Ändern von Schriftfarben kann KI‑Argumentation kapern

Eine neue Studie zeigt, dass gewöhnliche Formatierung die KI‑Argumentation leise steuern kann, indem sie Wörter übersehen lässt, Bedeutungen falsch interpretiert und zu anderen Schlussfolgerungen führt – ohne den Text selbst zu verändern.

Die kulturelle Kodierung von Farben bei Menschen kann weltweit variieren, doch die westlichen Vorstellungen – d. h. rot für „Gefahr“, grün für „OK“ – dominieren selbst in asiatischen Vision Language Models (VLMs) aus verschiedenen strategischen und/oder zufälligen Gründen.

Wir sind nicht anders; das Färben von ‚schlechten‘ Dingen in positiven Farben und von ‚guten‘ Dingen in negativen Farben lässt Menschen unterschiedlich reagieren. Das gleiche gilt für die Helligkeit und den Kontrast ändern.

Eine neue Forschungskooperation hat untersucht, inwieweit dies auch auf KI‑Modelle zutrifft, und erste Hinweise gefunden, dass VLMs durch Manipulation der Textfarbe sowie durch Veränderung von relativem Kontrast und Helligkeit beeinflusst werden können.

Die Autoren erklären:

„Unsere Experimente liefern eine systematische Analyse, wie niedrig‑levelige visuelle Gestaltung von Text die semantischen Repräsentationen im Vision‑Encoder eines VLM verzerrt. Zusätzlich untersuchen wir, wie sich diese latenten Raumverschiebungen als Verhaltensänderungen in End‑to‑End‑VLMs bei sowohl subjektiven (Sentiment‑Analyse) als auch objektiven (Frage‑Antwort‑) Aufgaben manifestieren.“

„Diese Ergebnisse zeigen, dass visuelle Gestaltung eine kritische, bislang wenig erforschte Schwachstelle in VLMs offenlegt, und wir diskutieren die Implikationen für die Robustheit und Sicherheit von VLM‑Pipelines.“

Von der Projektseite der neuen Arbeit, eine Illustration, wie allein die Textfarbe die interne Interpretation eines Wortes durch eine KI verändern kann. Das Beispiel zeigt das Wort ‚bad‘ in verschiedenen Farben, wobei Grün seine semantische Repräsentation zu einer positiveren Interpretation verschiebt, obwohl der Text selbst unverändert bleibt.Quelle

Farbe, die überrascht

Im Moment, für die Milliarden von Unternehmen und Einzelpersonen, deren lebenswichtiger Suchverkehr durch die brutal gekürzte Einführung von KI‑Zusammenfassungen in den Suchergebnissen sowie den Wechsel zu LLM als Suchorakel, sind Angriffsflächen dieser Art derzeit sehr attraktiv.

Da Redits ständige Diskussionen für die Aktualität des KI‑Wissens entscheidend sind, ist diese Plattform zu einem Hauptziel für Unternehmen und Einzelpersonen geworden, die in das LLM‑Wissen aufgenommen werden wollen; es gibt bereits Anleitungen zum „Gaming“ von Reddit als Proxy‑Methode, um LLMs zu beeinflussen.

In ähnlicher Weise gibt es den alten Trick, Text einzufügen, den nur Maschinen sehen, um versteckte, eigennützige Anweisungen an ein LLM zu übermitteln, um einen akademischen Wettbewerb zu gewinnen oder Prüfungsergebnisse zu beeinflussen.

Zuletzt hat das Time‑Magazin Anzeigen in eine „geheime“ Version seiner Seite gestellt, die nur für die KI‑Web‑Crawler sichtbar ist, die ständig Websites nach neuen Daten absuchen, wodurch Werbetreibende möglicherweise ihre Sichtbarkeit (oder eine positivere Darstellung) in KI‑Antworten kaufen können.

Daher ist jede neue LLM/VLM‑Schwäche, wie farbkodierte Antworten, die „umgeschaltet“ werden können, um Ergebnisse zu manipulieren, ein offensichtliches Ziel für eine Welt, die verzweifelt versucht, die Kontrolle über die Medien‑Narrative von Frontier‑KI zurückzugewinnen.

