PHANTOM: A Large-Scale Dataset of Multimodal Adversarial Attacks for Vision-Language Models

Resumen Técnico: PHANTOM – Un conjunto de datos a gran escala de ataques adversarios multimodales para modelos de visión-lenguaje

Planteamiento del Problema
El rápido despliegue de los Modelos de Visión-Lenguaje (VLM) en aplicaciones críticas para la seguridad y de cara al usuario ha resaltado una vulnerabilidad significativa: a pesar de la mejora en el alineamiento y el escalado, los modelos multimodales de vanguardia siguen siendo susceptibles a ataques de jailbreak cuidadosamente diseñados. A diferencia de los entornos unimodales, las violaciones de seguridad multimodales explotan el razonamiento cruzado de modalidades y el alineamiento semántico, expandiendo significamente la superficie de ataque y complicando su detección. Una barrera principal para abordar este problema es el costo computacional y la complejidad de generar muestras adversarias multimodales diversas y a gran escala. La generación de estos ataques a menudo requiere optimizar perturbaciones a través de múltiples espacios de entrada (imagen y texto) mientras se preserva el alineamiento semántico, lo que implica pasadas hacia adelante (forward) y hacia atrás (backward) a través de múltiples codificadores específicos de cada modalidad. En consecuencia, los grupos de investigación y los profesionales con recursos limitados luchan por reproducir la generación de ataques a gran escala, lo que dificulta la evaluación sistemática de la robustez y el desarrollo de salvaguardas defensivas.

Metodología
Los autores presentan PHANTOM, un conjunto de datos de código abierto y gran escala que comprende 47,524 muestras adversarias pregeneradas diseñadas para reducir la barrera de la investigación adversaria. La construcción del conjunto de datos involucró los siguientes pasos metodológicos clave:

1. Taxonomía de Intenciones y Curaduría:

   • Los autores consolidaron y extendieron benchmarks previos (incluyendo HarmBench, AdvBench, JailBreakV-28K, MM-SafetyBench y otros) para crear un conjunto raíz de 7,826 intenciones dañosas.
   • Estas intenciones están organizadas en 10 categorías de alto nivel y 55 subcategorías. Notablemente, los autores introdujeron una nueva categoría, Seguridad Infantil (J), para abordar riesgos específicos para menores, como eludir los controles parentales o el grooming, que estaban subrepresentados en las taxonomías existentes.
   • Para asegurar la diversidad, se realizó un análisis de similitud de coseno utilizando sentence-transformers all-MiniLM-L6-v2. Las intenciones con un puntaje de similitud superior al 90% fueron filtradas para evitar la redundancia preservando la variación semántica significativa.

2. Estrategias de Ataque:
   Se seleccionaron cinco estrategias de ataque de vanguardia basadas en un equilibrio entre la Tasa de Éxito del Ataque (ASR) y el costo computacional (tiempo de generación):

   • BAP (Bi-modal Adversarial Prompt): Un ataque de un solo turno que optimiza conjuntamente las perturbaciones visuales (vía Gradiente Descendente Proyectado) y los prompts textuales.
   • IDEATOR: Una estrategia de múltiples turnos que refina iterativamente los prompts de imagen y texto a través de la conversación.
   • MML (Multi-Modal Linkage): Un ataque tipográfico que codifica texto dañino en imágenes (por ejemplo, mediante Base64, reflexión, rotación) y utiliza un prompt de tipo "juego" para guiar al modelo en la reconstrucción de la intención original.
   • FC ATTACK (Flowchart Attack): Genera un diagrama de flujo que representa los pasos lógicos para lograr una intención dañosa, instando al modelo a seguir el diagrama para eludir los filtros de seguridad.
   • CSDJ (Distraction/CS-DJ): Incrusta sub-peticiones dañinas dentro de imágenes específicas dentro de un collage de 12 imágenes, utilizando distracción y embebido visual para eludir los filtros.

3. Pipeline de Generación y Evaluación:

   • Modelos Objetivo: Los ataques se generaron contra una serie de modelos de código abierto (DeepSeek-VL2, GLM-4.6V-Flash, Kimi-VL, serie Qwen3-VL, etc.).
   • Evaluación: Los ataques generados fueron probados tanto contra los modelos de código abierto (caja blanca) como contra modelos propietarios de vanguardia (caja negra) accedidos vía API (GPT-5.4/5.5, Claude Opus 4.6–4.8, Gemini 3.1 Pro).
   • Juez: Se utilizó un juez automatizado, Abel-24-HarmClassifier, para evaluar las respuestas de los modelos y determinar la ASR. Esta elección se realizó para asegurar la reproducibilidad y evitar el sesgo de la evaluación humana ad-hoc, particularmente para respuestas que son parcialmente dañinas o evasivas.

