🤖 AI

VisInject: Disruption != Injection -- A Dual-Dimension Evaluation of Universal Adversarial Attacks on Vision-Language Models

Este artículo sostiene que las altas tasas de éxito reportadas para los ataques adversarios universales en modelos de visión y lenguaje confunden la perturbación general de la salida con la inyección precisa de prompts, revelando mediante una novedosa evaluación de doble dimensión que, si bien las perturbaciones imperceptibles frecuentemente alteran las salidas del modelo, raramente logran una inyección real, con solo un 0,756 % de los casos probados alcanzando cualquier nivel de inyección distinto de nulo.

Autores originales: Pang Liu, Yingjie Lao

Publicado 2026-05-06

📖 6 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Pang Liu, Yingjie Lao

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagina que tienes un asistente robótico muy inteligente y educado que puede observar fotos y describir lo que ve. Le preguntas: "¿Qué hay en esta foto de un perro?" y responde: "Es un golden retriever jugando en un parque".

Ahora, imagina que un hacker quiere engañar a este robot para que diga algo específico, como "Visita este sitio web sospechoso". No pueden cambiar el cerebro del robot ni las palabras que escribes. Su única herramienta consiste en añadir una capa diminuta e invisible de "ruido" a la foto del perro; tan pequeña que el ojo humano no puede verla, pero los "ojos" del robot podrían notarla.

Este artículo, VisInject, plantea una pregunta muy simple pero crucial: ¿Realmente este ruido invisible hace que el robot diga la frase secreta del hacker, o simplemente hace que el robot diga algo diferente?

Los autores descubrieron que los informes anteriores estaban confundiendo dos cosas muy distintas. Aquí está el desglose usando analogías sencillas:

1. Los Dos Resultados Diferentes: "Confusión" vs. "Secuestro"

El artículo argumenta que los investigadores han estado contando la "Confusión" como si fuera "Secuestro".

Confusión (Influencia/Desviación): El robot ve la foto con el ruido invisible y se confunde. En lugar de decir "un perro en un parque", podría decir: "Esto parece un collage de texto" o "Veo un borrón borroso". La respuesta del robot cambió, pero no dijo lo que el hacker quería.
- Analogía: Es como si alguien susurrara una distracción al oído de un estudiante durante un examen. El estudiante deja de escribir sobre la pregunta de historia y empieza a garabatear sinsentidos. Está distraído, pero no escribió la respuesta incorrecta que el profesor temía.
Secuestro (Inyección Precisa): El robot ve el ruido y, contra todo pronóstico, escupe la frase secreta exacta que el hacker quería, como "Visita www.ejemplo.com".
- Analogía: Esto es el estudiante ignorando por completo la distracción y escribiendo la respuesta incorrecta específica que el intruso quería que escribiera.

El Gran Descubrimiento: El artículo encontró que la Confusión es muy común (ocurre aproximadamente el 66% de las veces), pero el Secuestro es increíblemente raro (ocurre menos del 1% de las veces, y a menudo ni siquiera ocurre).

2. La Configuración del "Truco de Magia"

Para demostrar esto, los investigadores combinaron dos "trucos de magia" (métodos de ataque) existentes de otros científicos:

El Ruido Universal: Una imagen especial diseñada para confundir cualquier pregunta que le hagas sobre ella.
El Portador: Una herramienta que toma ese ruido confuso y lo pinta sobre una foto normal y real (como una imagen de un gato o un documento) para que parezca una foto regular para los humanos.

Ejecutaron esta configuración en 6.615 escenarios diferentes utilizando cuatro asistentes robóticos de código abierto distintos.

3. Los Resultados: Una Brecha de 90 a 1

La cifra principal de estudios anteriores era que estos ataques funcionaban entre el 60 y el 80% de las veces. Los autores dicen: "Eso es engañoso".

