VidDoS: Universal Denial-of-Service Attack on Video-based Large Language Models

Each language version is independently generated for its own context, not a direct translation.

🎬 VidDoS : Comment faire "crasher" le cerveau d'une voiture autonome avec une vidéo ?

Imaginez que vous avez un super-cerveau numérique (un modèle d'intelligence artificielle) qui regarde des vidéos en temps réel pour aider des voitures à conduire seules. Ce cerveau est très intelligent, mais il a un gros défaut : il est très gourmand en énergie et en temps de calcul.

Les chercheurs de cet article ont découvert un moyen de tromper ce cerveau pour qu'il s'emballe complètement, comme un moteur qui tourne dans le vide, jusqu'à ce qu'il soit épuisé et incapable de réagir à temps. Ils appellent cette attaque VidDoS.

Voici comment ça marche, avec des analogies simples :

1. Le Problème : Pourquoi les anciennes attaques ne fonctionnent pas ?

Avant, on savait faire des "trous" dans les images fixes (comme une photo de chat) pour faire dire n'importe quoi à une IA. Mais pour les vidéos, c'est plus compliqué.

L'analogie du tamis : Les vidéos sont traitées comme un gros tamis. Si vous mettez un petit grain de sable (une perturbation) sur une seule image d'une vidéo de 30 secondes, le tamis le filtre et l'IA ne le voit pas.
Le problème du temps : Pour tromper une vidéo image par image, il faudrait modifier chaque seconde en temps réel. C'est trop lent et trop difficile pour un pirate.

2. La Solution : Le "Sticker Magique" (VidDoS)

Au lieu de modifier toute la vidéo, les chercheurs ont créé un sticker universel (une petite image carrée) qu'ils collent dans un coin de l'écran.

L'analogie du leurre : Imaginez que vous collez un petit autocollant brillant dans le coin inférieur droit de la caméra d'une voiture. Peu importe si la voiture regarde une route, un feu rouge ou un chien, l'autocollant est toujours là.
Le résultat : Ce sticker agit comme un aimant pour le cerveau de l'IA. Au lieu de regarder la route, l'IA se focalise obsessionnellement sur ce sticker et commence à "rêver" ou à "bavarder" sans fin.

3. Comment l'IA est piégée ? (La recette secrète)

Pour que l'IA ne s'arrête pas de parler, les chercheurs utilisent trois astuces combinées :

L'Enseignant Masqué : Ils forcent l'IA à apprendre à répéter une phrase très longue et inutile (comme un disque rayé) dès qu'elle voit le sticker.
L'Interdiction de dire "Stop" : Ils empêchent l'IA de dire "Oui", "Non" ou de mettre fin à la conversation. C'est comme si on lui mettait un bouchon dans la bouche pour l'empêcher de conclure.
Le Piège de la Concision : Les voitures autonomes sont entraînées à être rapides et courtes ("Obstacle à gauche !"). L'attaque force l'IA à ignorer cette règle et à devenir un bavard infini.

4. Les Conséquences : Un Danger Réel

C'est ici que ça devient dangereux.

L'Explosion du Temps : Normalement, l'IA répond en 1 seconde. Avec l'attaque, elle peut mettre 15 à 20 secondes pour générer une réponse inutile.
L'Analogie de la Voiture : Imaginez que vous conduisez et que vous devez freiner brusquement. Si votre système de freinage intelligent met 15 secondes à réfléchir parce qu'il est occupé à "bavarder" à cause du sticker, l'accident est inévitable.
Les Chiffres : L'attaque a réussi à faire générer 200 fois plus de texte que d'habitude et a rendu le système 15 fois plus lent.

5. Pourquoi c'est impressionnant ?

Une fois pour toutes : On crée le sticker une seule fois sur un ordinateur puissant, et on peut l'utiliser sur n'importe quelle voiture, n'importe quelle vidéo, en temps réel.
Indétectable : Le sticker est si petit et bien placé qu'un humain ne le remarque même pas en regardant la vidéo.
Résistant : Même si l'IA essaie d'être aléatoire (en changeant son "humeur" ou sa température de calcul), le sticker continue de fonctionner.

En résumé

VidDoS, c'est comme si un pirate collait un petit autocollant magique sur le pare-brise d'une voiture autonome. Dès que la voiture le voit, son cerveau s'emballe, commence à raconter des histoires interminables, et oublie complètement de regarder la route. Cela vide la batterie, bloque le système, et met les passagers en danger immédiat.

Les chercheurs nous disent : "Attention, nos voitures intelligentes sont très fortes, mais elles ont une faille secrète qu'il faut réparer avant qu'un pirate ne l'utilise."

Each language version is independently generated for its own context, not a direct translation.

1. Problématique et Contexte

Les Video-LLM (Modèles de Langage sur Vidéo) sont de plus en plus déployés dans des applications critiques pour la sécurité, telles que la conduite autonome. Cependant, ces systèmes sont vulnérables aux Attaques par Épuisement Énergie-Latence (Energy-Latency Attacks - ELA). Contrairement aux attaques classiques qui visent à tromper la classification, les ELA forcent le modèle à générer des réponses excessivement longues, épuisant ainsi les ressources de calcul (GPU) et augmentant la latence de manière critique.

L'article identifie trois défis majeurs qui rendent les attaques existantes (conçues pour les images statiques) inefficaces sur les Video-LLM :

Dilution temporelle : Les architectures vidéo utilisent un échantillonnage et un regroupement temporels agressifs. Les perturbations appliquées à des images individuelles sont souvent filtrées comme du bruit incohérent lors de l'agrégation des caractéristiques.
Contraintes temps réel : Les méthodes d'optimisation « instance par instance » (calcul de gradients pour chaque frame) sont trop coûteuses pour des flux vidéo continus nécessitant une faible latence.
Manque de généralisation spatiale : Les attaques basées sur des images statiques ne parviennent pas à s'adapter aux contextes visuels dynamiques et changeants des vidéos.

