Resumen Técnico: Una vez envenenado, el control es arbitrario

Planteamiento del Problema

Los ataques de puerta trasera (backdoor) existentes en los Modelos de Lenguaje-Visión (VLM) son predominantemente estáticos, operando bajo un paradigma de mapeo fijo (uno-a-uno o N-a-N). En estos escenarios, los disparadores (triggers) específicos están vinculados a un conjunto finito de objetivos maliciosos predefinidos durante la fase de entrenamiento. Esta rigidez limita severamente su aplicabilidad en amenazas del mundo real dinámicas; si el objetivo de un atacante cambia después del envenenamiento (por ejemplo, pasar de confundir la seguridad de un producto a difundir desinformación sobre eventos no relacionados), el backdoor de mapeo fijo falla. Adaptarse a nuevos objetivos requiere volver a envenenar el conjunto de datos y reentrenar el gran VLM, un proceso computacionalmente prohibitivo que aumenta el riesgo de exposición.

El artículo aborda la necesidad de un paradigma de puerta trasera más versátil y persistente que permita a un atacante seleccionar semánticas de subtítulos (captions) de objetivos no vistos previamente en el momento de la inferencia sin necesidad de reentrenar el modelo víctima.

Metodología

Los autores proponen un paradigma de control de subtítulos de cualquier-a-cualquier (any-to-any) que consta de dos componentes principales: una estrategia de envenenamiento heurística y un método de esteganografía de disparadores en el espacio de características.

1. Estrategia de Envenenamiento Heurística

En lugar de entrenar al modelo para memorizar pares fijos de disparador-objetivo, los autores pretenden inculcar una heurística generalizable de "disparador como instrucción".

• Mecanismo: El atacante construye un conjunto de datos envenenado muestreando diversos pares de disparador-objetivo $(x^t_{image}, y^t_{text})$. Para cada par imagen-subtítulo benigno, un disparador "ajeno" se superpone en una región enmascarada específica (por ejemplo, la esquina superior izquierda) de la imagen de entrada. El subtítulo original se reemplaza con el subtítulo correspondiente a la imagen del disparador.
• Objetivo: Al exponer el modelo a diversos pares donde la presencia de una imagen ajena en la máscara dicta la salida, el modelo aprende a ignorar el contenido de la imagen principal cuando hay un disparador presente y, en su lugar, genera el subtítulo asociado con el contenido semántico del disparador. Esto aprovecha la capacidad intrínseca de generalización zero-shot del VLM, permitiéndole reconocer disparadores no vistos como instrucciones implícitas.

2. Esteganografía de Disparadores mediante el Espacio de Características ($TS(\cdot)$)

El disparador vanilla (un parche visible de una imagen natural) es conspicuo y fácilmente detectable. Para asegurar el sigilo, los autores proponen mapear cualquier subtítulo objetivo $z$ a un disparador visual sigiloso $TS(z)$ que no contenga la información semántica de $z$, pero que imite la representación de características del disparador vanilla.

• Extracción de Características: Se utiliza un codificador de visión preentrenado $\Phi$ para extraer características.
• Optimización: El método optimiza para obtener un disparador que minimice la distancia entre la representación de características de la imagen envenenada (con el disparador sigiloso) y la representación de características de la imagen con el disparador vanilla.
• Dos Implementaciones:
  • Disparador de Parche ($TS_{patch}$): Genera un parche sin semántica que es visualmente diferente de la imagen objetivo pero que se alinea en el espacio de características.
  • Disparador Controlado por Norma ($TS_{norm}$): Genera ruido imperceptible (perturbación) con restricciones de norma $L_\infty$ ($\epsilon$) para activar la puerta trasera.
• Refinamiento: Los autores observan que aplicar un ligero desenfoque gaussiano a la región enmascarada antes de añadir el ruido mejora aún más la efectividad.

