tjänst tillhandahåller FIPS 140-3-validerad hårdvarulagring för de privata nycklarna bakom innehållssignering och kodsignering, vilket säkerställer att en serverkomprometterad plattform inte kan extrahera de nycklar som autentiserar ditt innehåll.
• PQC-rådgivningstjänster: vår PQC-rådgivningstjänster bedöm vilka signerings- och nyckelutbytesmekanismer i er innehållsautentiseringsinfrastruktur som står inför kvantumsårbarhet och bygg en migreringsfärdplan till NIST-standardiserade postkvantumalgoritmer (ML-DSA, FIPS 204).

Slutsats

Innehållshashning brukade vara en tyst och pålitlig bakgrundsprocess. AI har förändrat det på två tydliga sätt: adversariella optimeringsattacker på perceptuella hashfunktioner som utnyttjar deras matematiska differentierbarhet, och generativ AI som producerar syntetiska medier som kringgår identitetsverifieringssystem. Ingen av attackerna är rent teoretiska: båda är dokumenterade i vetenskaplig forskning och är direkt tillämpliga på moderering av produktionsinnehåll, varumärkesskydd och identitetsverifieringssystem.

Svaret är inte att överge hashing utan att sluta behandla det som det enda lagret. Kryptografisk signering tillsammans med hashing, standarder för innehållsproveniens som C2PA, multifaktoridentitetsverifiering som inkluderar utmaningssvar, beteendesignaler som oberoende detekteringsmekanismer och regelbundna uppdateringar av detekteringsmodeller utgör tillsammans en djupgående försvarsarkitektur som förblir effektiv även när enskilda hashlager kringgås.

Om din organisation vill bedöma hur dess nuvarande kontroller för innehållsintegritet och identitetsverifiering står sig mot dessa AI-drivna attackmönster, kontakta Encryption Consulting för att påbörja den utvärderingen. För relaterade ämnen, se bloggen om nyckelhantering inom kryptografi och vår guide till kodsignering.

Vanliga frågor om partihandel med mat och dryck

Vad är perceptuell hashing och hur skiljer det sig från kryptografisk hashing?

Kryptografisk hashing (SHA-256, SHA-3) producerar helt olika utdata för alla indataändringar och är kollisionssäker av sin design. Perceptuell hashing extraherar semantiska funktioner från media och producerar liknande hasher för liknande utseende innehåll, vilket gör den användbar för att upptäcka kopierad eller något modifierad media. Avvägningen är att perceptuella hashfunktioner är deriverbara, vilket gör dem sårbara för kontradiktorisk optimering till skillnad från kryptografiska funktioner.

Hur kan AI tvinga fram en hashkollision i ett perceptuellt hashsystem?

Eftersom perceptuella hashfunktioner är deriverbara kan gradientbaserad optimering användas för att hitta omärkbara störningar på pixelnivå som driver en bilds hash mot ett målvärde, inklusive hashen för en helt annan bild. Forskare demonstrerade detta mot NeuralHash 2021. Angriparen bryter inte någon kryptografisk primitiv; de använder standard maskininlärningsoptimering mot den kända eller omvänt konstruerade hashfunktionen.

Kan AI-genererade vattenstämplar tas bort utan att innehållskvaliteten försämras?

I många fall, ja. Vattenstämplar i pixelutrymmet tillämpas som störningar som adversariell optimering kan motverka samtidigt som den perceptuella kvaliteten bevaras. C2PA-innehållsuppgifter undviker detta genom att binda kryptografiska signaturer till metadata snarare än pixeldata, vilket gör proveniensposten motståndskraftig mot mediemanipulation.

Vilka företagssystem är mest utsatta för AI-drivna hashattacker?

System för innehållsmoderering och varumärkesskydd som använder perceptuell hashing som enda detekteringsmekanism; system för identitetsverifiering som enbart bygger på visuell eller auditiv jämförelse; system för filintegritet som använder MD5 eller SHA-1; system för revisionslogg och juridiska bevis som är beroende av hashing utan kryptografisk signering; och finansiella eller HR-processer som använder videosamtal för högriskauktoriseringar.

Vad är skillnaden mellan en perceptuell hashattack och en deepfake-attack?

En perceptuell hashattack manipulerar befintligt innehåll för att ändra dess hash-fingeravtryck samtidigt som innehållet hålls visuellt identiskt och kringgår detekteringssystem. En deepfake-attack skapar helt nya syntetiska medier som utger sig för att vara en verklig person. Båda använder AI-funktioner, men hashattacker använder fiendtlig optimering mot befintligt innehåll och deepfakes använder generativa modeller för att skapa nytt innehåll.

Vilka kontroller minskar risken för AI-drivna hash- och deepfake-attacker?

Kombinera perceptuell hashing med kryptografisk hashing och digitala signaturer; använd C2PA-innehållsuppgifter för medias ursprung; lägg till flerfaktorsautentisering och Challenge-Response-livenessdetektering för identitetsverifiering; uppdatera detekteringsmodeller regelbundet; använd SHA-256 eller SHA-3 (inte MD5 eller SHA-1) för filintegritet; och planera PQC-migrering för signeringsalgoritmerna som skyddar infrastrukturen för innehållsautentisering.