Resumen Técnico: Ataque de Prompting Adaptativo de Múltiples Vueltas contra Modelos Grandes de Visión y Lenguaje

Enunciado del Problema

Aunque los ataques de jailbreak de múltiples vueltas han demostrado ser efectivos contra Modelos Grandes de Lenguaje (LLMs) de solo texto al introducir gradualmente contenido malicioso para eludir la alineación de seguridad, la extensión de estas técnicas a Modelos Grandes de Visión y Lenguaje (LVLMs) sigue siendo poco explorada. Los autores identifican una brecha crítica: incorporar ingenuamente entradas visuales en ataques de múltiples vueltas a menudo los hace más fáciles de defender. Los LVLMs alineados con la seguridad tienden a activar mecanismos de defensa con mayor facilidad cuando se les presenta contenido visual excesivamente malicioso, lo que resulta en respuestas conservadoras. Además, los métodos existentes no logran coordinar eficazmente las señales dañinas a través de las modalidades (texto y visión) para reforzarse mutuamente en lugar de contradecirse, limitando así la efectividad del ataque.

Metodología: MAPA

Para abordar estos desafíos, los autores proponen MAPA (Ataque de Prompting Adaptativo de Múltiples Vueltas), un marco diseñado para elicitar respuestas progresivamente más maliciosas mediante un diseño adaptativo de dos niveles.

1. Nivel de Vuelta: Alternancia de Acciones de Ataque

En cada vuelta del diálogo, MAPA emplea una estrategia de búsqueda voraz para seleccionar la acción de ataque más efectiva entre tres candidatos. Este proceso implica que un LLM Atacante genere un prompt de texto inicial no conectado ($ucQ_T$) y un LLM Conector (operando de manera de Cadena de Pensamiento) que:

• Identifica conceptos maliciosos en el texto.
• Genera un prompt correspondiente para la generación de imágenes.
• Refina el prompt de texto ($cQ_T$) reemplazando los conceptos maliciosos para alinearse con la entrada visual.
• Utiliza Stable Diffusion para generar una imagen maliciosa ($cQ_V$).

Basándose en estos componentes, se formulan y prueban tres acciones de ataque contra el LVLM víctima:

• Acción 1: Solo prompt de texto no conectado ($ucQ_T$).
• Acción 2: Prompt de texto no conectado + imagen maliciosa generada ($ucQ_T + cQ_V$).
• Acción 3: Prompt de texto conectado + imagen maliciosa generada ($cQ_T + cQ_V$).

Un LLM Juez evalúa las respuestas. Si ninguna tiene éxito, se selecciona la acción que produce la mayor Correlación Semántica (SEM) con la tarea de jailbreak como la acción óptima para la vuelta actual.

2. Entre Vueltas: Ajuste Adaptativo de la Trayectoria

A través de las vueltas, MAPA ajusta la trayectoria del ataque mediante refinamiento iterativo de ida y vuelta para amplificar gradualmente la malicia. El sistema compara la correlación semántica de la respuesta actual con el contexto histórico y las vueltas anteriores para decidir sobre una de tres políticas:

• Avanzar: Se activa si la correlación semántica actual aumenta en comparación con la vuelta anterior y la versión sin contexto histórico, indicando una inyección gradual exitosa de malicia.
• Retroceder: Se activa si la correlación actual disminuye en comparación con la vuelta anterior pero aumenta sin contexto histórico, lo que sugiere que el contexto de la vuelta anterior degradó el ataque. El sistema vuelve a la vuelta anterior para regeneración.
• Regenerar: Se activa si la correlación aumenta pero no de manera gradual, o si disminuye en general. El prompt de la vuelta actual se regenera.

Adicionalmente, MAPA incluye un Mecanismo de Reflexión. Si un intento de ataque de múltiples vueltas falla después de agotar el límite de vueltas, el LLM Atacante analiza el historial de fallos (estrategias y respuestas fallidas) para diseñar una nueva cadena de ataque más efectiva para un intento posterior, permitiendo el aprendizaje dentro de la tarea.

Contribuciones Clave

1. Caracterización de los Fallos de Jailbreak en LVLM: El documento descubre que los ataques de una sola vuelta y los ataques de múltiples vueltas extendidos ingenuamente a menudo fallan contra LVLMs alineados con la seguridad porque la inserción directa de contenido visual malicioso activa las defensas.
2. Marco MAPA: Una solución práctica que utiliza un diseño de dos niveles (alternancia de acciones a nivel de vuelta y ajuste de trayectoria entre vueltas) para mitigar estos fallos. Gestiona explícitamente la interacción entre las modalidades de texto y visión para reforzar la efectividad del ataque.
3. Evaluación Exhaustiva: Experimentos extensos y estudios de ablación que demuestran la superioridad de MAPA sobre los métodos más avanzados.

Resultados Experimentales

Los autores evaluaron MAPA en cuatro puntos de referencia (HarmBench, JailbreakBench, AdvBench, RedTeam-2K) contra cuatro modelos objetivo: LLaVA-v1.6-Mistral-7B, Qwen2.5-VL-7B-Instruct, Llama-3.2-Vision-11B-Instruct y GPT-4o-mini.

• Rendimiento: MAPA superó consistentemente a las líneas base (incluyendo CoA, ActorAttack, FootInTheDoor, VRP y MML). En HarmBench, logró una Tasa de Éxito de Ataque (ASR) promedio del 96.66%, mejorando al segundo mejor método en aproximadamente 26.11%.
• Consistencia en Puntos de Referencia: MAPA mostró ganancias significativas en todos los puntos de referencia, mejorando la ASR promedio en un 23.33% en JailbreakBench, un 14.45% en AdvBench y un 32.22% en RedTeam-2K en comparación con las mejores líneas base.
• Estudios de Ablación: Eliminar el mecanismo de reflexión redujo el rendimiento en un 8.89% en promedio. Desactivar el ajuste de políticas (refinamiento de trayectoria) causó una caída del 12.23%. El estudio también reveló que añadir entradas visuales de manera ingenua (sin la alineación adaptativa de la Acción 3) podría disminuir el rendimiento, particularmente contra modelos con mecanismos de seguridad visual fuertes como Llama-3.2-Vision.
• Eficiencia: Con presupuestos de consultas fijos, MAPA mantuvo tasas de éxito más altas mientras consumía menos consultas que las líneas base.

Significado y Afirmaciones

El documento afirma ser el primer trabajo que investiga y aborda sistemáticamente los puntos dolorosos de los jailbreaks de múltiples vueltas en LVLMs. Revela vulnerabilidades de seguridad en LVLMs ampliamente utilizados dentro de diálogos de múltiples vueltas entre modalidades. Los autores afirman que sus hallazgos destacan la necesidad de optimizar inteligentemente los prompts de texto-visión en lugar de alinearlos superficialmente. En última instancia, el trabajo busca promover el desarrollo de alineaciones de seguridad más robustas para LVLMs en entornos realistas y maliciosos al exponer estas vulnerabilidades específicas.