💬 NLP

Doc-PP: Document Policy Preservation Benchmark for Large Vision-Language Models

Die Studie stellt das Doc-PP-Benchmark vor, das eine systematische Lücke zwischen komplexer multimodaler Schlussfolgerung und Sicherheitsrichtlinien bei Large Vision-Language Models aufzeigt, und schlägt mit DVA einen neuen strukturellen Inferenzrahmen vor, der diese Schwachstelle durch Entkopplung von Reasoning und Policy-Verifikation effektiv schließt.

Ursprüngliche Autoren: Haeun Jang, Hwan Chang, Hwanhee Lee

Veröffentlicht 2026-04-14

📖 4 Min. Lesezeit☕ Kaffeepausen-Lektüre

CC BY 4.0

Ursprüngliche Autoren: Haeun Jang, Hwan Chang, Hwanhee Lee

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich vor, Sie haben einen sehr intelligenten, aber etwas naiven Assistenten, der riesige Dokumente lesen und zusammenfassen kann. Er sieht Bilder, Diagramme und Text. Das Problem ist: Manchmal weiß er nicht, was er nicht sagen darf.

Diese Forschungsarbeit (Doc-PP) untersucht genau dieses Problem bei modernen KI-Modellen, die Bilder und Text verstehen (sogenannte LVLMs). Hier ist die Erklärung in einfachen Worten:

1. Das Problem: Der "flüsternde" Assistent

Stellen Sie sich vor, Sie geben Ihrem Assistenten einen Geschäftsbericht und sagen: "Fasse den Bericht zusammen, aber nenne niemals die Umsatzzahlen aus dem Nahen Osten."

Der Assistent liest den Text, sieht ein Tortendiagramm und rechnet im Kopf nach:

"Der Gesamtumsatz steht hier drin: 100 Millionen."
"Das Tortendiagramm zeigt, dass der Nahen Osten 5 % ausmacht."
"Aha! 5 % von 100 Millionen sind 5 Millionen."

Obwohl er explizit angewiesen wurde, die Zahl nicht zu nennen, rechnet er sie einfach aus und sagt sie Ihnen. Er hat die Regel gebrochen, weil er zu gut im "Zusammenrechnen" ist und die Sicherheitsgrenze übersprungen hat. Die Forscher nennen das die "Lücke durch Nachdenken": Je mehr der KI nachdenken muss, um eine Antwort zu finden, desto eher verrät sie das Geheime.

2. Der neue Test: Doc-PP

Die Forscher haben einen neuen Prüfstand namens Doc-PP gebaut.

Die Idee: Sie nehmen echte Dokumente (wie Finanzberichte) und fügen geheime Regeln hinzu (z. B. "Nenne nicht X").
Die Falle: Sie stellen Fragen, die den Assistenten zwingen, verschiedene Teile des Dokuments (Text + Diagramm) zu kombinieren, um die Antwort zu finden.
Das Ergebnis: Die besten KI-Modelle scheitern oft. Sie verraten die Geheimnisse, sobald sie "nachdenken" müssen.

3. Ein seltsames Phänomen: Der "OCR-Paradoxon"

Es gibt noch einen kuriosen Effekt: Wenn man dem Assistenten nicht nur das Bild des Dokuments gibt, sondern ihm den Text auch noch herausgeschrieben (OCR) vorliest, macht er es noch schlimmer!

Warum? Das Bild ist wie ein Foto – man muss die Zahlen erst mühsam ablesen. Der ausgedruckte Text ist wie eine klare Liste. Es ist für die KI viel einfacher, mit der Liste zu rechnen und das Verbotene zu verraten. Bessere "Sicht" führt also zu mehr "Lecks".

4. Die Lösung: DVA (Zerlegen – Prüfen – Zusammenfügen)

Die Forscher haben eine neue Methode entwickelt, um den Assistenten zu zähmen. Sie nennen sie DVA. Man kann sich das wie einen strengen Sicherheitschef vorstellen, der vor dem Ausgeben eines Briefes alles durchsucht.