La Tasa de "Desviación": Cuando verificaron si la respuesta del robot cambió en absoluto, cambió el 66% de las veces. Los robots definitivamente estaban confundidos.
La Tasa de "Secuestro": Cuando verificaron si el robot dijo realmente la frase secreta del hacker, esto ocurrió solo el 0,75% de las veces.
La Tasa de Transcripción Literal: Cuando verificaron si el robot dijo las palabras exactas que el hacker quería (como una URL específica), esto ocurrió solo el 0,03% de las veces (2 veces de 6.615).

La Analogía: Imagina que un mago intenta hacer desaparecer una moneda. En 66 de cada 100 intentos, la moneda se mueve a un lugar diferente (Confusión). Pero solo en 1 de cada 100 intentos la moneda desaparece realmente por completo (Secuestro). Los informes anteriores decían: "¡Miren! ¡La moneda se movió el 66% de las veces! ¡El mago es asombroso!". Los autores dicen: "Espera, la moneda no desapareció. Solo se movió. El mago no es tan poderoso como pensábamos".

4. Por Qué Algunas Fotos Funcionan Mejor Que Otras

Los investigadores notaron que las pocas veces que el robot sí dijo la frase secreta, solo ocurrió con tipos específicos de fotos.

Fotos Naturales: Si la foto era de un perro o un gato, el robot casi nunca dijo la frase secreta.
Fotos de Documentos: Si la foto era una captura de pantalla de un sitio web, un editor de código o una factura, el robot tenía una probabilidad ligeramente mayor de decir la frase secreta.
¿Por qué? Los autores explican que si la foto ya parece un documento con texto (como una factura), el robot ya espera leer texto. El ruido invisible simplemente empuja al robot a leer el "texto incorrecto" (la frase del hacker) en lugar del texto real. Si la foto es de un perro, el robot espera describir pelaje y patas, por lo que la frase secreta no encaja en la historia.

5. El Robot "Super-Resistente"

Uno de los hallazgos más interesantes involucró a un modelo robótico específico llamado BLIP-2.

Mientras que los otros tres robots se confundieron con el ruido invisible el 100% de las veces, BLIP-2 ni siquiera lo notó.
Incluso cuando los investigadores intentaron usar BLIP-2 para ayudar a crear el ataque, el ataque falló completamente contra él más tarde.
La Razón: Los autores sugieren que BLIP-2 tiene un "cuello de botella" en su cerebro. Comprime la imagen en un resumen diminuto antes de leerla. Esta compresión actúa como un filtro que borra el ruido pequeño e invisible antes de que el robot pueda verlo siquiera. Es como intentar susurrar un secreto a través de un muro grueso; los otros robots lo escucharon, pero el muro de BLIP-2 era demasiado fuerte.

Resumen

El artículo concluye que, aunque los ataques invisibles pueden definitivamente confundir a los modelos de visión-lingüística (haciéndolos dar respuestas extrañas o diferentes), son terribles para obligar a los modelos a decir frases específicas y peligrosas.

La "brecha de 90 veces" significa que si te preocupa que un robot sea engañado para decir una URL o contraseña específica, probablemente estás sobreestimando el peligro. Es mucho más probable que el robot simplemente se confunda y diga algo tonto que obedezca obedientemente la orden del hacker.

La Conclusión: No entres en pánico por la "tasa de éxito del 60-80%" que podrías haber leído. Ese número cuenta principalmente la "confusión", no el "secuestro". El peligro real de estos ataques específicos es mucho, mucho menor de lo que sugieren los titulares.

Basado en el documento proporcionado, aquí se presenta un resumen técnico detallado de VisInject: Disrupción ≠ Inyección — Una Evaluación de Doble Dimensión de Ataques Adversariales Universales en Modelos Visión-Lenguaje.

