Résumé technique : GPO-V : Contournement des modèles de langage-vision par diffusion par optimisation de probabilité globale

Énoncé du problème

Les modèles de langage-vision par diffusion (dVLM) représentent un changement significatif par rapport aux paradigmes génératifs autorégressifs traditionnels, en utilisant des processus itératifs de débruitage non causaux pour des tâches multimodales. Alors que les modèles autorégressifs ont fait l'objet d'alignements de sécurité approfondis pour atténuer les risques adverses, le paysage de sécurité des dVLM reste largement inexploré.

L'article identifie un vide critique : les méthodologies de contournement existantes, spécifiquement l'Optimisation de Préfixe Fixe (FPO) (par exemple, forcer un modèle à commencer par « Bien sûr, voici »), sont largement inefficaces contre les dVLM. Cette inefficacité découle de schémas de refus uniques inhérents aux architectures de diffusion :

1. Refus Immédiat : Le modèle détecte les risques et génère des tokens de terminaison (par exemple, <end>) de manière « arrière vers avant », arrêtant la génération immédiatement.
2. Refus Progressif : Le modèle génère initialement du contenu affirmatif, mais, au cours du processus de raffinement itératif, bascule vers un refus à mesure que des sémantiques non sécurisées émergent.

Les attaques FPO conventionnelles, qui optimisent des préfixes locaux, échouent car la nature de raffinement global des modèles de diffusion agit comme un « correcteur », finissant par remplacer les manipulations de préfixe local par un refus progressif. L'article postule qu'une nouvelle stratégie d'attaque est nécessaire pour contourner ces défenses probabilistes globales.

Méthodologie

1. Inférence heuristique et base théorique

Les auteurs établissent une analogie entre la diffusion d'images et la diffusion de texte. Dans la génération d'images, les premières étapes de débruitage récupèrent des structures sémantiques de basse dimension qui dictent la sortie finale. De même, dans les dVLM, les étapes de génération initiales (faibles pas de temps) déterminent largement la polarité de la réponse. Les prédictions d'attention bidirectionnelle globale à ces premiers stades contraignent la trajectoire générative subséquente.

2. Optimisation de Probabilité Globale (GPO)

Pour exploiter cette vulnérabilité, les auteurs proposent l'Optimisation de Probabilité Globale (GPO), une stratégie conçue spécifiquement pour les modèles de diffusion masquée. Contrairement à la FPO, qui optimise un préfixe fixe, la GPO manipule la distribution de probabilité globale de l'ensemble de la séquence générée.

La fonction de perte GPO ($L_{GPO}$) se compose de deux composantes :

• Perte Globale ($L_{global}$) : Minimise la probabilité de générer des primitives négatives (tokens de refus comme <end>, <eos>, ou phrases de refus) sur toutes les positions de la séquence, en particulier aux étapes initiales et finales des premiers pas de temps. Cela vise à supprimer à la fois les schémas de Refus Immédiat et de Refus Progressif.
• Perte d'Ancrage ($L_{anchor}$) : Maximise la probabilité de tokens positifs « connecteurs » spécifiques (ancres) aux positions intermédiaires. Ces ancres servent de pivots sémantiques stables qui s'accumulent en une réponse positive cohérente, empêchant le modèle de dériver vers un refus progressif.

La perte totale est définie comme suit :
$$L_{GPO} = \lambda_1 L_{global} + \lambda_2 L_{anchor}$$

3. Cadre GPO-V

S'appuyant sur la GPO, les auteurs introduisent GPO-V, le premier cadre de contournement adapté aux dVLM.