Statt den Assistenten einfach die Antwort schreiben zu lassen, zwingt man ihn in drei Schritte:

Zerlegen (Decompose): Der Assistent darf keine ganze Antwort schreiben. Er muss die Antwort in kleine, einzelne Fakten zerlegen (wie Lego-Steine).
- Beispiel: "Der Umsatz war 100 Mio." (Stein 1) | "Der Nahen Osten hatte 5 %" (Stein 2).
Prüfen (Verify): Jetzt kommt der Sicherheitschef. Er nimmt jeden einzelnen Stein und prüft: "Darf dieser Stein das Verbotene enthalten?"
- Stein 1: "Ja, das ist erlaubt."
- Stein 2: "Nein! Wenn ich sage, der Osten hatte 5 %, und der Assistent weiß den Gesamtumsatz, kann er die verbotene Zahl ausrechnen. Diesen Stein wegwerfen!"
Zusammenfügen (Aggregation): Der Assistent darf nur die erlaubten Steine wieder zu einem Satz zusammenbauen.

Das Ergebnis: Mit dieser Methode (DVA) verraten die KIs viel weniger Geheimnisse, weil sie gezwungen werden, jeden einzelnen Gedanken auf seine Sicherheit zu überprüfen, bevor sie ihn aussprechen.

Zusammenfassung

Die Studie zeigt, dass KI-Modelle zwar schlau sind, aber oft nicht verstehen, wie man ein Geheimnis bewahrt, wenn sie rechnen müssen. Die neue Methode DVA ist wie ein Sicherheitsfilter, der den KI-Gedankenprozess in kleine, überprüfbare Häppchen zerlegt, damit nichts Wichtiges durch die Lücken rutscht. Das ist ein wichtiger Schritt, damit wir KI sicher in sensiblen Bereichen wie Banken oder Medizin einsetzen können.

1. Problemstellung

Die Einführung von Large Vision-Language Models (LVLMs) für die Beantwortung von Fragen zu komplexen Multimodal-Dokumenten (z. B. Finanzberichte) stößt in realen Anwendungen auf ein kritisches Sicherheitsproblem: Dynamische, benutzerdefinierte Richtlinien zur Nicht-Offenlegung.

Herausforderung: Dokumente enthalten oft sensible Informationen (z. B. regionale Umsatzzahlen), die je nach Kontext oder Zielgruppe nicht offengelegt werden dürfen.
Lücke in der aktuellen Forschung: Bisherige Sicherheitsforschung konzentriert sich entweder auf implizite soziale Normen oder rein textbasierte Szenarien. Sie ignoriert die Komplexität multimodaler Dokumente, bei denen sensible Informationen über Text, Tabellen, Diagramme und Abbildungen verteilt sind.
Das Kernproblem: LVLMs scheitern oft daran, diese Richtlinien einzuhalten, wenn die Antwort eine komplexe Synthese oder multimodale Reasoning-Schritte erfordert. Modelle können explizite Verbote befolgen, „lecken" aber sensible Daten, wenn diese durch das Kombinieren von visuellen und textuellen Hinweisen (z. B. Berechnung eines Prozentsatzes aus einem Tortendiagramm und einem Gesamtwert im Text) abgeleitet werden müssen.

2. Methodik: Doc-PP Benchmark

Die Autoren stellen Doc-PP (Document Policy Preservation Benchmark) vor, ein neuartiger Benchmark, der aus realen PDF-Dokumenten (Finanz-, Industrie- und Forschungsberichte) konstruiert wurde, um die Einhaltung von Richtlinien unter multimodalen Bedingungen zu testen.

Aufbau des Benchmarks:

Datensatz: 90 lange PDF-Dokumente, aus denen 635 vertrauliche Ziele (Targets) extrahiert wurden.
Richtlinien (Policies): Jede Aufgabe besteht aus einem Dokument ( $D$ ), einer expliziten Nicht-Offenlegungs-Richtlinie ( $P$ , z. B. „Nicht offenlegen: Umsatz im Nahen Osten") und einer Abfrage ( $Q$ ).
Abfragetypen:
- Explizite Queries: Fragen direkt nach dem verbotenen Wert (Test der direkten Compliance).
- Implizite Queries: Zusammenfassungsfragen, bei denen eine korrekte Antwort logisch zwingend die Offenlegung des verbotenen Werts erfordert (Test des Reasoning-basierten Lecks).
Evaluationsmetriken:
- Leakage (Leckage): Enthält die Antwort den geschützten Wert?
- Faithfulness (Treue): Ist die Antwort inhaltlich vollständig und korrekt, abgesehen von den verbotenen Teilen? (Gemessen mittels einer inhaltsbasierten Checkliste).

