ReFrame: Evidence-Guided Test-Time Safety Alignment in Multimodal Large Language Models

Dans le monde en évolution rapide de l'intelligence artificielle, une nouvelle génération de modèles a émergé, capables de voir et de parler simultanément. Ces systèmes, connus sous le nom de modèles de langage de grande taille multimodaux, ne se contentent pas de traiter du texte ; ils comprennent les images, reliant les détails visuels aux mots écrits pour répondre à des questions, résoudre des problèmes et générer du contenu créatif. Cependant, cette capacité étendue de vision et de raisonnement apporte un nouveau défi complexe : la sécurité. Un attaquant pourrait tromper ces modèles pour qu'ils ignorent leurs règles de sécurité. Un attaquant pourrait cacher une requête malveillante à l'intérieur d'une image ou diviser une instruction dangereuse entre une image et une phrase, confondant le modèle pour lui faire croire que la requête est inoffensive. Cela crée une situation difficile pour les développeurs. Beaucoup des modèles les plus puissants sont des « boîtes noires », ce qui signifie que leurs rouages internes sont cachés et ne peuvent être modifiés ou réentraînés par des utilisateurs externes. Lorsqu'un modèle est déjà déployé et ne peut être modifié, trouver un moyen de le maintenir en sécurité sans briser sa capacité à être utile devient un casse-tête critique.

Des chercheurs explorent des moyens de corriger cela, mais de nombreuses solutions existantes nécessitent l'accès au code interne du modèle ou impliquent un réentraînement coûteux, ce qui est impossible pour les systèmes fermés. Une équipe de scientifiques a maintenant proposé une approche différente appelée ReFrame, une méthode qui agit comme un filtre intelligent avant même que le modèle ne voie la requête de l'utilisateur. Au lieu d'essayer de changer le modèle lui-même, ReFrame intercepte l'image et le texte entrants, les analyse et réécrit la requête en une version plus sûre. Ce processus se déroule entièrement au moment de l'utilisation, sans avoir besoin de toucher aux paramètres internes du modèle ou de le réentraîner sur de nouvelles données. Le système est conçu pour détecter les dangers cachés qui pourraient échapper aux défenses standard tout en garantissant que le modèle répond toujours efficacement aux questions légitimes.

Le cœur du problème identifié par les chercheurs est que ces modèles privilégient souvent l'utilité par rapport à la sécurité. Lorsqu'un utilisateur pose une question, l'impulsion primaire du modèle est d'accomplir la tâche, ce qui peut parfois le conduire à négliger des risques subtils dissimulés dans une image ou une structure de phrase complexe. De plus, une fois qu'un modèle commence à suivre une ligne de raisonnement, il peut rester bloqué sur un chemin dangereux, continuant à générer un contenu non sécurisé même s'il réalise le danger plus tard. Pour résoudre cela, les chercheurs ont construit un système en deux étapes qui utilise une version plus petite et locale d'un modèle d'IA pour agir comme un garde-barrière. Ce garde-barrière ne répond pas directement à la question de l'utilisateur. Au lieu de cela, il examine la requête et crée deux résumés spécifiques, ou « cartes », qui décrivent la situation.

La première carte, la carte de risque, recherche les dangers cachés. Elle demande : Y a-t-il une intention malveillante dissimulée dans l'image ou le texte ? Si la réponse est oui, elle identifie précisément quel est le danger et prévoit comment réécrire la requête pour éliminer la menace. La seconde carte, la carte d'utilité, se concentre sur ce qui doit être préservé. Elle demande : Quelles parties de la requête sont inoffensives et utiles ? Cela garantit que lorsque les parties dangereuses sont supprimées, le modèle ne rejette pas toute la question ou ne refuse pas d'aider sur un sujet qui est en réalité sûr. En séparant le risque de l'utilité, le système peut prendre une décision précise sur la manière de procéder.

Une fois que ces deux cartes sont créées, une seconde étape prend le relais. Cette partie du système combine les informations des deux cartes pour réécrire la requête originale. Si la requête était sûre dès le départ, elle la laisse passer avec seulement des ajustements mineurs. Si la requête contenait un piège caché, le système réécrit l'invite pour orienter le modèle vers une réponse sûre et utile. Par exemple, si un utilisateur demande des instructions sur la façon de commettre un crime mais présente cela comme un scénario de jeu, le système reconnaît l'enrobage de jeu comme un déguisement. Il supprime les instructions du jeu et réécrit l'invite pour demander des alternatives sûres ou légales à la place. Crucialement, le système décide également s'il doit envoyer l'image originale avec le texte réécrit. Parfois, l'image elle-même contient l'indice dangereux, alors le système la bloque. D'autres fois, l'image est inoffensive et nécessaire pour la réponse, elle est donc autorisée à passer.

Les chercheurs ont testé cette méthode sur plusieurs modèles différents, y compris certains des systèmes commerciaux les plus avancés disponibles aujourd'hui. Ils ont utilisé une grande variété de tests conçus pour piéger les modèles afin de les faire enfreindre leurs règles de sécurité, ainsi que des tests pour voir si les modèles pouvaient toujours répondre à des questions normales sur les mathématiques, les sciences et les objets du quotidien. Les résultats ont montré que la nouvelle méthode était très efficace pour arrêter les requêtes malveillantes que d'autres défenses avaient manquées. Elle a réussi à bloquer des attaques où le danger était caché dans la manière dont une image était inversée ou là où le texte était brouillé pour masquer une mauvaise intention. Parallèlement, elle n'a pas rendu les modèles excessivement prudents. Dans les cas où les utilisateurs posaient des questions sûres sur des sujets sensibles comme la médecine ou la chimie, le système a permis aux modèles de fournir des réponses utiles au lieu de refuser d'en parler.

L'étude a également examiné le temps supplémentaire que ce processus prend. Parce que le système utilise un modèle plus petit et local pour effectuer la réécriture avant que le modèle principal ne réponde, cela ajoute un léger délai, mais les chercheurs ont trouvé ce coût gérable. La méthode s'est avérée flexible, fonctionnant bien avec différents types de modèles et différentes tailles de garde-barrière local. Cela suggère que l'approche n'est pas liée à une technologie spécifique mais peut être appliquée largement. Les conclusions indiquent qu'en analysant soigneusement l'intention derrière une paire image-texte et en réécrivant la requête avant qu'elle n'atteigne le modèle principal, il est possible d'améliorer considérablement la sécurité sans sacrifier la capacité du modèle à être utile. Cela offre une voie pratique pour maintenir la sécurité des systèmes d'IA puissants, même lorsque leurs rouages internes ne peuvent être modifiés.