• Mécanisme : GPO-V applique des perturbations adverses ($\delta$) à l'image d'entrée (ou à sa représentation latente) pour orienter la distribution de sortie du modèle.
• Optimisation : La perturbation est optimisée pour minimiser $L_{GPO}$ tout en respectant une borne de perturbation ($\|\delta\|_\infty < \epsilon$).
• Flexibilité : Le cadre prend en charge l'optimisation dans l'espace des pixels et dans l'espace latent (en utilisant des encodeurs tels que SigLIP ou DINOv2), les auteurs notant que l'optimisation dans l'espace latent est adoptée pour l'efficacité mais produit des résultats comparables.

Contributions clés

1. Identification des schémas de refus : L'article est le premier à identifier et catégoriser systématiquement deux comportements de refus distincts dans les modèles de langage par diffusion : le Refus Immédiat et le Refus Progressif, révélant les mécanismes de défense sous-jacents des dVLM.
2. Stratégie GPO : La proposition de l'Optimisation de Probabilité Globale, une stratégie novatrice qui contourne les garde-fous de sécurité en supprimant globalement les probabilités de tokens négatifs et en optimisant les pertes d'ancrage, contrastant avec l'optimisation basée sur les préfixes des modèles autorégressifs.
3. Cadre GPO-V : Le développement du premier cadre de contournement de modalité visuelle pour les dVLM. Il démontre que les dVLM sont intrinsèquement fragiles face aux attaques probabilistes globales, malgré leur robustesse apparente face à la FPO.

Résultats expérimentaux

Les auteurs ont évalué GPO-V sur deux modèles de langage-vision par diffusion masquée de pointe : LLaDA-V et LaViDA, en utilisant les jeux de données AdvBench et JailBreakBench.

• Taux de succès de l'attaque (JSR) : GPO-V a atteint un taux de succès de contournement allant jusqu'à 93,2 % sur LLaDA-V et 88,9 % sur LaViDA. En revanche, les bases de référence traditionnelles basées sur la FPO (par exemple, GCG) ont obtenu des taux de succès négligeables (souvent < 2 %).
• Transférabilité : Les perturbations adverses synthétisées par GPO-V ont démontré une forte transférabilité inter-modèles. Les attaques optimisées sur un modèle source ont compromis avec succès des modèles victimes aux architectures hétérogènes (par exemple, transfert de LLaDA-V vers LaViDA) avec des taux de succès dépassant 65 %, indiquant la capture de vulnérabilités agnostiques au modèle.
• Robustesse : La méthode est restée efficace sur différentes configurations de génération, y compris des longueurs de bloc variables et l'utilisation de techniques d'accélération Fast-dLLM.
• Études d'ablation : La suppression soit de la perte globale, soit de la perte d'ancrage a considérablement réduit l'efficacité de l'attaque, confirmant que la suppression des schémas de refus et la stabilisation des ancres positives sont toutes deux nécessaires au succès.

Signification et affirmations

L'article affirme que ses résultats soulignent une lacune de sécurité critique dans les architectures génératives non séquentielles. La signification principale réside dans :

• Remise en question de la robustesse perçue : Les résultats démontrent que la résilience perçue des dVLM face aux contournements conventionnels est trompeuse. Le mécanisme unique de « Refus Progressif », qui agit comme une défense contre les attaques de préfixe local, constitue en soi une vulnérabilité lorsqu'il est ciblé par une optimisation de probabilité globale.
• Nécessité de réévaluation : Les auteurs soutiennent que les paradigmes de défense actuels, largement optimisés pour le décodage causal (autorégressif), sont insuffisants pour la variété générative unique des modèles de diffusion.
• Appel à l'action : Ce travail nécessite une réévaluation immédiate et fondamentale de l'alignement de sécurité des dVLM pour répondre aux risques de la génération basée sur la diffusion, exhortant la communauté de recherche à développer des défenses robustes contre ces menaces non séquentielles émergentes.

L'article conclut que GPO-V expose des vulnérabilités intrinsèques dans le processus de diffusion lui-même, suggérant que l'alignement de sécurité doit évoluer pour prendre en compte les dynamiques probabilistes globales plutôt que simplement la prédiction séquentielle de tokens.