Planteamiento del Problema

La literatura reciente sobre Ataques Adversariales Universales (UAA) contra Modelos Visión-Lenguaje (VLM) reporta altas Tasas de Éxito del Ataque (ASR) en el rango del 60–80%. Estas métricas sugieren que las perturbaciones de píxeles imperceptibles pueden servir como un canal viable de inyección de prompts, potencialmente anulando las alineaciones de seguridad. Sin embargo, los autores argumentan que estos números reportados confunden dos eventos distintos:

Influencia (Deriva): La salida del modelo se perturba y difiere de la línea base limpia.
Inyección Precisa (Entrega de Carga Útil): La cadena de texto o concepto específico del atacante aparece realmente en la respuesta.

El documento postula que los puntos de referencia existentes, que a menudo dependen de una única métrica de "¿cambió la salida?", exageran sistemáticamente la utilidad de los ataques visuales como vector de entrega para cargas útiles específicas.

Metodología

Los autores proponen VisInject, un pipeline de tres etapas que compone métodos de ataque existentes con un nuevo marco de evaluación de doble dimensión.

1. Pipeline de Ataque (Etapa 1 y 2):

Etapa 1 (Generación de Señal Universal): Utiliza el método de Ataque Adversarial Universal (UAA) de Rahmatullaev et al. (24). Una única imagen adversarial "universal" se optimiza mediante PGD (Descenso de Gradiente Proyectado) contra un conjunto de 2–4 VLMs abiertos (Qwen2.5-VL, Qwen2-VL, DeepSeek-VL, BLIP-2) utilizando 60 prompts benignos. El objetivo es crear una imagen que impulse al modelo hacia una frase objetivo elegida, independientemente del prompt del usuario.
Etapa 2 (Fusión Realista del Portador): Utiliza el marco codificador–decodificador AnyAttack de Zhang et al. (29). La señal adversarial universal de la Etapa 1 se codifica mediante un codificador CLIP congelado y se decodifica en un tensor de ruido acotado por $L_\infty$ . Este ruido se añade a fotografías limpias arbitrarias (por ejemplo, escenas naturales, capturas de pantalla) para crear portadores adversariales realistas. El presupuesto de perturbación se restringe a $L_\infty \le 16/255$ (PSNR $\approx$ 25.2 dB).

2. Evaluación de Doble Dimensión (Etapa 3):
En lugar de una única métrica ASR, el pipeline puntúa cada par de respuestas (limpia, adversarial) a lo largo de dos ejes independientes utilizando un juez LLM (DeepSeek-V4-Pro, calibrado contra Claude Opus 4.7):

Influencia (Deriva): Mide si la respuesta se desvió de la línea base limpia. Se evalúa mediante una puntuación de similitud de cadenas Ratcliff-Obershelp determinista (línea base programática) y un juicio ordinal LLM de 4 niveles (ninguna, ligera, sustancial, completa).
Inyección Precisa (Entrega de Carga Útil): Mide si apareció el concepto objetivo específico. Se evalúa mediante un juicio ordinal LLM de 4 niveles:
- Ninguna: Sin contenido objetivo.
- Débil: Fragmentos temáticos (por ejemplo, "PRESIDENTE" para un objetivo de elección).
- Parcial: Variantes de clase semántica (por ejemplo, "número de cuenta" para "número de tarjeta").
- Confirmada: Frase objetivo palabra por palabra o casi palabra por palabra.

Configuración Experimental:
El estudio barre una matriz $7 \times 7 \times 3$ : 7 prompts objetivo (desde URLs literales hasta categorías semánticas como desinformación), 7 imágenes de prueba (fotografías naturales y capturas de pantalla estilo documento) y 3 configuraciones de conjunto sustituto, evaluadas en 4 VLMs abiertos. Esto produce 6,615 pares de respuestas.

