Do Not Leave a Gap: Hallucination-Free Object Concealment in Vision-Language Models

1. Problématique

Les modèles Vision-Langage (VLM) ont démontré des capacités remarquables en compréhension et génération visuelle, mais ils restent vulnérables aux manipulations adverses. Les attaques précédentes visant à dissimuler des objets spécifiques (pour la vie privée ou la sécurité) reposaient principalement sur des mécanismes de suppression ou de blocage des représentations visuelles d'une région d'intérêt (ROI), par exemple en masquant des pixels, en effaçant des patches ou en réduisant les poids d'attention.

Cependant, ces approches créent des gaps sémantiques (vides de représentation) dans l'encodeur visuel. Lorsqu'un VLM est interrogé sur une scène contenant de tels vides, il a tendance à compenser l'absence de preuve visuelle en inventant des objets, des attributs ou des relations plausibles mais incorrects. Ce phénomène, appelé hallucination, est souvent traité comme un effet secondaire inévitable, alors que les auteurs soutiennent qu'il est la conséquence directe de la discontinuité sémantique introduite par les attaques de suppression.

L'objectif de ce travail est de dissimuler un objet cible sans provoquer d'hallucination, en maintenant la cohérence globale de la scène et la continuité des représentations visuelles.

2. Méthodologie : Re-encodage Cohérent avec l'Arrière-plan (BCR)

Les auteurs proposent une nouvelle classe d'attaques appelée Background-Consistent Re-encoding (BCR). Contrairement aux méthodes qui suppriment l'information, BCR ré-encode les représentations visuelles de l'objet cible pour qu'elles soient statistiquement et sémantiquement indiscernables de l'arrière-plan environnant.

Principe Fondamental

L'idée centrale est que l'absence d'objet n'est pas le problème, mais la discontinuité sémantique. BCR vise à préserver la structure des tokens et le flux d'attention, évitant ainsi les "vides" qui déclenchent les mécanismes de compensation du modèle de langage.

Formulation de l'Attaque

L'attaque opère au niveau des pixels via une optimisation d'une perturbation $\delta$ pour générer une image adversaire $x^{adv}$. L'objectif est d'aligner les tokens de la ROI avec les tokens de l'arrière-plan à travers plusieurs couches de l'encodeur Vision Transformer.

La fonction de perte ($\mathcal{L}_{BCR}$) combine quatre composantes clés optimisées sur plusieurs couches intermédiaires :

1. Alignement Statistique ($\mathcal{L}_{stat}$) :
   • Force les statistiques du premier ordre (moyenne) et du second ordre (variance) des features de la ROI à correspondre à celles de l'arrière-plan. Cela élimine les anomalies distributionnelles détectables.
2. Projection sur Dictionnaire ($\mathcal{L}_{dict}$) :
   • Contraint les features de la ROI à être des combinaisons convexes des features de l'arrière-plan. Cela assure que les tokens de la ROI résident sur la variété (manifold) des features de l'arrière-plan, garantissant une continuité sémantique sans supprimer la structure du token.
3. Préservation de l'Arrière-plan ($\mathcal{L}_{pres}$) :
   • pénalise toute déviation des features de l'arrière-plan par rapport à l'image originale, assurant que seule la ROI est modifiée et que la cohérence globale de la scène est maintenue.
4. Régularisation de Variation Totale ($\mathcal{L}_{tv}$) :
   • Encourage des perturbations spatialement lisses au niveau des pixels pour éviter les artefacts visuels perceptibles.

3. Contributions Clés

1. Nouveau Paradigme d'Attaque (BCR) : Introduction d'une méthode qui dissimule les objets en les "fusionnant" avec l'arrière-plan via un ré-encodage, plutôt que par suppression, préservant ainsi le flux d'attention.
2. Cadre d'Optimisation Principé : Développement d'un cadre d'optimisation au niveau des pixels qui impose une cohérence visuelle à travers plusieurs couches de transformateurs, sans modifier les paramètres du modèle.
3. Nouvelles Métriques d'Évaluation : Conception de métriques spécifiques pour évaluer le taux d'hallucination ancrée (grounded hallucination), distinguant les objets nouvellement inventés de ceux qui sont visuellement supportés.
4. Analyse Causale de l'Hallucination : Démonstration empirique que l'hallucination dans les VLM lors de la dissimulation d'objets est causée par la discontinuité de représentation, et non par l'absence de l'objet lui-même.

4. Résultats Expérimentaux

Les expériences ont été menées sur trois modèles VLM de l'état de l'art : LLaVA-1.5, BLIP-2 (avec Flan-T5), et InstructBLIP, sur les datasets ImageNet et COCO.

• Réduction de l'Hallucination :
  • BCR réduit le taux d'hallucination ancrée (Grounded Hallucination) jusqu'à 3 fois par rapport aux méthodes de suppression d'attention (comme VIP).
  • Sur ImageNet avec Instruct-BLIP, le taux d'hallucination passe de 0,43 (VIP) à 0,19 (BCR).
• Préservation de la Scène :
  • BCR préserve jusqu'à 86 % des objets non cibles (Global Preservation), contre environ 57-62 % pour les méthodes de suppression.
  • Le dérive sémantique (Semantic Drift) est considérablement réduite, indiquant que la description globale de l'image reste fidèle à la réalité visuelle.
• Fidélité Perceptuelle :
  • Les images adversaires générées par BCR ont une similarité structurelle (SSIM) plus élevée et une distance perceptuelle (LPIPS) plus faible que les méthodes basées sur le flou ou le masquage, rendant les perturbations moins visibles pour un observateur humain.
• Qualité des Résultats :
  • Les comparaisons qualitatives montrent que tandis que les méthodes de suppression génèrent des objets fantômes (ex: un feu de signalisation dans un parc), BCR remplace l'objet cible par des éléments contextuels plausibles (ex: un oursin marin dans un fond marin) ou le dissimule sans altérer le contexte.

5. Signification et Conclusion

Ce travail apporte une contribution majeure à la compréhension des mécanismes d'hallucination dans les modèles génératifs multimodaux. Il démontre que :

• L'hallucination n'est pas un artefact inévitable de la suppression d'objets, mais une réponse du modèle à une discontinuité sémantique.
• La continuité de représentation est la clé pour maintenir la cohérence des VLM lors de manipulations adverses.

BCR ouvre une nouvelle direction pour l'analyse de robustesse des modèles génératifs, suggérant que pour protéger la vie privée ou dissimuler des informations sans corrompre la compréhension de la scène, il faut préserver la structure sémantique globale plutôt que de simplement effacer des données. Cela a des implications importantes pour le développement de systèmes VLM plus robustes et pour la conception d'attaques de vie privée plus efficaces et moins destructrices.