KI beibringen, verborgenen Text zu lesen, den Menschen erkennen können

Einer der KI-Trends, der vor etwa 2–3 Jahren kurz aufflammte und ebenso schnell wieder verschwand, war der Einsatz von Bild-Sprach-Modellen (VLMs), um kryptische Texte und „latente Bilder“ in scheinbar harmlosen generierten Bildern zu verstecken:

Optische Täuschungen und Trompe-l’œil-Effekte prägen die Ergebnisse des ControlNet QR Code Monster. Quelle

Es handelt sich um eine Art Trompe-l’œil-Effekt auf Abruf, der durch das Open-Source-Framework QR Code Monster ControlNet größte Bekanntheit erlangte.

Nachdem genügend Menschen das Verfahren in Aktion gesehen haben, lässt es sich kaum noch anders einsetzen, als in Form praktischer Kryptografie: So kann man Texte versenden, die von VLMs oder Systemen zur optischen Zeichenerkennung (OCR) weder abgefangen noch interpretiert werden, und halbsubliminale Botschaften übermitteln:

Verstehen Sie die Botschaft? Falls nicht, scrollen Sie nach unten, um die Antwort zu sehen. Ein bekanntes Beispiel für eine KI-generierte optische Täuschung, die – wie die Hauptillustration dieses Artikels – auf ein Meme aus John Carpenters Science-Fiction-Film „They Live“ von 1988 anspielt. Darin entdeckt ein Mann, dass die Welt voller unterschwelliger Botschaften einer verborgenen außerirdischen Spezies ist. Quelle

Arbeiten wie die Studie von 2025 Hass in aller Öffentlichkeit und die Studie Verborgen vor aller Augen vom vergangenen Monat verdeutlichen das Potenzial dieser Methode, hasserfüllte Ansichten zu verbreiten und allgemein als Steganografie-Methode zu dienen.

Daher wird sie in der Fachliteratur inzwischen vor allem als potenziell schädliche Technik betrachtet und nicht mehr als amüsanter Meme-Generator.

Ein genauerer Blick

Eine der Herausforderungen beim Abfangen solcher Eingriffe – nennen wir sie KI-Optikillusionen, da sich offenbar keine einheitliche Bezeichnung durchgesetzt hat – besteht darin, multimodale KI-Modelle dazu zu bringen, gewissermaßen „den Wald vor lauter Bäumen zu sehen“. Wenn wir die Augen zusammenkneifen oder eine KI-Optikillusion stark verkleinern, sind die übergeordneten Merkmale des unterschwelligen Textes für uns leicht zu erkennen:

Da das Training von Diffusionsmodellen die KI schrittweise von groben Skizzen dazu führt, intensive Details darzustellen (so ähnlich, als würde man den Rest der … Eule fertigstellen), sollten VLMs solche Muster eigentlich gut erkennen können. Jüngste Forschungsergebnisse legen jedoch nahe, dass dies tatsächlich nicht der Fall ist:

Die 2025 vorgestellte Methode „SemVink“ ergab, dass ein ansonsten leistungsfähiges führendes VLM den unterschwelligen Text in KI-Optikillusionen nicht erkennen konnte. Quelle

Eine kürzlich veröffentlichte Studie aus China schlägt jedoch ein neues Framework vor, das VLMs dabei helfen könnte, KI-Optikillusionen zu erkennen.

Der neue Ansatz, zu dem der Code veröffentlicht wurde, nutzt eine Trainingsmethode, bei der ein KI-Modell von einem anderen Modell lernt und dafür sowohl eine verkleinerte Version des Bildes als auch die korrekte Transkription erhält. Die Forschenden berichten, dass sich damit verborgene Botschaften direkt aus den Originalbildern lesen lassen und die Erkennungswerte deutlich höher ausfallen als bei herkömmlichen Trainingsmethoden:

Schaubild der vorgeschlagenen KI-Trainingsmethode. Zwei Modelle lernen anhand desselben Bildes. Die Lehrkraft erhält zusätzliche Hinweise, darunter eine kleinere Version, anhand derer sich der verborgene Text leichter erkennen lässt, sowie die richtige Antwort. Ihre Anleitung dient dazu, das Lernmodell zu trainieren, das den Text schließlich auch ohne diese Hinweise erkennen muss.  Quelle

Die Methode namens SQUINT nutzt Wissensdestillation, bei der während des Trainings Wissen, das ein KI-Modell erworben hat, an ein anderes weitergegeben wird. In diesem Fall wird das Lernmodell darauf trainiert, die Vorhersagen der Lehrkraft nachzubilden, indem die Antworten der beiden Modelle mathematisch verglichen werden. Nach Abschluss des Trainings kann die Lehrkraft verworfen werden; übrig bleibt ein einzelnes Modell, das neue Bilder ohne zusätzliche Unterstützung untersuchen kann.