Contribuciones Clave

• Dataset PHANTOM: El lanzamiento de una colección de gran escala y código abierto de 47,524 muestras adversarias multimodales (pares imagen-texto) listas para su uso.
• Taxonomía Expandida: Una taxonomía curada de 7,826 intenciones dañosas que abarca 10 categorías y 55 subcategorías, incluyendo la novedosa categoría de "Seguridad Infantil".
• Diversidad Estratégica: Implementación de cinco distintas estrategias de ataque (BAP, IDEATOR, MML, FC ATTACK, CSDJ) que cubren técnicas de un solo turno, múltiples turnos y ofuscación tipográfica/visual.
• Análisis de Transferibilidad: Evaluación exhaustiva de la transferibilidad de los ataques entre VLMs de código abierto y propietarios, proporcionando información sobre las vulnerabilidades entre modelos.
• Metadatos Estructurados: Provisión de metadatos para apoyar la reproducibilidad, el benchmarking y la investigación de seguridad derivada.

Resultados
La evaluación de PHANTOM a través de varios modelos arrojó varios hallazgos críticos:

• Vulnerabilidad Persistente: A pesar del entrenamiento de seguridad, todos los sistemas evaluados exhiben una ASR no despreciable en múltiples categorías, confirmando que el alineamiento sigue siendo frágil ante entradas multimodales.
• Eficacia de la Estrategia de Ataque: Los ataques que incrustan peticiones dañinas directamente dentro de las imágenes (MML, FC ATTACK, CSDJ) lograron tasas de éxito consistentemente más altas. Por ejemplo, el ataque MML alcanzó ASRs cercanos al 100% en varios modelos (ej. Gemma-4-26B, GLM-4.6V-Flash) en categorías específicas.
• Transferibilidad entre Modelos: Las vulnerabilidades descubiertas en modelos de código abierto se transfieren efectivamente a sistemas de caja negra de código cerrado. Las ASRs se mantuvieron por encima del 20% en la mayoría de los casos de transferencia, con picos cercanos al 80% para el ataque CSDJ en ciertos modelos.
• Debilidades Específicas de Categoría: Los modelos fueron más vulnerables a los Riesgos Criminales y Económicos (D) y a las Amenazas de Ciberseguridad (E), dominios donde se espera que los modelos proporcionen respuestas accionables. Por el contrario, algunos modelos mostraron mayor robustez en categorías como Riesgos de Privacidad y Datos.
• Tendencias Específicas de Modelo:
  • Gemma-4-26B mostró una alta vulnerabilidad a los ataques MML (100% ASR en algunas categorías), pero fue generalmente robusto en otros entornos.
  • Los modelos Claude Opus exhibieron altas tasas de "rechazos duros" (hard refusals) (respuestas nulas), lo que llevó a ASRs reportadas más bajas en comparación con los modelos que intentan responder pero incluyen contenido dañino.
  • GPT-5.5 mostró un alineamiento ligeramente degradado en comparación con GPT-5.4, con tasas de rechazo más bajas pero un ASR más alto en ciertas categorías.
• Sensibilidad Lingüística: Los experimentos en traducción de lenguajes indicaron que, si bien los lenguajes de bajos recursos pueden a veces aumentar la vulnerabilidad, la ambigüedad lingüística excesiva (ej. entornos mixtos de bajos recursos) puede interrumpir la comprensión del modelo de la intención del ataque, provocando una caída drástica en la ASR.

Significancia y Reivindicaciones
El artículo posiciona a PHANTOM como un recurso práctico para reducir la barrera de la investigación adversaria y fomentar evaluaciones de seguridad de VLM más reproducibles, exhaustivas y comparables. Los autores afirman que el conjunto de datos aborda una brecha clave en el panorama actual: la falta de recursos adversarios pregenerados y accesibles que cubran un amplio espectro de estrategias y dominios de seguridad.

Al consolidar múltiples estrategias de ataque y proporcionar una evaluación estructurada a través de diversos VLMs, PHANTM permite a investigadores y profesionales:

1. Evaluar sistemáticamente la robustez y la seguridad de los VLMs.
2. Realizar el ajuste fino (fine-tuning) de modelos de generación de ataques.
3. Desarrollar y poner a prueba las salvaguardas defensivas bajo diversas condiciones adversarias.

Los autores enfatizan que los resultados deben interpretarse como indicadores relativos de robustez basados en el juez automatizado elegido, más que como una verdad absoluta. Concluyen que los jailbreaks multimodales siguen siendo una amenaza persistente y transferible, y que es necesario un conjunto diverso de estrategias de ataque para una evaluación fiable. El lanzamiento de PHANTOM tiene como objetivo apoyar el desarrollo de sistemas de IA multimodales más seguros y fiables, proporcionando una base para el estudio de la robustez multimodal.