Adversarial Diffusion Across Modalities: A Fusion Survey of Attacks, Defenses, and Evaluation for Text, Vision, and Vision-Language Models

Résumé Technique : Diffusion Adversaire à travers les Modalités

Énoncé du Problème
Le déploiement des modèles de langage de grande taille (LLM) dans des domaines à enjeux élevés nécessite une évaluation rigoureuse de la sécurité, principalement par le biais du « red teaming » (tests d'intrusion). Bien que la littérature sur le red teaming ait mûri, elle reste fragmentée en quatre pistes de recherche largement déconnectées : (1) les attaques basées sur la diffusion contre le texte et les LLM, (2) les attaques basées sur la diffusion contre les classificateurs d'images, (3) les pipelines de jailbreak contre les modèles de vision-langage (VLM), et (4) les défenses de purification d'entrée basées sur la diffusion. Chaque piste opère avec son propre vocabulaire, ses modèles de menace et ses bancs d'essai. Par conséquent, les chercheurs entrant dans l'intersection des modèles de diffusion et des attaques adverses manquent d'une référence consolidée décrivant l'état de l'art, la diversité méthodologique et les lacunes d'évaluation. Plus précisément, la littérature sur l'utilisation des modèles de diffusion comme générateurs adverses contre les LLM est restreinte (seulement quatre articles publiés au moment de la rédaction) bien que méthodologiquement diversifiée, tandis que la littérature mature du domaine de l'image offre des recettes spécifiques qui n'ont pas encore été portées vers le texte.

Méthodologie
Ce travail est une revue narrative avec évaluation de la qualité, distincte d'une revue systématique conforme à la norme PRISMA. Les auteurs ont mené une recherche structurée dans les principales bases de données (arXiv, Google Scholar, IEEE Xplore, ACM Digital Library, etc.) et conférences (NeurIPS, ICML, CVPR, ACL, USENIX Security, etc.) en utilisant des mots-clés combinant « modèle de diffusion » avec « adversaire », « jailbreak » et « red teaming ».

• Sélection : La recherche initiale a produit 154 enregistrements candidats. Après un examen des titres/résumés et une revue de l'éligibilité du texte intégral, 50 articles ont été retenus pour le catalogue.
• Périmètre : Le catalogue comprend :
  • 4 articles sur les attaques basées sur la diffusion contre le texte/les LLM (Famille A).
  • 18 articles sur les attaques basées sur la diffusion contre les classificateurs d'images (Famille D).
  • 10 articles sur les attaques basées sur la diffusion contre les VLM (Famille E).
  • 4 articles sur les défenses basées sur la diffusion pour les modèles de texte/multimodaux (Famille C).
  • 4 articles sur les LLM de diffusion comme victimes (Famille B, inclus comme contexte adjacent).
  • 10 lignes de base non-diffusion pour comparaison.
• Contrôle Qualité : Un contrôle d'accord post-hoc supplémentaire a été effectué en utilisant deux agents LLM indépendants pour vérifier la règle d'inclusion, produisant un coefficient $\kappa$ de Cohen de 0,781.
• Synthèse des Données : Pour chaque article, les auteurs ont extrait les rôles de la diffusion, les formulations, les méthodes d'entraînement, les jeux de données, les métriques, les modèles cibles et la disponibilité du code.

Contributions Clés

1. Taxonomie Unifiée des Rôles de la Diffusion : L'article propose une taxonomie en six classes catégorisant la manière dont les modèles de diffusion fonctionnent dans les pipelines adverses :

   • Générateur Entraîné : Le modèle de diffusion est entraîné de bout en bout avec un objectif d'attaque.
   • Gel avec Perturbation Latente : Inversion DDIM plus mises à jour de gradients dans l'espace latent (courant dans les attaques d'images).
   • Gel avec Guidage par Score/Classificateur : Gradients adverses injectés dans le processus de diffusion inverse (SDE) pendant l'échantillonnage.
   • Inférence Prête à l'Emploi (Off-the-Shelf) : Utilisation d'un LLM de diffusion pré-entraîné sans entraînement ni optimisation (ex: inpainting conditionnel à la réponse).
   • Rendu de Pipeline Uniquement : La diffusion génère du contenu (images/scènes) qui sert d'entrée à un canal d'attaque séparé ; aucun gradient ne circule à travers l'échantillonneur.
   • Modèle de Diffusion Victime : Le modèle de diffusion lui-même est la cible de l'attaque.
     Cette taxonomie est augmentée par un axe de modèle de menace (connaissance de l'attaquant, accès aux requêtes, accessibilité de la cible).

