Reading Between the Pixels: Linking Text-Image Embedding Alignment to Typographic Attack Success on Vision-Language Models

1. Problema y Contexto

El artículo aborda la amenaza creciente de los ataques de inyección de prompts tipográficos en Modelos de Lenguaje-Visión (VLMs). En este escenario, el texto adversario se renderiza como una imagen para eludir los mecanismos de seguridad basados en texto.

• Importancia: A medida que los VLMs actúan como el "esqueleto perceptual" de agentes autónomos (automatización de navegadores, uso de computadoras y agentes corporales con cámaras), estos vectores de ataque permiten que instrucciones maliciosas se introduzcan a través de interfaces visuales (páginas web, entornos físicos) en lugar del canal de texto.
• Desafío: La superficie de ataque es heterogénea (tamaños de fuente variables, condiciones visuales diversas) y la vulnerabilidad varía significativamente entre diferentes arquitecturas de modelos, lo que dificulta la creación de defensas universales.

2. Metodología

Los autores realizaron una evaluación sistemática y controlada utilizando 1,000 prompts extraídos de SALAD-Bench (categorizados en seis tipos de daño) probados contra cuatro VLMs:

1. GPT-4o (Propietario)
2. Claude Sonnet 4.5 (Propietario)
3. Mistral-Large-3 (Propietario)
4. Qwen3-VL-4B-Instruct (Open Source)

El estudio se dividió en tres análisis complementarios:

• Comparación de Modalidades: Evaluar la tasa de éxito del ataque (ASR) cuando el prompt se envía como texto puro versus como una imagen tipográfica.
• Ablación Controlada:
  • Tamaño de fuente: Probado en 12 tamaños (de 6px a 28px).
  • Transformaciones Visuales: Aplicación de 10 transformaciones (rotación, desenfoque, ruido, inversión de color, bajo contraste, degradación triple) sobre imágenes de 20px.
• Análisis del Espacio de Incrustación (Embedding): Utilizaron dos modelos de incrustación multimodal (JinaCLIP y Qwen3-VL-Embedding) para calcular la distancia L2 entre la representación de la imagen tipográfica y el texto original. La hipótesis era que una menor distancia (mayor alineación) correlacionaría con un mayor éxito del ataque.

3. Contribuciones Clave

1. Caracterización de la Vulnerabilidad por Tamaño de Fuente: Descubrieron un patrón de umbral: las fuentes muy pequeñas (6px) tienen una ASR cercana a cero, mientras que las fuentes de rango medio (10–12px) alcanzan la máxima efectividad, estabilizándose después.
2. Asimetría de Modalidades: Demostraron que para algunos modelos (GPT-4o y Claude), los ataques de texto son significativamente más efectivos que los de imagen, mientras que otros (Qwen3-VL y Mistral) muestran vulnerabilidad comparable en ambas modalidades.
3. Predicción Basada en Incrustaciones: Validaron que la distancia de incrustación texto-imagen es un predictor robusto del éxito del ataque. Existe una fuerte correlación negativa entre la distancia L2 y la ASR.
4. Robustez Asimétrica: Identificaron que las transformaciones visuales afectan a los modelos de manera desigual (ej. la rotación reduce drásticamente la ASR en Mistral pero no en GPT-4o).

4. Resultados Principales

Efecto del Tamaño de Fuente y Modalidad

• Umbral Crítico: Las fuentes de 6px son casi ineficaces (ASR < 24% incluso en el modelo más vulnerable). La ASR aumenta rápidamente hasta los 10-12px y se estabiliza.
• Diferencias por Modelo:
  • GPT-4o: Los ataques de texto (35.6%) son ~5 veces más efectivos que los de imagen (7.7%).
  • Claude: Los ataques de texto (46.6%) son ~2 veces más efectivos que los de imagen (21.6%).
  • Mistral y Qwen3-VL: Muestran vulnerabilidad similar en ambas modalidades (Mistral: 85% texto vs 75% imagen; Qwen3-VL: 49% texto vs 48% imagen).

Correlación de Incrustaciones (Embeddings)

• Se encontró una correlación negativa fuerte entre la distancia L2 de las incrustaciones y la ASR en todos los modelos.
  • JinaCLIP: Correlación de $r = -0.71$ a $-0.80$($p < 0.01$).
  • Qwen3-VL-Embedding: Correlación aún más fuerte, $r = -0.81$ a $-0.93$($p < 0.01$).
• Esto indica que cuanto más se parece la representación vectorial de la imagen al texto original, más probable es que el VLM "lea" la imagen y ejecute el ataque.

Efecto de las Transformaciones Visuales

• Degradación Pesada: El desenfoque pesado y la degradación triple aumentan la distancia de incrustación en un 10-12% y reducen la ASR drásticamente (hasta un 96% de reducción en Claude, cayendo a 0.7%).
• Rotación: Tiene un efecto asimétrico. Reduce la ASR de Mistral en un 50% y a Qwen3-VL en un 43-58%, pero deja a GPT-4o y Claude prácticamente sin cambios.
• Fondo Gris: Curiosamente, un fondo gris mejoró ligeramente la ASR en GPT-4o y Qwen3-VL, posiblemente al aumentar el contraste percibido.

5. Significado e Implicaciones

• Defensas Personalizadas: Los hallazgos demuestran que no existe una solución de "talla única". La robustez es específica del modelo; una defensa que funciona para GPT-4o podría fallar para Mistral.
• Guía para la Selección de Modelos: Para desarrolladores de agentes autónomos, es crucial evaluar la vulnerabilidad bajo las condiciones visuales específicas de despliegue (ej. si el agente usará cámaras en entornos con rotación o ruido).
• Detección en Tiempo de Ejecución: La distancia de incrustación texto-imagen se propone como una métrica ligera y agnóstica al modelo para detectar ataques potenciales antes de que el VLM procese la instrucción, ya que es un predictor confiable incluso bajo degradación visual.
• Seguridad de Agentes: A medida que los agentes interactúan con el mundo real, la heterogeneidad de las condiciones visuales (iluminación, ángulo, tamaño) se convierte en un factor crítico de seguridad que debe ser considerado en el diseño de sistemas autónomos.

En conclusión, el paper establece que la alineación en el espacio de incrustaciones es un mecanismo fundamental que explica el éxito de los ataques tipográficos, proporcionando una herramienta empírica para evaluar y mitigar riesgos en sistemas de IA multimodal.