Riepilogo Tecnico: MM-POISONRAG

Enunciato del Problema

La Generazione Aumentata dal Recupero (RAG) è diventata una pratica standard per i Modelli Linguistici Multimodali su Larga Scala (MLLM) al fine di migliorare il fondamento fattuale e mitigare le allucinazioni recuperando contesti testuali e visivi esterni. Tuttavia, questa dipendenza da Basi di Conoscenza (KB) esterne introduce una vulnerabilità di sicurezza critica: l'avvelenamento delle conoscenze multimodali. A differenza dei corpora di addestramento curati, le KB esterne sono spesso aperte, consentendo agli avversari di iniettare contenuti malevoli. Sebbene l'avvelenamento della RAG basata solo su testo sia stato studiato, le ricerche esistenti indicano che gli attacchi basati solo su testo sono insufficienti per compromettere il processo di recupero cross-modale nei sistemi multimodali. Inoltre, i precedenti studi sull'avvelenamento multimodale si sono concentrati prevalentemente su scenari in cui gli utenti caricano immagini, lasciando largamente inesplorata la minaccia di avvelenare il recupero di coppie immagine-testo a partire da query testuali. Questo articolo affronta il vuoto nella comprensione di come contenuti multimodali avversari possano essere iniettati nelle KB esterne per interrompere sia la fase di recupero che quella di generazione delle pipeline RAG multimodali.

Metodologia

Gli autori introducono MM-POISONRAG, un framework sistematico progettato per studiare ed eseguire attacchi di avvelenamento delle conoscenze sui sistemi RAG multimodali. Il framework opera all'interno di una pipeline composta da una KB multimodale, un recuperatore (ad esempio CLIP), un riordinatore (reranker) MLLM e un generatore MLLM.

Gli autori definiscono due nuove strategie di attacco adattate a diversi modelli di minaccia e livelli di accesso:

1. Attacco di Avvelenamento Localizzato (LPA)

LPA è un attacco mirato progettato per manipolare l'output del modello per una specifica query ($Q_i$) trasformandolo in una risposta errata definita dall'attaccante ($A^{adv}_i$).

• Meccanismo: L'attaccante inietta una singola coppia immagine-testo avvelenata $(I^{adv}_i, T^{adv}_i)$ nella KB. La didascalia $T^{adv}_i$ è elaborata per essere semanticamente coerente con la query ma fattualmente errata, e l'immagine $I^{adv}_i$ è sintetizzata per corrispondere alla didascalia.
• Modelli di Minaccia:
  • LPA-BB (Black-Box): L'attaccante non ha accesso agli interni del modello. Utilizza un LLM (GPT-4) per generare una didascalia fuorviante e un modello di diffusione (Stable Diffusion) per generare un'immagine corrispondente.
  • LPA-Rt (White-Box Retriever): L'attaccante ha accesso ai parametri del recuperatore. Ottimizza iterativamente l'immagine avversaria $I^{adv}_i$ mediante ascesa del gradiente per massimizzare la similarità del coseno tra l'embedding dell'immagine e l'embedding della query, garantendo che la voce avvelenata venga recuperata al posto della verità fondamentale.

2. Attacco di Avvelenamento Globalizzato (GPA)

GPA è un attacco non mirato progettato per interrompere le prestazioni del sistema su tutte le query utilizzando una singola voce avversaria irrilevante per la query.

• Meccanismo: L'attaccante inietta una singola coppia immagine-testo $(I^{adv}, T^{adv})$ che è semanticamente irrilevante per qualsiasi query specifica ma è ottimizzata per apparire universalmente pertinente.
• Modelli di Minaccia:
  • GPA-Rt: L'attaccante ottimizza un singolo embedding di immagine per massimizzare la similarità con il centroide di tutti gli embedding delle query nel compito, causando il suo recupero per qualsiasi query. La didascalia è elaborata per orientare il riordinatore verso "Sì".
  • GPA-RtRrGen: L'attaccante ha pieno accesso white-box al recuperatore, al riordinatore e al generatore. Ottimizza congiuntamente l'immagine per massimizzare la similarità di recupero, i punteggi di rilevanza del riordinatore e la conformità del generatore (ad esempio, forzando l'output "Spiacenti" indipendentemente dalla query).