2. Méthodologie : VidDoS

Les auteurs proposent VidDoS, le premier cadre d'attaque universel (instance-agnostique) conçu spécifiquement pour les Video-LLM. L'objectif est de créer un déclencheur universel qui, une fois optimisé, peut être appliqué à n'importe quel flux vidéo sans calcul de gradient en temps réel.

A. Le Déclencheur Universel (Universal Trigger)

Au lieu d'ajouter du bruit pixel par pixel sur toute l'image (ce qui est filtré par le modèle), VidDoS utilise un patch universel concentré spatialement.

Ce patch est une région rectangulaire apprise (remplacement de pixels) injectée de manière symétrique à travers toutes les trames temporelles.
Il est positionné dans une zone périphérique (ex: coin inférieur droit) pour ne pas masquer les objets sémantiques critiques (véhicules, feux) tout en restant imperceptible pour l'observateur humain.
Ce patch agit comme une « anomalie sémantique dense » qui détourne l'attention multimodale du modèle, contournant ainsi les filtres passe-bas temporels.

B. Stratégie d'Optimisation et Objectifs de Perte

Pour forcer le modèle à générer une réponse infiniment longue (comportement de type « Sponge »), VidDoS combine trois mécanismes d'optimisation hors ligne (sur un jeu de données de substitution) :

Forçage de l'Enseignant Masqué (Masked Teacher Forcing) :
- Le modèle est entraîné à prédire une séquence cible longue et coûteuse (« sponge sequence »).
- Une fonction de perte de type cross-entropy est calculée uniquement sur les tokens de la réponse cible, avec un poids accru pour les premiers tokens afin d'ancrer le modèle dans un régime de génération longue dès le début.
Pénalité de Refus (Refusal Penalty) :
- Pour contrer la tendance des modèles à donner des réponses courtes (« Oui/Non »), une pénalité est appliquée sur la probabilité d'émettre des tokens interdits (comme « Yes », « No ») dès la première étape de génération.
Suppression de la Terminaison Précoce (Early-Termination Suppression - ETS) :
- Une pénalité supplémentaire est appliquée pour minimiser la probabilité d'émission du token EOS (End-Of-Sequence) sur une fenêtre de génération initiale, empêchant ainsi le modèle de s'arrêter prématurément.

L'objectif global est une optimisation conjointe de ces trois pertes pour maximiser la longueur de la génération tout en respectant les contraintes de perturbation visuelle ( $\ell_\infty$ ).

3. Contributions Clés

Premier cadre ELA universel pour Video-LLM : VidDoS résout le problème de la dilution temporelle grâce à un patch spatial concentré, rendant l'attaque robuste face aux mécanismes d'agrégation des modèles vidéo.
Efficacité « Entraîné une fois, déployé partout » : Une fois le patch optimisé sur un jeu de données source, il peut être appliqué instantanément à n'importe quel flux vidéo inconnu sans calcul de gradient supplémentaire, ce qui le rend viable pour des attaques en temps réel.
Nouvelles mécaniques d'attaque : L'introduction de la combinaison Masked Teacher Forcing + Refusal Penalty + ETS permet de surmonter les priors de concision des modèles finement ajustés.

4. Résultats Expérimentaux

Les auteurs ont évalué VidDoS sur trois modèles Video-LLM de pointe (LLaVA-NeXT-Video-7B, Qwen3-VL-4B, Video-LLaVA-7B) et trois jeux de données (BDDX, D2-City, VideoSimpleQA).

Expansion de Tokens : VidDoS provoque une expansion massive du nombre de tokens générés. Par exemple, sur le modèle Qwen3-VL avec le jeu de données BDDX, le nombre de tokens a augmenté d'un facteur 197x (passant de ~2 tokens à ~394 tokens).
Latence : La latence d'inférence a été multipliée par plus de 15x par rapport aux bases de référence propres.
Comparaison : Les méthodes adverses existantes (comme Verbose Images ou NICGSlowDown) ont échoué, affichant des ratios de tokens proches de 1.0x, confirmant leur inefficacité sur les vidéos.
Transférabilité : Le patch universel montre une forte transférabilité entre des jeux de données de conduite autonome similaires (BDDX vers D2-City), bien que la performance diminue légèrement lors du transfert vers des domaines sémantiquement très différents (vidéos QA générales).
Robustesse au bruit : L'attaque reste efficace même avec des températures de décodage élevées (jusqu'à T=1.5), ce qui est inhabituel pour les attaques adverses sensibles au bruit stochastique.

5. Analyse de Sécurité et Signification

L'article met en évidence un risque critique pour la sécurité routière. Dans un scénario de conduite autonome en temps réel :

L'attaque injectée provoque un effet cumulatif de latence.
Dans une simulation de flux vidéo, la latence induite dépasse rapidement le seuil critique de 2,72 secondes nécessaire à un conducteur humain pour reprendre le contrôle (prise de relais manuelle).
Cela entraîne des violations de sécurité où le système ne peut plus réagir aux événements critiques à temps.

Conclusion :
VidDoS révèle une vulnérabilité fondamentale des Video-LLM : leur capacité à être piégés dans des boucles de génération infinies par un simple patch visuel universel. Cela souligne l'urgence pour la communauté de développer des mécanismes de défense contre les attaques par épuisement de ressources, en particulier pour les applications critiques où la latence est un facteur de sécurité vital.