In den zwei Phasen von SQUINT werden zunächst die Vorhersagen des Schülermodells mit denen des besser informierten Lehrermodells verglichen, sodass es aus den Unterschieden lernen kann. In der zweiten Phase werden weitere Verbesserungen gefördert, indem korrekte Lesungen verborgener Texte belohnt werden.

In Tests erkannte SQUINT verborgene Schrift in Bildern, an denen das ursprüngliche KI-Modell weitgehend gescheitert war, und schnitt auch bei mehreren unabhängigen Benchmarks besser ab. Es zeigte sich, dass verborgener Text oft erkannt werden konnte, auch wenn er nicht lesbar war. Die Erkennung verbesserte sich, wenn die Aufmerksamkeit auf die Bildbereiche gelenkt wurde, aus denen die Buchstaben bestanden.

Weitere Verbesserungen ließen sich erzielen, indem feine Details und Texturen unterdrückt wurden. So konnten die zugrunde liegenden Formen leichter unterschieden werden:

Drei Tests untersuchen, warum verborgener Text falsch gelesen wird. Links: Wird das Modell auf die richtigen Bildbereiche gelenkt, zeigt sich, dass das Auffinden der Buchstaben eine große Hürde darstellt. Mitte: Das Entfernen feiner visueller Details zeigt, dass Texturen die größeren Buchstabenformen überlagern können. Rechts: Eine zusätzliche verkleinerte Ansicht zeigt, dass die Verkleinerung des Bildes dem Modell hilft, visuell ähnliche Zeichen zu unterscheiden.

Daten und Methode

Es zeigte sich, dass es nicht ausreicht, ein Modell einfach mit mehr Beispielen für optische Täuschungen in KI-generierten Bildern zu konfrontieren, da beim herkömmlichen Training kein Anlass besteht, das Bild in einem anderen Maßstab zu betrachten. Deshalb wird bei SQUINT während des Trainings eine verkleinerte Version verwendet. So lernt das Modell, welche visuellen Informationen es priorisieren sollte, wenn es das Bild in voller Größe sieht.

Dafür waren zwei Datensätze erforderlich; SquintBench besteht aus 1.076 Bildern, die aus einer (nicht näher bezeichneten) Produktionspipeline zur Inhaltsmoderation kuratiert wurden – laut den Autoren stammen alle aus realen Produktionsdaten und zeigen offenbar menschliche Profilbilder mit verborgenem Text, den Menschen fast mühelos lesen können. Sowohl der sichtbare als auch der verborgene Text wurden von menschlichen Annotatoren transkribiert.

Der zweite Datensatz, SquintCtrl, enthält verborgenen Text, der mithilfe von QR Code Monster v2 in generierte Szenen eingebettet wurde, die mit dem inzwischen ehrwürdigen Stable Diffusion 1.5 erstellt wurden (das Computer-Vision-Forschern offenbar nur aus ihren kalten, toten Händen entrissen werden kann). Da der zur Generierung jedes Bildes verwendete Text im Voraus bekannt war, ließ sich seine genaue Position automatisch bestimmen. So konnten Erkennungsfehler ohne menschliche Annotation untersucht werden.

SquintCtrl wurde in vier Teilmengen unterteilt: SquintCtrl-Pair verwendet 500 aufeinander abgestimmte Bildpaare mit und ohne verborgenen Text, um zu testen, ob dessen Vorhandensein erkannt werden kann; SquintCtrl-Glyph prüfte, ob einzelne chinesische und lateinische Zeichen identifiziert und lokalisiert werden können; SquintCtrl-Strength variierte die Stärke des verborgenen Textes in 200 Szenen; und SquintCtrl-Read stellte 200 Bilder mit offenem Vokabular zum Testen vollständiger Transkriptionen bereit.

Tests

Diagnostische Experimente wurden mit Qwen3.5-9B durchgeführt, dessen Gewichte unverändert blieben, um zu zeigen, was das bestehende Modell bereits wahrnehmen konnte.

In der ersten Trainingsphase, Squint OPSD, leitet das besser informierte Lehrermodell das Schülermodell an. Das Lehrermodell erhält das Originalbild, eine verkleinerte Version und die korrekte Transkription, während das Schülermodell nur das Originalbild sieht. Anschließend werden ihre Vorhersagen Token für Token verglichen. So kann das Schülermodell vom Lehrermodell lernen und zugleich weiterhin allein mit dem Originalbild arbeiten.

Das Training erfolgte mit 5.905 Prompts, darunter 3.489 synthetische Bilder mit verborgenem Text, 1.213 OCR-Beispiele und 1.203 Beispiele zur visuellen Beantwortung von Fragen. SquintBench diente als wichtigster Evaluierungsdatensatz, während der Transfer anhand von Illusory VQA; AdvOCR; und HC-Bench gemessen wurde. Die allgemeine Leistung im Bereich Bildverstehen und Sprache wurde mit AI2D; DocVQA; und OCRBench getestet.