2. Cadre d'Évaluation à Cinq Dimensions : Les auteurs introduisent un cadre unifié pour comparer les attaques à travers les modalités, composé de :

   • Taux de Succès de l'Attaque (ASR).
   • Transferabilité (succès à travers différents modèles cibles).
   • Budget de Requêtes (nombre d'appels de modèle/redémarrages).
   • Perplexité (indicateur pour l'évasion des filtres d'entrée).
   • Évasion de Défense (performance face aux purificateurs comme DiffPure, DiffuseDef ou CoDefend).

3. Fusion Cross-Modalité : La revue intègre 50 articles de quatre flux auparavant déconnectés (texte/LLM, classificateur d'image, VLM, défense) dans un cadre conceptuel unique, fournissant un catalogue complet et un tableur public contenant les métadonnées pour tous les travaux inclus.

4. Perspective Duale Attaquant-Défenseur : La revue couvre quatre défenses basées sur la diffusion (trois pour les classificateurs de texte, une pour les LLM multimodaux) comme toile de fond d'évaluation naturelle pour les nouvelles attaques, soulignant l'asymétrie entre la prolifération des attaques et les défenses sous-auditées.

Résultats et Constats

• État de l'Art (Texte/LLM) : La littérature sur les attaques basées sur la diffusion contre les LLM est naissante (4 articles) mais diversifiée. Les approches incluent le débruitage latent continu avec Gumbel-Softmax (DiffusionAttacker), la perturbation de l'espace d'embedding sous contraintes de proximité (DART), et l'inférence sans entraînement sur des LLM de diffusion masqués pré-entraînés (Lüdke et al.).
• État de l'Art (Image/VLM) : Le domaine de l'image est mature, utilisant des recettes telles que l'inversion DDIM, le guidage par score et la rétropropagation segmentée. Les attaques VLM sont dominées par des utilisations de type « pipeline uniquement » où la diffusion rend des images pour des attaques dans l'espace des pixels, avec peu d'exploitations directes des gradients de diffusion.
• Écarts de Performance :
  • Écart des Modèles Fermés : Les attaques basées sur la diffusion montrent des taux de succès nettement inférieurs sur les modèles fermés de pointe (ex: GPT-4o, Claude-3.5) par rapport aux modèles à poids ouverts. Par exemple, IDEATOR a atteint 94 % d'ASR sur MiniGPT-4 mais seulement 19,65 % sur Claude-3.5.
  • Dépendance au White-Box : Trois des quatre articles d'attaque textuelle reposent sur les gradients white-box du modèle cible pendant l'entraînement, limitant l'applicabilité directe aux systèmes fermés.
  • Sous-utilisation de la Diffusion Discrète : Aucun article publié ne combine un véritable échantillonneur de diffusion discrète (ex: D3PM, SEDD) avec une récompense de nocivité explicite et une évaluation à grande échelle (ex: HarmBench).
  • Évasion de Défense : Les attaques textuelles actuelles testent rarement leur efficacité contre les filtres d'entrée modernes (ex: Llama-Guard, SmoothLLM). Une faible perplexité rapportée est nécessaire mais insuffisante comme preuve d'évasion de filtre.
  • Limitation du Tour Unique : Toutes les attaques de diffusion textuelles produisent des prompts à coup unique, échouant à exploiter le conditionnement bidirectionnel de la diffusion pour les attaques de dialogue multi-tours.

Signification et Revendications
L'article se positionne comme un exercice critique de « fusion d'informations » qui réduit les efforts dupliqués entre les communautés de la sécurité du NLP, de la robustesse adversaire et de la modélisation générative. Sa principale signification réside dans :

• Clarification du Paysage : Fournir la première référence consolidée pour la génération adversaire basée sur la diffusion, en distinguant les méthodes qui exploitent les gradients de diffusion de celles qui utilisent la diffusion comme un moteur de rendu boîte noire.
• Identification des Lacunes de Recherche : Souligner explicitement cinq faiblesses récurrentes dans la littérature actuelle côté LLM (dépendance au white-box, manque de diffusion discrète, faible évaluation de la défense, restriction au tour unique et manque de red teaming contraint).
• Définition de l'Agenda : Proposer des directions de recherche concrètes, notamment la nécessité d'attaques adaptatives qui rétropropagent à travers les purificateurs de texte basés sur la diffusion (DiffuseDef, MaskPure, CoDefend), une lacune qui n'a pas encore été abordée dans la littérature publiée.
• Position Éthique : Les auteurs soulignent que la consolidation de cette littérature est bénéfique pour les défenseurs et les décideurs, en privilégiant l'identification des lacunes d'évaluation et des vulnérabilités de défense plutôt que la reproduction de charges utiles malveillantes.

La revue conclut que bien que les attaques basées sur la diffusion sur les LLM soient un domaine jeune avec un petit nombre de papiers représentatifs, elles offrent un espace méthodologique substantiel pour des travaux de suivi, particulièrement pour combler le fossé entre les techniques du domaine de l'image et l'évaluation de la sécurité textuelle.