Contribuciones Clave

1. Paradigma de Control de Subtítulos de Cualquier-a-Cualquier: El artículo es pionero en un ataque de puerta trasera que desacopla la selección del objetivo de la fase de envenenamiento. Reutiliza la capacidad zero-shot del VLM para convertirla en una vulnerabilidad controlada por el atacante, permitiendo la selección dinámica de subtítulos de objetivos no vistos sin reentrenamiento.
2. Envenenamiento Heurístico y Esteganografía: Los autores diseñan una estrategia que desplaza la atención del modelo hacia el disparador como una instrucción en lugar de un patrón fijo. Además, desarrollan un método de esteganografía de disparadores $TS(\cdot)$ que mapea subtítulos arbitrarios a disparadores visuales sigilosos (ruido o parches sin semántica).
3. Evaluación Exhaustiva: El trabajo proporciona experimentos rigurosos que demuestran altas tasas de éxito de ataque (ASR) preservando la utilidad benigna del modelo y mostrando robustez contra defensas clásicas de puertas traseras.

Resultados Experimentales

Los experimentos se realizaron principalmente en LLaVA-1.6, con validación adicional en Qwen3-VL y MiniGPT-v2, utilizando conjuntos de datos como Flickr8k, Flickr30k, Tiny-ImageNet y CIFAR-100.

• Tasa de Éxito de Ataque (ASR): El método propuesto logra un alto ASR en pares de disparador-objetivo no vistos.
  • Disparadores Vanilla: ~92% de ASR en Flickr8k (usando disparadores de Tiny-ImageNet).
  • Disparadores de Parche: ~87-89% de ASR (usando disparadores de Tiny-ImageNet).
  • Disparadores Controlados por Norma: Con $\epsilon = 16/255$ y disparadores de Tiny-ImageNet (64x64), el ASR alcanza ~86% en Flickr8k. Sin embargo, al usar disparadores de menor resolución de CIFAR-100 (32x32), el ASR cae significativamente al 55.00% en Flickr8k.
  • Generalización: A diferencia de las líneas base (ej., TrojVLM, MTAttack) que caen al 0% de ASR en objetivos no vistos, el método propuesto mantiene ~92% de ASR (vanilla) y ~86% de ASR ($L_\infty$ con Tiny-ImageNet) en pares no incluidos en el entrenamiento.
• Utilidad Benigna: Los modelos envenenados mantienen un rendimiento comparable a los modelos limpios en benchmarks estándar (GQA y MME), con una degradación insignificante en las puntuaciones de percepción y cognición.
• Sigilo: Los modelos limpios no producen contenido relacionado con el objetivo cuando se les presentan los disparadores sigilosos, confirmando que los disparadores no activan la puerta trasera en modelos no envenenados.
• Robustez ante Defensas: El ataque sigue siendo efectivo contra defensas como Shrinkpad, Flip y Scale-up, mientras que las puertas traseras tradicionales de mapeo fijo (BadNets) son completamente neutralizadas por estas defensas.
• Simulación: En una simulación donde los objetivos fueron sintetizados usando Stable Diffusion (ya que no existían imágenes de verdad fundamental), el disparador de parche logró un 89.15% de ASR normal y un 86.50% de ASR a nivel de disparador, demostando la capacidad de secuestrar salidas para texto arbitrario.

Significado y Reivindicaciones

El artículo afirma presentar la primera puerta trasera de cualquier-a-cualquier en VLMs. Su principal significancia radica en demostrar que una única fase de envenenamiento puede implantar una vulnerabilidad programable, permitiendo a los atacantes controlar dinámicamente las semánticas de los subtítulos de los objetivos en el momento de la inferencia.

Los autores argumentan que esta capacidad subestima fundamentalmente la amenaza actual para la seguridad de los VLM, ya que elimina las barreras computacionales y logísticas del reentrenamiento para nuevos objetivos maliciosos. Los hallazgos exponen vulnerabilidades críticas en los procesos de aprendizaje multimodal, destacando la necesidad urgente de mecanismos de defensa que puedan detectar y mitigar puertas traseras dinámicas basadas en instrucciones, en lugar de solo el emparejamiento de patrones estáticos. El artículo concluye que los VLM actuales son susceptibles de ser transformados en herramientas flexibles controladas por atacantes para generar contenido malicioso arbitrario.