Zum Vergleich wurden das ursprüngliche vortrainierte Modell, eine Version mit zusätzlicher verkleinerter Ansicht, überwachtes Feinabstimmungstraining (SFT) und DAPO getestet. Als externe Referenzmodelle wurden außerdem Claude Opus 5; Gemini 3.1 Pro; GPT-6 Astra; und Qwen3-VL-235B-Thinking bewertet.

Testergebnisse im Vergleich von Squint OPSD mit den Basismethoden. Squint OPSD erzielt mit 88.61 den höchsten Wert auf SquintBench und bewahrt zugleich deutlich mehr allgemeine Leistungsfähigkeit im Bereich Bildverstehen und Sprache als das überwachte Feinabstimmungstraining.

Wie die obige Ergebnistabelle zeigt, steigerte Squint OPSD den SquintBench-Wert des ursprünglichen Modells von 26.50 auf 88.61. Damit übertraf es alle drei Trainings-Baselines und bewahrte zugleich weitgehend die Leistung bei den allgemeinen Tests zu Bildverstehen und Sprache.

Im nächsten Test wurde Squint OPSD anhand von drei externen Benchmarks für verborgenen Text bewertet:

Testergebnisse für Squint OPSD und fünf weitere Modelle auf SquintBench und drei externen Benchmarks für verborgenen Text. Squint OPSD schnitt in jedem Test am besten ab, wenn den Modellen die vollständigen, unveränderten Bilder vorgelegt wurden. Bei Illusory VQA weisen niedrigere Wortfehlerraten auf eine bessere Leistung hin.

Die Werte stiegen bei AdvOCR von 3.7 auf 66.7 und bei HC-Bench von 1.8 auf 44.6, während die Wortfehlerrate bei Illusory VQA von 178.10 auf 67.00 sank. Auch das deutlich größere Modell Qwen3-VL-235B-Thinking und GPT-6 Astra erzielten auf den ursprünglichen SquintBench-Bildern schlechte Ergebnisse: Ihre Werte lagen bei 24.44 beziehungsweise 8.33.

Nach dem Training ließen sich deutlich klarere interne Unterscheidungen zwischen den einzelnen in einem Bild verborgenen Zeichen feststellen. Bei chinesischen Schriftzeichen stieg der Wert dafür, wie klar die Identität eines Zeichens repräsentiert wurde, von 0.718 auf 0.975; der entsprechende Wert für lateinische Schriftzeichen erhöhte sich von 0.612 auf 0.779.

Tests dazu, wie sich der Umgang des Modells mit verborgenen Zeichen nach dem Training verändert hat. Links ist zu sehen, wie sich die Vorhersagen und die Aufmerksamkeit des Modells stärker auf die Bildbereiche konzentrieren, aus denen die verborgenen Zeichen bestehen; werden diese Bereiche gestört, sinkt die Genauigkeit. Rechts ist dargestellt, wie die alternativen Zeichenvorhersagen des Modells zunehmend nach visueller Ähnlichkeit geordnet sind, während sprachbasierte Informationen erhalten bleiben.

Auch richtete sich die Aufmerksamkeit stärker auf jene Bildbereiche, die tatsächlich die verborgenen Buchstaben bildeten. Wurde die interne Repräsentation dieser Bereiche gezielt gestört, sank die Genauigkeit von 90.5% auf 71.5%. Im Vergleich dazu hatte die Störung einer gleich großen Anzahl zufällig ausgewählter Hintergrundbereiche nahezu keine Auswirkungen. Das deutet darauf hin, dass der verborgene Text anhand der relevanten visuellen Strukturen gelesen wurde.

Fazit

Vielleicht zeigt sich in dieser neuen Arbeit eine Art „fraktale Kurzsichtigkeit“, die sich auch in anderen KI-Bereichen wiederholt. Viele Nutzerinnen und Nutzer, die mit führenden LLMs und VLMs vertraut sind, kennen die zahlreichen Fälle, in denen diese dazu neigen, sich auf einen kleinen Bereich der Text-, Bild- oder Videogenerierung zu konzentrieren, ohne umfassender zu berücksichtigen, wie sich diese Änderungen auf das Gesamtbild auswirken könnten.

In vielen Fällen hängt das Problem mit dem unvollkommenen Gedächtnis der KI zusammen (und mit ihrer noch in den Anfängen steckenden Fähigkeit, ihr eigenes Gedächtnis zu komprimieren – für längere und meist agentengesteuerte Aufgaben). Manchmal zeigt sich jedoch, wie in diesem Fall, dass die üblichen Trainingspraktiken zu wünschen übrig lassen und gezielt angepasst werden müssen. Die Frage ist, inwieweit wir aus solchen Fällen lernen und grundlegende Trainingspraktiken überarbeiten sollten – und ab wann ein solcher Prozess als zu „spezialisiert“ und unbedeutend gelten kann, um etwas anderes als einen Drittanbieteransatz wie LoRA zu rechtfertigen.

Erstveröffentlicht am Dienstag, 10. November 2026