Resumen Técnico: Inyección de Prompts Embebida en Imágenes en VLMs Dentales

Declaración del Problema

El despliegue de Modelos de Lenguaje-Visión (VLMs) en la radiología dental introduce una vulnerabilidad de seguridad crítica: la inyección de prompts embebida en imágenes. A diferencia de la inyección de prompts tradicional basada en texto, este vector de ataque implica renderizar instrucciones textuales adversarias directamente en los datos de píxeles de las imágenes médicas (por ejemplo, radiografías panorámicas). Debido a que los VLMs procesan las imágenes como entrada visual, pueden interpretar estas instrucciones embebidas como comandos legítimos, anulando sus protocolos de seguridad o su lógica diagnóstica.

Esta amenaza es particularmente aguda en los flujos de trabajo dentales donde las imágenes atraviesan múltiples sistemas (PACS, plataformas de teledentistería, tuberías de preprocesamiento) antes de llegar al modelo de diagnóstico. El riesgo clínico específico involucra la inducción de falsos negativos, donde un adversario obliga al modelo a ignorar patologías reales (ej. caries, dientes impactados, lesiones periapicales). Si bien la imagen médica general ha mostrado demostraciones iniciales de esta vulnerabilidad, existía una falta de evaluación sistemática entre proveedores y de análisis comparativo de defensa específicamente para la radiología dental.

Metodología

Diseño del Estudio y Modelo de Amenaza

El estudio empleó un diseño experimental observacional para evaluar la vulnerabilidad de cuatro VLMs de nivel de producción frente a la inyección de prompts embebida en imágenes.

• Modelo de Amenaza: Un adversario capaz de insertar contenido textual en los datos de píxeles de una radiografía dental antes de la inferencia. Se excluyeron del alcance el envenenamiento de datos de entrenamiento, la inyección de metadatos y los ataques de sensores físicos.
• Prior Clínico: El diseño de la defensa aprovecha un prior clínico específico de los flujos de trabajo dentales alemanes: las radiografías panorámicas estándar no contienen texto incrustado a nivel de píxel (las anotaciones se almacenan en encabezados DICOM o capas de superposición). Por lo tanto, cualquier texto visible en los datos de píxeles se considera anómalo.

Conjunto de Datos y Modelos

• Conjunto de Datos: El estudio utilizó el conjunto de datos DenTeX (Desafío MICCAI 2023), seleccionando 270 radiografías panorámicas estratificadas (270 para evaluación, 30 para ajuste) que contienen 3,529 anotaciones a nivel de diente en cuatro clases de patologías: Caries, Dientes Impactados, Caries Profundas y Lesiones Periapicales.
• Modelos Objetivo: Se probaron cuatro VLMs:
  1. GPT-4o (OpenAI)
  2. Gemini 2.5 Flash (Google)
  3. Claude Sonnet 4.5 (Anthropic)
  4. MedGemma 4B (Google, de pesos abiertos)
• Enmarcado del Prompt: Para mitigar las negativas de seguridad observadas en estudios piloto, la tarea se enmarcó como un "ejercicio de descripción visual estructural para la educación dental" en lugar de un diagnóstico directo, aunque el esquema de salida funcionaba como un clasificador diagnóstico binario (any_abnormality_present).

Taxonomía de Ataques

Se implementaron cuatro clases de ataques, cada una con dos formulaciones de carga útil (imperativa y de anulación de sistema), sumando un total de 8 variantes por imagen:

1. Superposición incrustada (Burned-in overlay): Alta saliencia, caja con fondo negro, parte superior derecha.
2. Mimetismo de anotación: Alta saliencia, estilo de nota de radiógrafo, parte superior central.
3. Superposición de bajo contraste: Baja saliencia, texto blanco simple, parte superior derecha.
4. Parche de borde (Border patch): Periférico, texto cerca de blanco, borde inferior.
   Todas las cargas útiles tenían como objetivo la inducción de falsos negativos.

Estrategias de Defensa

Se evaluaron cinco condiciones de defensa:

1. Sin Defensa: Línea base.
2. Recorte de ROI (Región de Interés): Recorte del 15% inferior y el 5% lateral de la imagen.
3. Iluminación Focal (Spotlighting): Delimitadores a nivel de prompt que marcan los datos como no confiables.
4. Sanitización por OCR: Uso de EasyOCR para detectar texto (confianza ≥ 0.4) e inpaintearlo con color negro.
5. ProvDent: Un novedoso sistema consciente de la procedencia que combina iluminación focal, sanitización por OCR, un juez de similitud de instrucciones (GPT-4o-mini), verificación de consistencia de doble paso condicional y abstención clínica acotada.