Beispielsweise könnte ein Unternehmen, das eine stark verschmutzende Fabrik bauen will und damit die lokale Wasserqualität mindert, Farbkodierung in sein Spin‑Lexikon in Marketing‑Materialien oder Pressemitteilungen einbauen, um Nachrichten, die die meisten als „negativ“ ansehen, abzulenken.

Strategischer Einsatz von CSS und/oder SEO‑Techniken könnte die Farbanpassungen sogar vor lässigen menschlichen Lesern verbergen, indem AI‑only Stylesheets bereitgestellt werden, die Farbakzente im Text setzen, die für Menschen unsichtbar bleiben, die nur schwarzen Text sehen.

Die Autoren des neuen Werks erklären:

„Diese Empfindlichkeiten implizieren ein Zuverlässigkeits‑ und Sicherheitsrisiko für VLM‑Pipelines, die Dokumente oder UI‑Screenshots ingestieren: gutartige oder feindliche Gestaltung kann Modellentscheidungen steuern, ohne den zugrunde liegenden Text zu ändern.“

„Praktische Schutzmaßnahmen umfassen die Normalisierung gerenderter Texte vor der Inferenz, das Gegenprüfen bildbasierter Antworten mit OCR‑extrahiertem Text und das Hinzufügen von Stil‑Invarianz‑Checks zu Evaluations‑Suites.“

Das neue Werk trägt den Titel Seeing Red, Thinking Bad: Color Bias in Vision Language Models und stammt von fünf Forschern des japanischen National Institute of Advanced Industrial Science and Technology (AIST), der Universität Tsukuba, der Technischen Universität Nürnberg und der Universität Oxford. Das Projekt wird mit einem GitHub‑Repository und einer Projekt‑Website bereitgestellt.

Methode

Um herauszufinden, wie stark allein die visuelle Präsentation die Modelle beeinflussen kann, entwickelten die Forschenden „Stealth Visual Prompts“ – unscheinbare Änderungen der Textformatierung, die keine explizite Anweisung an die KI enthalten.

Dies könnte so einfach sein wie das Ändern der Farbe von positiven oder negativen Wörtern oder das Hervorheben einer falschen Antwort, während die eigentliche Formulierung unverändert bleibt.

Für jede Aufgabe wurde unterschiedlicher Text generiert; die Sentiment‑Tests nutzten neutrale Vorlagen, die mit positiven bzw. negativen Wörtern gefüllt wurden, während die Visual Question Answering (VQA)‑Tests auf Frage‑Kontext‑Paaren aus SQuAD basierten:

Beispiele für maschinenorientierte Fragen aus dem SQuAD‑Datensatz, die für das neue Werk verwendet wurden. Quelle

Die daraus entstandene kuratierte Sammlung wurde VQA Stealth Set genannt.

Der Text wurde auf einer standardisierten 800 × 600 px‑Leinwand gerendert, mit festem Layout, sodass nur die gezielte visuelle Gestaltung geändert wurde. Farbe und Kontrast wurden unabhängig voneinander manipuliert, wobei Farb‑Tests gelernte semantische Assoziationen und Kontrast‑Tests visuelle Salienz prüften.

Ausgewählte Wörter wurden neu eingefärbt und ganze Passagen mit niedrigerem Kontrast gerendert; oder, im Saliency‑Competition‑Setting, wurden falsche Antworten visuell prominenter als korrekte dargestellt.

Jede daraus resultierende Änderung der Modellantworten kann somit ausschließlich der visuellen Gestaltung zugeschrieben werden, nicht Änderungen am zugrunde liegenden Text.

Daten und Tests

Drei unterschiedliche Testsätze wurden erstellt, um verschiedene Arten zu repräsentieren, wie VLMs Text, der als Bild präsentiert wird, verarbeiten:

Illustration der drei visuellen Testdesigns. Die Beispiele zeigen die Stimuli, die verwendet wurden, um zu prüfen, ob allein die visuelle Präsentation das Modell‑Reasoning beeinflussen kann: (a) gemischter Sentiment‑Text mit neu eingefärbten Wörtern zum Testen von Farb‑Bias; (b) ein längerer Abschnitt, der positive und negative Sprache trennt, um zu beurteilen, ob Dokumentenstruktur den Effekt verändert; und (c) ein Visual‑Question‑Answering‑Beispiel, bei dem eine falsche, aber semantisch ähnliche Ablenkungsantwort („zwanzig Meilen“) durch höheren Kontrast visuell hervorgehoben wird.Quelle

Der Short‑sentence Sentiment Set testet Wort‑level‑Farb‑Bias mit 100 kurzen Sätzen, die aus neutralen Vorlagen mit positiven bzw. negativen Wörtern generiert wurden. Jeder Satz wurde in 37 visuellen Varianten gerendert, bestehend aus einer Schwarz‑Text‑Baseline plus Kombinationen von sechs Farben (rot, grün, blau, gelb, cyan und magenta) in drei Intensitätsstufen.