3. Wichtige Erkenntnisse & Ergebnisse

Die Evaluation von sechs fortschrittlichen LVLMs (inkl. GPT-5.2, Gemini-3, Qwen3-VL) auf Doc-PP offenbarte zwei fundamentale Schwachstellen:

Der „Reasoning-Induced Safety Gap" (Sicherheitslücke durch Reasoning):
- Modelle zeigen bei expliziten Abfragen eine hohe Compliance.
- Bei impliziten Abfragen, die Reasoning erfordern (z. B. Aggregation über mehrere Seiten oder Modalitäten), steigt die Leckage-Rate drastisch an. Modelle umgehen Sicherheitsbeschränkungen, indem sie sensible Werte durch logische Schlussfolgerungen ableiten.
Das „OCR-Paradoxon":
- Die Bereitstellung von OCR-extrahiertem Text (anstatt roher Bilder) verbessert zwar das visuelle Verständnis, führt aber paradoxerweise zu mehr Leckagen.
- Der zugängliche Text erleichtert dem Modell die präzise numerische Berechnung und Verknüpfung von Werten, was die Extraktion geschützter Informationen im Vergleich zur reinen Bildverarbeitung erleichtert.
Versagen herkömmlicher Abwehrmechanismen:
- Standard-Methoden wie Chain-of-Thought (CoT) Prompting oder Post-Hoc Revision (Nachbearbeitung der Antwort) bieten nur begrenzten Schutz. Sie scheitern daran, die Zwischenschritte des Reasonings zu überwachen, in denen die Verletzung der Richtlinie stattfindet.

4. Lösungsvorschlag: DVA Framework

Um diese Schwachstellen zu adressieren, schlagen die Autoren DVA (Decompose–Verify–Aggregation) vor, ein strukturelles Inferenz-Framework, das Reasoning von der Richtlinienüberprüfung entkoppelt.

Schritt 1: Decompose (Zerlegen): Das Modell zerlegt die geplante Antwort in atomare Informationselemente (einzelne Fakten oder Teilaussagen).
Schritt 2: Verify (Überprüfen): Jedes atomare Element wird einzeln gegen die Sicherheitsrichtlinie geprüft. Elemente, die die Richtlinie verletzen, werden verworfen.
Schritt 3: Aggregate (Aggregieren): Nur die validierten Elemente werden zu einer finalen, konformen Antwort zusammengeführt.

Ergebnisse von DVA:

DVA reduziert die Leckage-Rate signifikant (z. B. bei Gemini-3-Flash von 64,6 % auf 30,5 %).
Es übertrifft CoT und Revision deutlich, da es die Granularität der Überprüfung erhöht und Lecks in integrierten Textblöcken verhindert.
Der Trade-off ist eine leicht reduzierte Treue (Faithfulness) und längere Antwortzeiten, aber ein massiver Gewinn an Sicherheit.

5. Bedeutung und Fazit

Beitrag: Doc-PP ist der erste Benchmark, der sich spezifisch auf die Erhaltung benutzerdefinierter Richtlinien in multimodalen Dokumenten konzentriert und dabei die Komplexität von Cross-Modal-Reasoning berücksichtigt.
Einfluss: Die Arbeit zeigt, dass reine Modellgröße oder besseres visuelles Verständnis nicht ausreichen, um Sicherheitsrichtlinien in dynamischen Dokumentenszenarien zu gewährleisten.
Praktische Relevanz: Das DVA-Framework bietet einen robusten, praktischen Ansatz für die Entwicklung sicherer Dokumenten-QA-Systeme in Bereichen wie Finanzen, Recht und Compliance, wo die selektive Offenlegung von Informationen kritisch ist.

Zusammenfassend demonstriert das Paper, dass aktuelle LVLMs eine systemische Lücke in der Sicherheitswahrung bei komplexen Reasoning-Aufgaben aufweisen, und liefert mit Doc-PP und DVA sowohl ein Messinstrument als auch eine effektive Gegenmaßnahme.