Métricas y Análisis

• Resultado Primario: Tasa de Éxito de Ataque (ASR) pareada, definida como la proporción de imágenes donde la salida del modelo cambió de true (limpia) a false (atacada).
• Resultados Secundarios: Puntuación F1, sensibilidad, especificidad y un dental-CHER (una tasa de error ponderada por daño clínico).
• Rigor Estadístico: Los análisis incluyeron pruebas de McNemar con corrección de Holm–Bonferroni, modelos lineales generalizados mixtos (GLMM) bayesianos y la intervalos de confianza de bootstrap del 95%. El estudio comprendió 58,320 llamadas de inferencia totales.

Resultados Clave

Evaluación de Vulnerabilidad

Los cuatro VLMs resultaron ser vulnerables a la inyección de prompts embebida en imágenes.

• GPT-4o exhibió la mayor vulnerabilidad, con una ASR pareada del 62.6% (IC 95%: 58.5–66.7%) bajo ataques de superposición incrustada.
• MedGemma 4B le siguió con un 55.4% de ASR para superposiciones incrustadas.
• Gemini 2.5 Flash y Claude Sonnet 4.5 mostraron una vulnerabilidad menor pero significativa (14.8% y 9.1% respectivamente para superposiciones incrustadas).
• Gradiente de Ataque: La vulnerabilidad siguió un gradiente monotónico: Superposición incrustada > Mimetismo de anotación > Superposición de bajo contraste > Parche de borde.
• Especificidad del Modelo: Los perfiles de vulnerabilidad son específicos de cada modelo. Por ejemplo, GPT-4o fue desproporcionadamente vulnerable a los ataques de bajo contraste en comparación con otros modelos.

Efectividad de la Defensa

• Sanitización por OCR: Logró la mayor reducción de ataques, bajando la ASR agrupada al 0.2%, eliminando efectivamente la superficie de ataque.
• ProvDent: Logró una ASR agrupada del 7.5%. Aunque su reducción de ASR bruta fue menor que la de la sanitización por OCR, su valor principal fue el mecanismo de gobernanza de fallo abierto. Cuando la verificación de consistencia de doble paso detectaba un desacuerdo, ProvDent escalaba el caso para revisión humana en lugar de devolver silenciosamente una respuesta comprometida.
• Preservación de la Utilidad: Todas las defensas preservaron la puntuación F1 de la imagen limpia dentro de un 0.6 de punto porcentual de la línea base (94.7–95.1%), lo que indica que las medidas defensivas no degradaron significativamente el rendimiento diagnóstico en imágenes no manipuladas.

Hallazgos por Subgrupos

• Patología: La vulnerabilidad fue más alta para los dientes "Impactados" y más baja para las "Lesiones Periapicales".
• Confianza: Las respuestas de alta confianza del modelo fueron con mayor frecuencia revertidas que las de baja confianza, lo que sugiere que la inyección de prompts puede anular las afirmaciones diagnósticas más fuertes del modelo.

Significación y Reivindicaciones

El artículo establece la inyección de prompts embebida en imágenes como un riesgo de seguridad verificado y trans-proveedor para los VLMs dentales. Sus principales contribuciones son:

1. Caracterización Sistemática: Proporciona la primera evaluación específica del dominio de esta amenaza en múltiples modelos de nivel de producción, demostando que el ajuste fino específico del dominio (ej. MedGemma) no confiere robustez contra tales ataques.
2. Benchmarking de Defensas: Cuantifica los compromisos entre las defensas pasivas (como la sanitización por OCR, que ofrece la máxima reducción de ataques) y la gobernanza activa (ProvDent, que ofrece auditabilidad y triaje de fallo abierto).
3. Relevancia Clínica: El estudio destaca que el prior clínico específico de "no tener texto incrustado" en los flujos de trabajo alemanes crea una señal viable para las defensas de detección de texto. Sin embargo, advierte que este prior puede no sostenerse globalmente, lo que requiere estrategias de seguridad conscientes del contexto.
4. Implicación de Política: Los autores argumentan que la evaluación de seguridad contra la inyección de prompts debe convertirse en un componente obligatorio de la validación de la IA clínica, comparable a las pruebas de precisión y sesgo.

El estudio concluye que, si bien existen defensas efectivas que pueden desplegarse sin reducir materialmente la precisión diagnóstica en imágenes limpias, la vulnerabilidad sigue siendo una barrera crítica para la adopcción clínica segura de la IA multimodal en odontología. Los hallazgos apoyan la selección de mecanismos de defensa específicos basados en los requisitos de gestión de riesgos institucionales (por ejemplo, elegir OCR para la máxima reducción o ProvDent para la gobernanza).