Der Long‑sentence Sentiment Set nutzte längere Passagen, in denen positive und negative Sprache in unterschiedliche Textteile getrennt wurden. Ziel war zu bestimmen, ob breitere Dokumentenstruktur und Positions‑Effekte, wie Primacy oder Recency (positionsbasierte Verzerrungen, bei denen Informationen, die früher bzw. später im Dokument erscheinen, stärker gewichtet werden), einen Farb‑Bias überwiegen. Die gleichen 37 Farb‑Bedingungen wurden angewendet.

Im VQA Stealth Set wurden Fragen und zugehöriger Kontext als Bilder gerendert, danach wurden zwei kontrastbasierte Bedingungen getestet: Bei Global Contrast wurde die Lesbarkeit des gesamten Dokuments durch schrittweise niedrigere Kontraststufen reduziert; und beim Saliency Competition wurde entweder die korrekte Antwort oder ein semantisch ähnliches Ablenkungswort (ausgewählt mittels CLIP‑Ähnlichkeit) in hohem Kontrast dargestellt, während der restliche Text verblasste – sodass visuelle Betonung mit dem Beweis im Text konkurrieren konnte.

Metriken

Jedes Beispiel wurde als POSITIVE, NEUTRAL oder NEGATIVE klassifiziert. Die resultierenden Klassifikationen wurden dann mit einer rein schwarzen Basislinie (schwarzer Text auf weißem Hintergrund) verglichen, um zu bestimmen, inwieweit allein die Farbe Vorhersagen zu positiveren bzw. negativeren Ergebnissen verschob.

Die VQA‑Experimente wurden mittels token‑level F1‑Score bewertet, wobei vorhergesagte Antworten mit den akzeptierten Ground‑Truth‑Antworten verglichen wurden.

Induced Error Rate (IER), eine neuartige Metrik, wurde speziell für den Saliency‑Competition‑Test eingeführt und soll messen, wie oft eine visuell hervorgehobene Ablenkungsantwort ausgewählt wurde (statt der korrekten Antwort), wenn die Text‑Sichtbarkeit reduziert war.

Zusätzlich wurde ein CLIP‑Representations‑Probe eingesetzt, um zu messen, wie Farbänderungen die semantische Repräsentation eines Wortes im Einbettungsraum von CLIP veränderten.

Weiterhin wurde ein VLM‑basierter Optical Character Recognition (OCR)‑Proxy verwendet, um zu beurteilen, wie zuverlässig einzelne Wörter bei schrittweise niedriger werdendem Kontrast gelesen werden können, sodass der Punkt geschätzt werden kann, an dem gerenderter Text effektiv unlesbar wird.

Die Evaluation erfolgte mit vier Open‑Source‑VLMs: LLaVA‑v1.6‑Mistral‑7B; LLaVA‑v1.6‑Vicuna‑7B; Qwen2‑VL‑7B‑Instruct; und IDEFICS2‑8B. Die Autoren betonen, dass Open‑Source‑Modelle gewählt wurden, um sicherzustellen, dass die Experimente unter festen Prompt‑, Rendering‑Einstellungen und deterministischer Decodierung reproduzierbar sind.

Ergebnisse

Die Autoren evaluierten zunächst Farb‑Prompts auf dem Short‑Sentence Sentiment Set, nutzten dabei Wort‑level‑Farb‑Bias, bei dem sentiment‑tragende Wörter verstreut waren:

Testergebnisse, die die größten Sentiment‑Verschiebungen durch Farbformatierung bei vier Vision‑Language‑Models zeigen. Werte werden relativ zur rein schwarzen Basislinie gemessen, wobei die positiven und negativen Spalten die größte Bewegung in jede Richtung anzeigen, während die Spannweite die gesamte Anfälligkeit jedes Modells für farbinduzierte Verzerrungen zusammenfasst.

