VisInject: Disruption != Injection -- A Dual-Dimension Evaluation of Universal Adversarial Attacks on Vision-Language Models
تجادل هذه الورقة بأن معدلات النجاح العالية المُبلغ عنها للهجمات العدائية الشاملة على نماذج الرؤية واللغة تخلط بين الاضطراب العام للمخرجات وبين حقن الأوامر الدقيق، وهو ما يكشف من خلال تقييم جديد ثنائي الأبعاد أنه بينما تؤدي الاضطرابات غير المحسوسة في كثير من الأحيان إلى إرباك مخرجات النموذج، إلا أنها نادراً ما تحقق حقناً فعلياً، حيث وصلت 0.756% فقط من الحالات المختبرة إلى أي مستوى من مستويات الحقن غير "العدم" (none).
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
تخيل أن لديك مساعداً آلياً ذكياً ومهذباً يمكنه النظر إلى الصور ووصف ما يراه. تسأله: "ماذا يوجد في هذه الصورة للكلب؟" فيجيب: "إنه كلب من فصيلة جولدن ريتريفر يلعب في منتزه".
الآن، تخيل أن مخترقاً يريد خداع هذا الروبوت ليقول شيئاً محدداً، مثل "قم بزيارة هذا الموقع المشبوه". لا يمكنه تغيير عقل الروبوت أو الكلمات التي تكتبها أنت. أداة الوحيدة هي إضافة طبقة رقيقة جداً وغير مرئية من "الضجيج" (static) إلى صورة الكلب — وهي صغيرة جداً لدرجة أن العين البشرية لا تستطيع رؤيتها، لكن "عيون" الروبوت قد تلاحظها.
هذه الورقة البحثية، VisInject، تطرح سؤالاً بسيطاً ولكنه حاسم: هل هذا الضجيج غير المرئي يجعل الروبوت يقول بالفعل عبارة المخترق السرية، أم أنه يجعله يقول فقط شيئاً مختلفاً؟
وجد المؤلفون أن التقارير السابقة كانت تخلط بين شيئين مختلفين تماماً. إليك التفصيل باستخدام تشبيهات بسيطة:
1. النتيجتان المختلفتان: "الارتباك" مقابل "الاختطاف"
تجادل الورقة بأن الباحثين كانوا يحسبون "الارتباك" وكأنه "اختطاف".
- الارتباك (التأثير/الانحراف): يرى الروبوت الصورة مع الضجيج غير المرئي فيصاب بالارتباك. بدلاً من قول "كلب في منتزه"، قد يقول "هذا يبدو كمجموعة من النصوص المتداخلة" أو "أرى فوضى ضبابية". تغيرت إجابة الروبوت، لكنه لم يقل ما أراده المخترق.
- التشبيه: الأمر يشبه شخصاً يهمس بتشتيت انتباه في أذن طالب أثناء الاختبار. يتوقف الطالب عن الكتابة عن سؤال التاريخ ويبدأ في خربشة كلام غير مفهوم. لقد تشتت انتباهه، لكنه لم يكتب الإجابة الخاطئة التي كان المعلم قلقاً بشأنها.
- الاختطاف (الحقن الدقيق): يرى الروبوت الضجيج، وعلى عكس كل التوقعات، ينطق بالعبارة السرية المحددة التي أرادها المخترق، مثل "قم بزيارة www.example.com".
- التشبيه: هذا يشبه الطالب الذي يتجاهل التشتيت تماماً ويكتب الإجابة الخاطئة المحددة التي أراد المقتحم منه كتابتها.
الاكتشاف الكبير: وجدت الورقة أن الارتباك شائع جداً (يحدث حوالي 66% من الوقت)، ولكن الاختطاف نادر للغاية (يحدث أقل من 1% من الوقت، وغالباً لا يحدث على الإطلاق).
2. إعداد "الخدعة السحرية"
لإثبات ذلك، دمج الباحثون "خدعتين سحريتين" (أسلوبي هجوم) من علماء آخرين:
- الضجيج الشامل: صورة خاصة مصممة لإرباك أي سؤال تطرحه حولها.
- الناقل (The Carrier): أداة تأخذ ذلك الضجيج المربك وتلونه فوق صورة حقيقية عادية (مثل صورة قطة أو مستند) بحيث تبدو كصورة عادية للبشر.
قاموا بتشغيل هذا الإعداد على 6,615 سيناريو مختلف باستخدام أربعة مساعدين آليين مفتوحي المصدر.
3. النتائج: فجوة 90 إلى 1
الرقم الرئيسي من الدراسات السابقة كان أن هذه الهجمات تنجح بنسبة 60-80%. يقول المؤلفون: "هذا مضلل".
