Resumen Técnico: Destilación en Contexto Guiada por Ruido Visual para el Olvido de Modelos de Lenguaje de Gran Escala Multimodales

1. Planteamiento del Problema

Los Modelos de Lenguaje de Gran Escala Multimodales (MLLM) han logrado avances significativos en tareas de visión y lenguaje, pero plantean riesgos sustanciales de privacidad y seguridad al memorizar inadvertidamente información personal sensible, contenido protegido por derechos de autor o conocimiento inseguro. Una vez codificado en los parámetros del modelo, este conocimiento puede ser activado mediante consultas visuales o textuales durante la inferencia.

Los paradigmas de olvido existentes enfrentan un compromiso crítico:

• Métodos basados en entrenamiento (p. ej., Ascenso de Gradiente, Optimización de Preferencia Negativa) actualizan los parámetros del modelo para eliminar el conocimiento, pero a menudo degradan la utilidad y las capacidades generales del modelo.
• Métodos libres de entrenamiento (p. ej., Olvido en Contexto) preservan la utilidad al evitar la actualización de parámetros, pero no logran eliminar el conocimiento memorizado a nivel de parámetro. En consecuencia, siguen siendo vulnerables a ataques de ingeniería inversa y son insuficientes en entornos multimodales donde las entradas visuales fuertes pueden anular las instrucciones de seguridad textuales.

El desafío central es lograr un olvido efectivo a nivel de parámetros en los MLLM mientras se preserva la utilidad general y la robustez contra prompts adversarios, sin depender de modelos maestros externos o anotaciones explícitas de respuestas indeseables.

2. Metodología: VGID

Los autores proponen la Destilación en Contexto Guiada por Ruido Visual (VGID), un marco de profesor-estudiante diseñado para cerrar la brecha entre la intervención libre de entrenamiento y el olvido a nivel de parámetros.

2.1 Intervención Dual-Modal

La idea central de VGID es que las instrucciones de contexto puramente textuales son insuficientes para suprimir la filtración de privacidad inducida por características visuales prominentes. Para abordar esto, VGID construye una distribución de profesor orientada al olvido a partir de un modelo base congelado utilizando una intervención dual-modal:

1. Perturbación Visual: La imagen de entrada se perturba (p. ej., mediante ruido Gaussiano, reemplazo de ruido aleatorio o reemplazo por imagen blanca) para debilitar la evidencia visual sensible al objetivo.
2. Instrucción de Contexto Textual: Una instrucción de olvido (p. ej., "negarse a identificar a la persona") se antepone a la consulta textual.

El modelo base congelado procesa esta entrada multimodal perturbada para generar una distribución de objetivos suaves ($\pi_T$). Esta distribución sirve como una señal supervisora que captura el comportamiento de olvido deseado (suprimir tokens sensibles, fomentar respuestas seguras) sin requerir un profesor entrenado externamente.

2.2 Marco de Destilación

VGID emplea un modelo estudiante ($\pi_\theta$) entrenado para coincidir con la distribución del profesor mediante destilación de conocimiento:

• Objetivo de Olvido (Forget): Para las muestras en el conjunto de olvido ($D_F$), el estudiante minimiza la divergencia de Kullback-Leibler (KL) entre su salida en la entrada original y la salida del profesor en la entrada perturbada. Esto guía al estudiante para aprender el comportamiento de olvido a nivel de parámetros.
• Objetivo de Retención (Retain): Para las muestras en el conjunto de retención ($D_R$), el estudiante minimiza la divergencia KL entre su salida y la salida del modelo base congelado en la entrada original. Esto asegura la preservación de las capacidades multimodales generales.

La función de pérdida total es una combinación ponderada:
$$L_{overall} = \alpha L_{forget} + \beta L_{retain}$$

Este enfoque permite que VGID destile el "comportamiento de olvido" inducido por la intervención dual-modal directamente en los parámetros del modelo, logrando robustez sin necesidad de reentrenar desde cero o utilizar profesores externos.