Zu diesen Ergebnissen sagen die Autoren:

„Qwen2‑VL‑7B zeigt den größten positiven Bias, wenn positive Wörter grün/blau gefärbt werden (bis zu +0,42), und den größten negativen Bias, wenn negative Wörter rot gefärbt werden (bis zu –0,48).“

„Die Gesamtanfälligkeit variiert stark zwischen den Modellen: Qwen2‑VL‑7B hat die größte Gesamtspanne (0,90), gefolgt von IDEFICS2‑8B (0,52), während die LLaVA‑Varianten deutlich kleinere Spannen (0,04–0,12) aufweisen, was auf eine vergleichsweise geringere Empfindlichkeit gegenüber Wort‑level‑Farb‑Styling in diesem Setting hindeutet.“

„Wir beobachten ein klares Spektrum der Anfälligkeit: Qwen2‑VL‑7B weist die stärksten farbinduzierten Verschiebungen auf, während die LLaVA‑Varianten vergleichsweise robust sind.“

Weitere Ergebnisse unten zeigen, dass der Farbeffekt bei weitem nicht einheitlich ist: Qwen2‑VL‑7B erwies sich als am anfälligsten, wobei grüner und blauer Text konsequent das Sentiment zu positiveren Urteilen schob, wenn positive Wörter hervorgehoben wurden, während roter Text die Vorhersagen in eine negativere Richtung verschob, wenn negative Wörter hervorgehoben wurden:

Testergebnisse, die farbinduzierte Sentiment‑Verschiebungen bei vier Vision‑Language‑Models vergleichen. Die Diagramme zeigen, wie unterschiedliche Textfarben die Sentiment‑Vorhersagen relativ zu einer rein schwarzen Basislinie ändern, wobei die vertikale Achse Größe und Richtung jeder Verschiebung angibt. Qwen2‑VL‑7B zeigte die stärkste Farbsensitivität, während beide LLaVA‑Modelle vergleichsweise stabil blieben.

Stärkere Farbintensität verstärkte diese Effekte im Allgemeinen, berichtet das Papier: IDEFICS2‑8B zeigte ein ähnliches Muster, wenn auch in geringerem Ausmaß, während beide LLaVA‑Varianten über die meisten Farben und Intensitäten hinweg nahe ihrer Basislinie blieben, was auf eine deutlich höhere Resistenz gegenüber farbbasierter Manipulation hinweist.

Die Forschenden testeten anschließend längere Passagen, indem sie positive und negative Sprache in verschiedene Hälften des Long‑sentence Sentiment Sets trennten, um die Dokumentenstruktur neben dem Farb‑Bias zu messen. Die Experimente bestimmten, ob jedes Modell stärker auf den Anfang (Primacy) oder das Ende (Recency) einer Passage setzte.

Die Dokumentenstruktur übertraf häufig die Farbhinweise: Qwen2‑VL‑7B und LLaVA‑Mistral‑7B bevorzugten die zweite Texthälfte, während IDEFICS2‑8B und LLaVA‑Vicuna‑7B öfter die erste nutzten:

Testergebnisse, die zeigen, wie vier Vision‑Language‑Models bei der Analyse längerer Passagen die Dokumentenposition nutzten. „Positional Strategy“ gibt an, ob Vorhersagen der ersten Hälfte (Primacy) oder der zweiten Hälfte (Recency) des Textes folgten; „Adherence“ zeigt, wie konsequent diese Strategie befolgt wurde; und „Color Bias Range“ misst den verbleibenden Einfluss der Textfarbe unter diesen strukturierten Bedingungen.

Farbe beeinflusste weiterhin einige Modelle, insbesondere IDEFICS2‑8B, wurde jedoch in strukturiertem Text weniger wirksam.

Um zu verstehen, warum Farbänderungen das Sentiment verändern können, ohne die Wörter selbst zu ändern, untersuchten die Forschenden, wie Farbe die internen visuellen Repräsentationen der Modelle mittels einer CLIP‑semantischen Projektionsanalyse beeinflusst. Wie unten gezeigt, verschob das Ändern des Farbtons eines Wortes dessen semantische Repräsentation konsequent über mehrere konzeptuelle Dimensionen hinweg:

Testergebnisse, die zeigen, wie Textfarbe die interne semantische Repräsentation von sechs Wörtern veränderte. Die Diagramme verfolgen die Wörter „warm“, „cold“, „safe“, „dangerous“, „good“ und „bad“ über die Achsen Sicherheit, Valenz, Temperatur und Emotion und demonstrieren, dass allein das Ändern der Farbe systematisch ihre internen Repräsentationen verschob, obwohl der Text selbst unverändert blieb.

