Résumé Technique : Réexamen de CroPA : Une Étude de Reproductibilité et des Améliorations pour la Transférabilité Adversariale Inter-Prompts dans les Modèles Vision-Langage

1. Énoncé du Problème

Les grands modèles vision-langage (VLM) ont révolutionné des tâches telles que la classification d'images, le légendage et la réponse aux questions visuelles (VQA). Cependant, ils restent hautement vulnérables aux attaques adverses où des perturbations subtiles appliquées aux images ou aux textes d'entrée entraînent des sorties incorrectes ou nuisibles. Alors que des recherches antérieures ont établi la Transférabilité Inter-Modèles (exemples adverses fonctionnant à travers différentes architectures) et la Transférabilité Inter-Images (Perturbations Adversaires Universelles ou UAP), une nouvelle dimension connue sous le nom de Transférabilité Inter-Prompts a été introduite par Luo et al. (2024) via l'Attaque Inter-Prompts (CroPA).

CroPA vise à générer des images adverses qui restent efficaces indépendamment du prompt textuel utilisé pour interroger le VLM. Malgré sa nouveauté, la robustesse et la généralisabilité de CroPA nécessitent une validation supplémentaire. De plus, le cadre CroPA original présente des limitations, notamment :

• Initialisation Aléatoire : Dépendance à une initialisation par bruit aléatoire non informée, entraînant une instabilité et une convergence lente.
• Faiblesses Spécifiques aux Tâches : Mauvaises performances dans des tâches spécifiques comme la Classification et le Légendage.
• Intensité Computationsnelle : Consommation élevée de ressources (par exemple, plus de 6 heures sur un GPU de 48 Go pour 50 images).
• Transférabilité Inter-Images Limitée : Les perturbations sont étroitement couplées à l'image spécifique sur laquelle elles ont été générées, entravant leur application universelle.

Cette étude aborde ces problèmes en menant une étude de reproductibilité complète de CroPA et en proposant des améliorations pour accroître son Taux de Succès de l'Attaque (ASR), sa convergence et sa transférabilité à travers les images et les modèles.

2. Méthodologie

2.1 Étude de Reproductibilité

Les auteurs ont d'abord reproduit rigoureusement les expériences originales de CroPA sur des VLMs majeurs (Flamingo, BLIP-2, InstructBLIP et LLaVA). Ils ont validé quatre affirmations principales de Luo et al. (2024) :

1. CroPA atteint une transférabilité inter-prompts supérieure par rapport aux bases de référence (Single-P et Multi-P).
2. CroPA maintient sa supériorité de performance même lorsque le nombre de prompts augmente.
3. CroPA converge vers un ASR plus élevé avec l'augmentation des itérations.
4. CroPA surpasse les bases de référence dans des configurations few-shot (apprentissage en contexte).

La reproduction a confirmé les affirmations originales, notant que CroPA surpasse systématiquement les bases de référence, bien qu'elle ait observé une instabilité dans les tendances de convergence pour des tâches spécifiques (par exemple, la Classification) par rapport aux métriques agrégées du papier original.

2.2 Améliorations Proposées

Pour répondre aux limitations identifiées, l'article introduit trois améliorations méthodologiques clés :

A. Initialisation par Bruit via Optimisation de l'Encodage Visuel

Au lieu d'un bruit aléatoire, les auteurs proposent une initialisation informée sémantiquement :

• Synthèse de Cible : Un modèle de diffusion (Stable Diffusion XL) génère une image ($x_{target}$) correspondant au prompt textuel cible.
• Ancrage par Encodeur Visuel : La perturbation initiale ($\delta_{init}$) est dérivée en minimisant l'Erreur Quadratique Moyenne (MSE) entre la représentation de l'encodeur visuel de l'image originale plus la perturbation et la représentation de l'encodeur visuel de l'image cible synthétisée :
  $$\delta_{init} = \arg \min_{\|\delta\|_\infty \le \epsilon} \|f_v(x + \delta) - f_v(x_{target})\|^2_2$$
• Optimisation : Cette initialisation est affinée en utilisant la Descente de Gradient Projetée (PGD) avec une perte MSE, garantissant que la perturbation commence dans une direction sémantiquement significative vers l'objectif adversaire.

B. Guidage des Perturbations via des Vecteurs de Valeur Cible (Intégration D-UAP)

Pour améliorer la transférabilité et la force de l'attaque, les auteurs intègrent une fonction de perte inspirée de la méthode Perturbation Adversaire Doublement Universelle (D-UAP). Cette approche cible la dynamique interne du mécanisme d'attention de l'encodeur visuel :

• Mécanisme : La méthode perturbe les vecteurs de valeur des couches d'attention dans l'encodeur visuel. Elle minimise la perte de similarité cosinus entre les vecteurs de valeur de l'image perturbée et les vecteurs de valeur d'une image de référence correspondant au texte cible.
• Fonction Objectif : La perte finale combine l'objectif min-max standard de CroPA avec la perte des vecteurs de valeur :
  $$\mathcal{L}_{re-CroPA} = \mathcal{L}_{CroPA} - \lambda \mathcal{L}_{d-UAP}$$
  où $\mathcal{L}_{d-UAP}$ encourage l'alignement des vecteurs de valeur de l'image perturbée avec la représentation du texte cible.