Resultados Clave

El hallazgo central es una divergencia masiva entre la disrupción y la inyección:

Alta Disrupción, Baja Inyección: En todos los 6,615 pares, la tasa de disrupción programática es del 66.4%, y la tasa de disrupción "sustancial o completa" juzgada por LLM es del 46.6%. Sin embargo, la tasa de Inyección Precisa es drásticamente menor:
- Inyección Amplia (cualquier nivel distinto de ninguno): 0.756% (50/6,615 pares).
- Inyección Estricta/Verbatim (Nivel Confirmado): 0.030% (2/6,615 pares).
- Esto representa una divergencia de aproximadamente 90× entre que el modelo sea perturbado y que se entregue la carga útil.
Sensibilidad Arquitectónica:
- Los VLMs estilo Transformer (Qwen2.5-VL, Qwen2-VL, DeepSeek-VL) se ven universalmente perturbados (100% de disrupción programática) pero muestran tasas de inyección mínimas (0.09%–1.5%).
- BLIP-2 (utilizando un cuello de botella Q-Former) muestra 0.00% de deriva o inyección detectable en todos los 2,205 pares, incluso cuando se utiliza como sustituto en la Etapa 1. Los autores hipotetizan que el cuello de botella de información del Q-Former y la submuestreo de resolución filtran la perturbación.
Dependencia de la Imagen y la Carga Útil:
- Las inyecciones que ocurren se agrupan en imágenes estilo captura de pantalla/documento (por ejemplo, editores de código, facturas, páginas web) donde el espacio de respuesta invita naturalmente a la transcripción de texto o contiene tokens con forma de URL/cuenta.
- Las fotografías naturales (perro, gato) muestran alta disrupción pero cero inyecciones literales.
- Las cargas útiles de texto literal (URLs) sobreviven mejor a la fusión de la Etapa 2 que las cargas útiles semánticas, pero incluso entonces, las coincidencias exactas de cadenas son raras.

Contribuciones Clave

Marco de Doble Dimensión: Una metodología que desacopla la "deriva" de la "entrega de carga útil", demostrando que las métricas ASR de un solo número confunden modos de fallo cualitativamente diferentes.
Barra Sistemática: Una evaluación exhaustiva de 6,615 pares en cuatro VLMs, revelando la brecha de ~90× entre disrupción e inyección.
Observación Arquitectónica: Identificación de la inmunidad de BLIP-2 a estos ataques en $L_\infty=16/255$ , sugiriendo que los cuellos de botella estilo Q-Former pueden ofrecer robustez adversarial inherente sin reentrenamiento.
Conjunto de Datos Público: Liberación del conjunto de datos completo (imágenes universales, fotos adversariales, pares de respuestas y cachés de jueces) para permitir la reproducibilidad exacta en bits sin claves de API.

Significado y Afirmaciones

El documento afirma que la narrativa actual de la "modalidad visual como un punto débil blando" para la inyección de prompts está exagerada cuando se define estrictamente por la entrega de carga útil. Si bien las perturbaciones adversariales universales son efectivas para perturbar las salidas del modelo (causando alucinaciones o cambios de tema), son ineficaces para inyectar de manera confiable frases específicas elegidas por el atacante en el flujo de respuesta.

Los autores concluyen que:

Estándares de Evaluación: Los futuros puntos de referencia deben reportar tanto la Influencia como la Inyección Precisa por separado, ya que una única métrica ASR oculta la verdadera dificultad de la entrega de carga útil.
Implicaciones de Defensa: Las elecciones arquitectónicas, específicamente los cuellos de botella de información como el Q-Former, pueden ofrecer una robustez sustancial contra ataques acotados por $\epsilon$ sin la necesidad de un ajuste fino adversarial costoso.
Realidad del Modelo de Amenaza: Para un atacante que busca una entrega de carga útil confiable (por ejemplo, exfiltrar datos o inyectar una URL específica), los ataques universales visuales en VLMs abiertos pequeños son actualmente un vector no competitivo en comparación con los canales no adversariales, con tasas de éxito oscilando cerca del 0.2%.

El documento mantiene una postura modesta, señalando que sus hallazgos son específicos de los VLMs abiertos probados y del presupuesto $L_\infty=16/255$ , y que la transferibilidad sistemática a modelos cerrados de vanguardia (como GPT-4o) sigue siendo una pregunta abierta, aunque las pruebas anecdóticas iniciales sugieren que el ataque no se transfiere.