- معدل "الانحراف": عندما تحققوا مما إذا كانت إجابة الروبوت قد تغيرت على الإطلاق، فقد تغيرت بنسبة 66%. كانت الروبوتات مرتبكة بالتأكيد.
- معدل "الاختطاف": عندما تحققوا مما إذا كان الروبوت قد قال بالفعل عبارة المخترق السرية، حدث ذلك بنسبة 0.75% فقط.
- معدل "النص الحرفي": عندما تحققوا مما إذا كان الروبوت قد قال الكلمات ذاتها التي أرادها المخترك (مثل رابط URL محدد)، حدث ذلك بنسبة 0.03% فقط (مرتان من أصل 6,615).
التشبيه: تخيل ساحراً يحاول جعل عملة معدنية تختفي. في 66 حالة من أصل 100، تتحرك العملة إلى مكان آخر (ارتباك). ولكن في حالة واحدة فقط من أصل 100، تختفي العملة تماماً (اختطاف). التقارير السابقة كانت تقول: "انظروا! العملة تحركت 66% من الوقت! الساحر مذهل!". أما المؤلفون فيقولون: "انتظروا، العملة لم تختفِ. لقد تحركت فقط. الساحر ليس بقوة ما كنا نعتقد".
4. لماذا تنجح بعض الصور أكثر من غيرها
لاحظ الباحثون أن المرات القليلة التي قال فيها الروبوت العبارة السرية، كانت تحدث فقط مع أنواع معينة من الصور.
- الصور الطبيعية: إذا كانت الصورة لكلب أو قطة، فإن الروبوت نادراً ما يقول العبارة السرية.
- صور المستندات: إذا كانت الصورة لقطة شاشة لموقع إلكتروني، أو محرر أكواد، أو فاتورة، فكان الروبوت أكثر عرضة قليلاً لقول العبارة السرية.
- لماذا؟ يوضح المؤلفون أنه إذا كانت الصورة تبدو بالفعل كمستند يحتوي على نصوص (مثل فاتورة)، فإن الروبوت يتوقع بالفعل قراءة النصوص. الضجيج غير المرئي يقوم فقط بدفع الروبوت لقراءة "النص الخاطئ" (عبارة المخترق) بدلاً من النص الحقيقي. أما إذا كانت الصورة لكلب، فالروبوت يتوقع وصف الفراء والأقدام، لذا فإن العبارة السرية لا تتناسب مع القصة.
5. الروبوت "فائق المقاومة"
كانت إحدى النتائج الأكثر إثارة للاهتمام تتعلق بنموذج روبوت محدد يسمى BLIP-2.
- بينما ارتبكت الروبوتات الثلاثة الأخرى بالضجيج غير المرئي بنسبة 100%، لم يلاحظ BLIP-2 أي شيء.
- حتى عندما حاول الباحثون استخدام BLIP-2 للمساعدة في إنشاء الهجوم، فشل الهجوم تماماً ضده لاحقاً.
- السبب: يقترح المؤلفون أن BLIP-2 لديه "عنق زجاجة" (bottleneck) في عقله. فهو يقوم بضغط الصورة إلى ملخص صغير قبل قراءتها. هذا الضغط يعمل كفلتر يمسح الضجيج الصغير وغير المرئي قبل أن يتمكن الروبوت من رؤيته. إنه يشبه محاولة الهمس بسر عبر جدار سميك؛ الروبوتات الأخرى سمعت الهمس، لكن جدار BLIP-2 كان قوياً جداً.
الملخص
تخلص الورقة إلى أنه بينما يمكن للهجمات غير المرئية أن تُربك نماذج الرؤية واللغة (مما يجعلها تعطي إجابات غريبة أو مختلفة)، إلا أنها سيئة جداً في إجبار النماذج على قول عبارات محددة وخطيرة.
فجوة الـ "90 ضعفاً" تعني أنه إذا كنت قلقاً من تعرض الروبوت للخداع لقول رابط URL معين أو كلمة مرور، فأنت تبالغ في تقدير الخطر. الروبوت أكثر عرضة للارتباك وقول شيء سخيف بدلاً من اتباع أمر المخترق بامتثال.
الخلاصة: لا داع تن للذعر من "نسبة النجاح 60-80%" التي قد تكون قرأت عنها. هذا الرقم يحسب "الارتباك" في الغالب، وليس "الاختطاف". الخطر الحقيقي لهذه الهجمات المحددة أقل بك كثيراً مما توحي به العناوين الرئيسية.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.