C. Transférabilité Inter-Images via l'Augmentation d'Images

Pour atténuer le surajustement aux caractéristiques d'images spécifiques et permettre la transférabilité inter-images, les auteurs intègrent des stratégies d'augmentation de données lors de la génération de perturbations :

• SCMix : Un processus de mélange en deux étapes impliquant un auto-mélange (fusion de patches découpés de la même image) et un croisement-mélange (fusion avec une image secondaire). Cela force le modèle à apprendre des caractéristiques invariantes aux variations spatiales et au mélange inter-images.
• CutMix : Une stratégie de remplacement régional basée sur un masque dur qui force les perturbations à cibler des caractéristiques invariantes spatialement plutôt que des artefacts localisés.

3. Contributions Clés et Résultats

3.1 Validation de la Reproduction

L'étude a reproduit avec succès les résultats originaux de CroPA, confirmant que :

• CroPA atteint un ASR significativement plus élevé que les bases de référence Single-P et Multi-P à travers les tâches VQA, Classification et Légendage.
• CroPA reste robuste même lorsque des exemples d'apprentissage en contexte sont ajoutés lors de l'inférence (configurations few-shot).
• La transférabilité de la méthode est largement indépendante de la signification sémantique ou de la fréquence des mots du texte cible.

3.2 Performance des Améliorations

• Initialisation par Bruit : La stratégie d'initialisation proposée a considérablement amélioré l'ASR. Sur BLIP-2, CroPA+Init a atteint un ASR global de 89,77 % (contre 77,08 % pour CroPA de base) et jusqu'à 94,58 % pour des cibles spécifiques comme "Je suis désolé". Elle a également réduit le nombre d'étapes d'optimisation nécessaires à la convergence.
• Guidage par Vecteurs de Valeur (D-UAP) : L'intégration de la perte des vecteurs de valeur a encore boosté les performances. La méthode CroPA+D-UAP a atteint un ASR global de 96,85 % sur BLIP-2 (une augmentation de 12,5 % par rapport à CroPA de base) et 92,70 % sur OpenFlamingo. Fait notable, cette amélioration était efficace même contre des textes cibles "nuisibles" comme "Bombe", qui déclenchent généralement les garde-fous du modèle.
• Transférabilité Inter-Images : Alors que CroPA de base peine avec la transférabilité inter-images, l'intégration de SCMix a amélioré l'ASR non ciblé global de 43,55 % à 70,55 %, et CutMix l'a amélioré à 55,65 %. Cela démontre que l'augmentation peut partiellement combler le fossé entre la transférabilité inter-prompts et inter-images.

3.3 Analyse de la Transférabilité Inter-Modèles

L'étude a analysé la transférabilité entre des modèles d'architectures différentes (par exemple, de BLIP-2 à Flamingo vs. de BLIP-2 à InstructBLIP).

• Constats : L'amélioration D-UAP a amélioré la transférabilité inter-modèles, en particulier entre des modèles partageant des encodeurs visuels similaires (par exemple, de BLIP-2 à InstructBLIP, où l'ASR a bondi de 50,65 % à 68,50 %).
• Limitation : La transférabilité est restée faible entre des architectures fondamentalement différentes (par exemple, de BLIP-2 à Flamingo), confirmant que le guidage par vecteurs de valeur dépend de l'architecture spécifique de l'encodeur visuel.

4. Signification et Affirmations

L'article prétend fournir un cadre plus robuste pour générer des exemples adverses transférables dans les VLM. Sa signification réside dans :

1. Validation : Confirmer l'existence et la puissance des vulnérabilités adverses inter-prompts dans les VLMs de l'état de l'art.
2. Efficacité et Efficience : Démontrer que l'initialisation informée sémantiquement et les fonctions de perte ciblées peuvent considérablement améliorer les taux de succès des attaques et la vitesse de convergence.
3. Généralisation : Montrer que, bien que la transférabilité inter-prompts et inter-images soient souvent des objectifs concurrents, des techniques comme SCMix peuvent améliorer la généralisation inter-images sans sacrifier les capacités inter-prompts fondamentales.
4. Implications pour la Sécurité : Souligner que les VLMs sont vulnérables à des attaques manipulant les sorties indépendamment du prompt ou de l'architecture du modèle (dans une certaine mesure), posant des risques pour le déploiement réel. Inversement, les auteurs notent que ces perturbations pourraient être utilisées de manière défensive pour protéger des données sensibles en forçant les modèles à émettre un texte prédéterminé et non sensible.

Les auteurs concluent que, bien que leurs améliorations repoussent les limites de dimensions spécifiques de transférabilité, un compromis fondamental existe entre l'optimisation simultanée de la transférabilité inter-prompts, inter-images et inter-modèles. Ils appellent à de futures recherches sur l'optimisation multi-objectifs et la conception d'attaques conscientes de l'architecture pour mieux comprendre et atténuer ces vulnérabilités.