Configurazione Sperimentale

Il framework è stato valutato su due benchmark di QA multimodali: MultimodalQA e WebQA. Gli esperimenti hanno utilizzato vari recuperatori (CLIP, OpenCLIP, SigLIP) e MLLM (LLaVA, Qwen-VL-Chat) per il riordinamento e la generazione. Lo studio ha valutato i tassi di successo degli attacchi in diverse configurazioni (ad esempio, numero di contesti recuperati $N$, contesti riordinati $K$, e inclusione delle didascalie).

Risultati Chiave

Efficacia degli Attacchi

• Avvelenamento Localizzato (LPA): Anche in un setting black-box completo (LPA-BB), l'attacco ha raggiunto fino al 46,4% di accuratezza nelle risposte avvelenate. Quando l'attaccante aveva accesso al recuperatore (LPA-Rt), il tasso di successo è aumentato significativamente, raggiungendo un'accuratezza del 56,8% e un richiamo di recupero del 88,8% per il contesto avvelenato su MultimodalQA.
• Avvelenamento Globalizzato (GPA): GPA si è rivelato devastantemente efficace. Con una sola voce avvelenata, GPA-Rt ha fatto crollare il richiamo di recupero all'1,6% (MultimodalQA) e allo 0,0% (WebQA). La variante GPA-RtRrGen ha portato l'accuratezza della risposta finale allo 0% su tutte le query, annullando efficacemente l'intera pipeline.
• Trasferibilità: Gli attacchi LPA-Rt ottimizzati per CLIP hanno dimostrato una forte trasferibilità verso altri recuperatori (OpenCLIP, SigLIP) senza ri-ottimizzazione, raggiungendo alti tassi di successo anche quando il recuperatore target era sconosciuto all'attaccante. GPA-Rt ha mostrato una trasferibilità più debole ma ha comunque causato un'interruzione significativa.

Inefficacia delle Difese Esistenti

Gli autori hanno valutato diversi meccanismi di difesa esistenti, riscontrandoli largamente inefficaci contro l'avvelenamento multimodale:

• Difesa tramite Parafrasi: La modifica della query tramite parafrasi non ha prevenuto gli attacchi.
• Filtraggio basato sulla Perplexity: Ha fallito nel rilevare le voci avvelenate, poiché la loro perplexità rimaneva indistinguibile dalle risposte benigne.
• Rilevamento di Immagini Avversarie: Il squeezing delle caratteristiche e altri rilevatori basati su perturbazioni hanno raggiunto un'accuratezza di rilevamento dello 0%.
• Audit Multimodale:
  • Coerenza basata su CLIP: Ha fallito nel rilevare gli attacchi perché le immagini avvelenate sono state ottimizzate per allinearsi fortemente alle loro didascalie.
  • Rilevamento di Anomalie: I rilevatori combinati testo/immagine hanno raggiunto solo circa il 10% di rilevamento per LPA-BB e meno del 4% per GPA.

Significato e Affermazioni

L'articolo afferma di presentare il primo framework sistematico per lo studio dell'avvelenamento delle conoscenze nei sistemi RAG multimodali end-to-end. I suoi contributi principali sono:

1. Rivelazione delle Vulnerabilità Cross-Modali: Lo studio dimostra che la RAG multimodale è unicamente vulnerabile a causa della sua dipendenza dall'allineamento cross-modale. Le immagini avversarie possono manipolare i punteggi di similarità per dominare il recupero, un vettore non sfruttabile dall'avvelenamento basato solo su testo.
2. Fattibilità degli Attacchi Black-Box: I risultati mostrano che anche gli attaccanti senza accesso interno al modello (black-box) possono compromettere con successo i sistemi RAG multimodali, in particolare sfruttando modelli surrogati per l'ottimizzazione.
3. Impatto Catastrofico dell'Iniezione Minima: L'Attacco di Avvelenamento Globalizzato dimostra che una singola voce avversaria può degradare le prestazioni del sistema fino a un'accuratezza vicina allo zero, evidenziando la fragilità della dipendenza da KB esterne.
4. Divario di Difesa: L'articolo stabilisce che le difese progettate per la RAG basata solo su testo o per esempi avversari standard di visione artificiale sono insufficienti per la RAG multimodale, sottolineando l'urgente necessità di strategie di difesa dedicate e consapevoli della modalità.

Gli autori concludono che MM-POISONRAG getta le basi per future ricerche volte a proteggere i framework RAG multimodali dall'avvelenamento delle conoscenze, sottolineando che l'attuale affidamento su fonti di conoscenza esterne senza verifica robusta pone un rischio significativo per l'affidabilità degli MLLM.