Die größten Änderungen traten auf der Achse „good“ vs. „bad“ auf. Wie oben demonstriert, führte das einfache Umfärben eines Wortes von Schwarz zu Grün dazu, dass seine interne Bedeutung in eine positivere Richtung verschob, während Blau das Gegenteil bewirkte – obwohl das Wort selbst nie änderte. Kleinere, aber konsistente Verschiebungen zeigten sich zudem für Emotion, Sicherheit und Temperatur.

CLIP wurde ausschließlich verwendet, um diese internen Repräsentationen zu untersuchen, nicht um exakt zu erklären, wie jedes Vision‑Language‑Model funktioniert. Dennoch entsprach das in CLIP beobachtete Muster eng den farbinduzierten Sentiment‑Veränderungen, die in den vorherigen Experimenten festgestellt wurden.

Die Forschenden untersuchten anschließend, ob das Ändern des Textkontrasts statt der Farbe Vision‑Language‑Models beim Visual Question Answering (VQA) ebenfalls irreführen kann. Eine plausible, aber falsche „Ablenkungs‑“Antwort wurde hervorgehoben, während der umgebende Text verblasste:

Testergebnisse, die die VQA‑Leistung unter drei Text‑Salienz‑Bedingungen vergleichen. Die Ergebnisse sind über sechs niedrig‑kontrast‑Graustufen‑Stufen gemittelt, und der einzige Unterschied zwischen den Spalten ist, ob kein Text, die korrekte Antwort oder die Ablenkungs‑Antwort in hochkontrastiertem Schwarz gerendert wurde. Das Hervorheben der korrekten Antwort erhöhte konsequent die F1‑Scores, während das Hervorheben der Ablenkungs‑Antwort sie senkte.

Die obigen Ergebnisse zeigen, dass das Hervorheben der korrekten Antwort die Genauigkeit verbesserte, während das Betonen der Ablenkungs‑Antwort sie reduzierte. Dieser Effekt wurde anschließend mittels des bereits genannten IER gemessen:

Testergebnisse, die zeigen, wie oft jedes Vision‑Language‑Model eine visuell prominente, aber falsche Antwort auswählte. Die Spalten zeigen sechs niedrig‑kontrast‑Graustufen‑Stufen, die im „Decoy Salient“-Zustand auf den umgebenden Text angewendet wurden, wobei höhere Werte geringere Sichtbarkeit bedeuten. Mit zunehmender Unlesbarkeit des umgebenden Textes stiegen die induzierten Fehlerraten im Allgemeinen, während Qwen2‑VL‑7B konsequent widerstandsfähiger blieb als die anderen Modelle.

Fazit

Es wird spannend sein zu beobachten, ob diese spezielle Schwäche ausgenutzt wird – zumal es interessant wäre zu sehen, wie „Farb‑Irreführung“ injiziert werden könnte, ohne für menschliche Leser offensichtlich zu sein.

Obwohl KI‑Web‑Crawler, die Seiten tatsächlich rendern, „alternative“ CSS‑Stylesheets erhalten können, die Farben in ausgewählten Textteilen ändern, hängt vieles von der Schärfe des Crawlers ab; ignoriert der Crawler lediglich das HTML, sucht nach Code (HTML) und Text (Seiteninhalt), könnte er das CSS übersehen und nie von der Färbung erfahren. Ein gieriger Crawler hingegen wird wahrscheinlich ebenfalls neue CSS‑Stylesheets wünschen, was Rendering und Neufärbung ermöglicht.

Alternativ könnten Bücher oder Magazine mit selektiv recoloriertem Text in vertrauenswürdige Repositorien wie The Internet Archive (ein sehr populäres Ziel) hochgeladen werden, sogar als Scans älterer Werke getarnt. Es gibt zahlreiche Injektionswege unter den aktuellen Praktiken, und nicht nur für diesen neuen und besonders farbenfrohen Ansatz.

Erstveröffentlichung Montag, 17. August 2026