3. Contribuciones Clave

• Identificación de la Brecha de Modalidad: El artículo demuestra que las instrucciones de olvido en contexto puramente textuales son insuficientes para los MLLM porque las entradas visuales actúan como señales de condicionamiento dominantes que pueden anular el condicionamiento de seguridad basado en texto.
• Estrategia de Intervención Dual-Modal: Los autores muestran que combinar la perturbación visual con el olvido en contexto textual proporciona señales complementarias, suprimiendo el conocimiento privado objetivo de manera más efectiva que cualquiera de las dos modalidades por separado.
• Marco VGID: Un novedoso marco basado en destilación que construye dinámicamente una distribución de profesor orientada al olvido a partir de un modelo base congelado. Logra el olvido a nivel de parámetros sin modelos maestros externos ni anotaciones explícitas de rechazo.
• Validación Empírica: Experimentos extensos en MLLMU-Bench a través de múltiples backbones (Qwen2.5-VL, LLaVA-1.5) demuestran que VGID logra una fuerte efectividad de olvido manteniendo una utilidad del modelo competitiva y robustez contra ataques de ingeniería inversa.

4. Resultados Experimentales

Los experimentos se realizaron en MLLMU-Bench con ratios de olvido del 5%, 10% y 15% a través de Qwen2.5-VL-3B, LLaVA-1.5-7B y LLaVA-1.5-13B.

• Efectividad del Olvido: VGID redujo significativamente el conocimiento privado objetivo. En un escenario representativo (LLaVA-1.5-7B, ratio de olvido del 5%), VGID redujo la puntuación ROUGE-L del conjunto de olvido de 0.571 (Base) a 0.200, una reducción de 0.371.
• Preservación de la Utilidad: A diferencia de las líneas base basadas en gradientes que a menudo degradan el rendimiento del conjunto de retención, VGID mantuvo una fuerte utilidad. En el mismo escenario, el ROUGE-L del conjunto de retención cayó solo 0.055 (de 0.496 a 0.441), y la precisión de cloze/clasificación se mantuvo competitiva.
• Robustez: VGID demostró una robustez superior contra ataques de ingeniería inversa. Mientras que el rendimiento de Olvido en Contexto (ICU) se recuperó significativamente cuando se aplicaron prompts de ingeniería inversa (el ROUGE-L del conjunto de olvido aumentó de 0.462 a 0.518), VGID se mantuvo estable (el ROUGE-L del conjunto de olvido aumentó solo de 0.200 a 0.220).
• Estudios de Ablación:
  • Construcción del Profesor: La intervención dual-modal (VGID) superó a las intervenciones de modalidad única (ICU-T o Noise-T), confirmando la necesidad de combinar señales visuales y textuales.
  • Estrategia de Perturbación: El reemplazo de ruido aleatorio resultó más efectivo que el ruido Gaussiano o el reemplazo de imagen blanca, sugiriendo que el patrón de perturbación es crítico para eliminar las señales visuales manteniendo una entrada utilizable para el profesor.
  • Estilo de Prompt: Los prompts de "Cumplimiento Estricto" (Strict Enforcement) proporcionaron el equilibrio más estable entre el olvido y la preservación de la utilidad.

5. Significado y Reivindicaciones

El artículo afirma que VGID ofrece un compromiso superior entre la completitud del olvido y la utilidad del modelo en comparación con los métodos existentes de entrenamiento y de entrenamiento libre. Al destilar una distribución inducida por intervención, VGID transfiere con éxito la robustez de la intervención en tiempo de inferencia a los parámetros del modelo, haciendo que el comportamiento de olvido sea resistente a los ataques de ingeniería inversa.

Los autores posicionan a VGID como una solución práctica para el despliegue de MLLM que preserva la privacidad, evitando el costo computacional del reentrenamiento y la vulnerabilidad de las estrategias puramente de tiempo de inferencia. Reconocen limitaciones, señalando que el alcance actual se centra en el olvido orientado a la privacidad y que el espacio de diseño para las perturbaciones visuales permanece inexplorado, sugiriendo que trabajos futuros podrían extender este paradigma a la protección de derechos de autor y la eliminación de conocimiento inseguro.