Neue Angriffsvektoren bei LegalTech über Fonts
/ 4 min read
Table of Contents
Wenn die Schriftart lügt: Ein neuer Angriffsvektor auf LegalTech
Was, wenn ein Dokument dem Menschen eine Sache zeigt und der KI eine ganz Andere? Ein Team hat einen neuen Angriffsvektor auf LegalTech ausgemacht, bei dem eine präparierte Schriftart Mensch und Sprachmodell gezielt auseinanderdividiert: Der Mensch liest „Maryland“, das LLM verarbeitet „Delaware“. Mit allen Konsequenzen für den Rest des Vertrages.
Warum Verträge?
LLMs - also Transformer-Modelle - sind ein ausgezeichnetes Werkzeug, wenn man Texte lesen, analysieren oder transformieren will. Eine der naheliegendsten Einsatzmöglichkeiten liegt damit im Prüfen von Verträgen: Stimmt der Ort der Leistungserbringung? Gibt es rechtliche Einschränkungen? Sind die Angaben über das gesamte Dokument hinweg konsistent? Je länger ein Vertrag, desto höher der vermeintliche Nutzen einer automatisierten Prüfung und desto verlockender das Ziel für einen Angreifer (langer Vertrag == hoher Wert)
Der Angriffsvektor: eine Schriftart, die lügt
Der Angriff, in der verlinkten Analyse „Noroboto“ genannt [1], setzt nicht auf Viren oder manipulierte Server, sondern auf eine Eigenheit der Dokumentformate selbst. Word- und PDF-Dateien erlauben es, Schriftarten direkt einzubetten wichtig, damit ein Dokument auf jedem Rechner gleich aussieht und die Seitenzahlen stimmen.
Jede Schriftart enthält eine interne Zuordnungstabelle, die sogenannte cmap. Sie legt fest, welches Unicode-Zeichen zu welcher sichtbaren Form (Glyphe) gehört. Genau hier setzt der Angriff an: Die eingebettete Schriftart zeigt dem menschlichen Auge die vertraute Form eines Buchstabens, hinterlegt aber intern einen völlig anderen Unicode-Wert. Der Mensch sieht Maryland. Kopiert man den Text jedoch heraus oder liest ihn wie ein LLM maschinell aus erscheint etwas ganz anderes.
Drei Varianten, ein Prinzip
In der zugrunde liegenden Untersuchung werden drei Ausprägungen beschrieben:
Vollständige Verschleierung. Der gesamte Text wird auf reservierte „Private Use“-Bereiche von Unicode umgemappt. Für den Menschen bleibt alles lesbar, maschinell entsteht Kauderwelsch. Die stärksten Modelle lassen sich von dieser Ausprägung inzwischen kaum noch täuschen ist ein Dokument komplett unlesbar, rendern sie es kurzerhand als Bild und lassen eine Texterkennung (OCR) laufen.
Teilweise Verschleierung. Nur einzelne, kritische Passagen werden manipuliert etwa eine Klausel, die eine Vertraulichkeitspflicht auf „Rechtsnachfolger und Abtretungsempfänger“ ausdehnt. Weil das Dokument ansonsten völlig normal wirkt, nehmen viele Modelle den bequemen Weg und übersehen die versteckte Änderung.
Ersetzung. Die wirksamste Variante. Statt in unlesbare Zeichen wird ein Wort in ein anderes, ebenfalls sinnvolles Wort umgeschrieben aus dem sichtbaren „Maryland“ wird das maschinell gelesene „Delaware“. Da der maschinell ausgelesene Text völlig plausibel aussieht, sahen sich die getesteten Plattformen gar nicht erst veranlasst, genauer hinzuschauen. Übertragen auf Zahlen heißt das: Der Prüfer sieht 2.000.000 €, das Modell verarbeitet 1.000.000 €.
Warum das gefährlich wird
Je selbstverständlicher LLMs im professionellen Kontext eingesetzt werden und je größer der mögliche Schaden bzw. Gewinn aus einem erfolgreichen Angriff wird, desto attraktiver werden solche Wege für Angreifer. Und da schon frei verfügbare Modelle solche präparierten Schriftarten mit wenig Aufwand erzeugen können, ist die Einstiegshürde niedrig.
Vertrauen ist gut, Kontrolle ist besser
Der Angriff hat eine Achillesferse: Wenn man eingebettete Schriftarten weiter zulassen muss und will (Layout, Seitenumbruch) der sollte nach dem Prinzip “Vertrauen ist gut, Kontrolle ist besser” vorgehen.
Der Kern der in der Quelle vorgeschlagenen Gegenmaßnahme: Man prüft für jede eingebettete Schriftart, ob ihre Glyphen tatsächlich die Zeichen darstellen, die sie laut cmap sein sollten. Hierfür rendert man die Buchstaben und lässt anschließend eine OCR-Erkennung darüberlaufen. Weicht das erkannte Zeichen vom hinterlegten Unicode-Wert ab, ist das ein starkes Signal für eine manipulierte Schriftart. Eine deterministische Garantie ist es nicht aber ein Ersetzungsangriff erzeugt zwangsläufig mindestens eine solche Abweichung und wird damit auffällig.
Fazit
„What you see is not what you get“ – das gilt in der KI-gestützten Vertragsprüfung inzwischen wörtlich. Der Noroboto-Ansatz zeigt, dass sich Mensch und Modell mit erschreckend einfachen Mitteln auf unterschiedliche Wahrnehmungen bringen lassen. Wer LLMs ernsthaft in juristische Workflows integriert, sollte eingebettete Schriftarten nicht blind vertrauen, sondern sie verifizieren.