Enhancing the Safety of Medical Vision-Language Models by Synthetic Demonstrations

1. Il Problema

I Modelli Vision-Language Medici (Med-VLM) generativi sono sempre più utilizzati per supportare le decisioni cliniche, l'analisi di immagini mediche e la generazione automatica di referti. Tuttavia, la loro sicurezza e robustezza in contesti reali rimangono poco esplorate.
I Med-VLM attuali presentano due vulnerabilità critiche:

• Vulnerabilità agli attacchi Jailbreak: I modelli possono essere manipolati tramite input visivi (es. rumore impercettibile aggiunto alle immagini) o testuali (es. suffissi avversariali) per ignorare le loro linee guida di sicurezza e fornire istruzioni dannose (es. come frodare le assicurazioni usando scansioni CT o come simulare malattie).
• Il problema della "Over-Defense" (Eccessiva Difesa): Le strategie di sicurezza esistenti rischiano di rendere il modello troppo cauto, portando al rifiuto di query cliniche benigne e utili. Questo compromette l'utilità pratica del modello in ambito medico, dove è fondamentale rispondere correttamente alle domande legittime.

La sfida principale risiede nel creare dataset di sicurezza specifici per i Med-VLM (costosi a causa della necessità di esperti medici) e nel bilanciare la sicurezza con le prestazioni generali senza richiedere un riaddestramento (fine-tuning) pesante.

2. Metodologia

Gli autori propongono una strategia di difesa a tempo di inferenza (inference-time) basata sull'Apprendimento in Contesto (In-Context Learning - ICL), che non richiede aggiornamenti dei parametri del modello.

A. Generazione di Dimostrazioni Sintetiche

Per superare la mancanza di dati etichettati da esperti, il team genera un dataset sintetico di dimostrazioni cliniche utilizzando Large Language Models (LLM):

• Dimostrazioni Benigne-Affermative (B-A): Generate da un LLM allineato alla sicurezza (GPT-4o), contengono domande cliniche innocue e risposte mediche corrette e affermativi.
• Dimostrazioni Dannose-Rifiuto (H-R): Generate da un LLM non allineato (WizardLM-13B) per creare prompt dannosi/unetici, a cui vengono associate risposte di rifiuto curate da modelli allineati. Questo aggira il blocco dei modelli sicuri che rifiuterebbero di generare le domande dannose stesse.
• Validazione: Le dimostrazioni sono verificate per qualità e coprono nove diverse modalità di imaging (CT, MRI, Raggi X, ecc.) e regioni anatomiche.

B. Strategia di Apprendimento in Contesto (ICL)

Durante l'inferenza, al Med-VLM viene fornito un contesto (prompt) contenente un mix di queste dimostrazioni sintetiche:

• Mixing Strategy: Si combinano dimostrazioni H-R e B-A in un unico contesto.
• Parametro di Bilanciamento ($\alpha$): Viene introdotto un rapporto di miscelazione $\alpha = \frac{n_h}{n_h + n_b}$, dove $n_h$ e $n_b$ sono il numero di dimostrazioni dannose e benigne rispettivamente.
  • Un $\alpha$ alto enfatizza la sicurezza (più esempi di rifiuto).
  • Un $\alpha$ basso preserva le prestazioni generali (più esempi affermativi).
• Obiettivo: Il modello impara a riconoscere e rifiutare le richieste dannose (mimando le risposte H-R) mantenendo la capacità di rispondere alle richieste cliniche legittime (mimando le risposte B-A).

3. Contributi Chiave

1. Dataset Sintetico Scalabile: Creazione di un dataset di dimostrazioni multimodali per la sicurezza dei Med-VLM senza dipendere da costosi esperti umani.
2. Strategia di Difesa ICL: Dimostrazione che l'ICL su dimostrazioni sintetiche è efficace per proteggere i Med-VLM esistenti (anche non allineati sulla sicurezza multimodale) contro attacchi jailbreak visivi e testuali.
3. Soluzione al problema dell'Over-Defense: Identificazione del fatto che l'over-defense si verifica principalmente con budget di poche dimostrazioni (few-shot). Proposta di una strategia di dimostrazione mista che bilancia sicurezza e utilità, mitigando il rifiuto eccessivo delle query benigne.
4. Analisi del Landscape di Perdita: Spiegazione teorica ed empirica del perché le dimostrazioni H-R rendono più difficile l'attacco: modificano il "loss landscape" del modello, rendendo più difficile per gli attaccanti ottimizzare i prompt per bypassare le difese.

4. Risultati Sperimentali

Gli esperimenti sono stati condotti su Llava-Med-v1 e Llava-Med-v1.5 utilizzando il benchmark O2M (660 immagini mediche con query dannose e benigne).

• Efficacia contro gli Attacchi:
  • L'uso di sole dimostrazioni H-R riduce drasticamente il Tasso di Successo dell'Attacco (ASR). Ad esempio, su Llava-Med-v1, l'ASR scende dal 72.58% (baseline) al 17.88% con solo 2 dimostrazioni.
  • La strategia mista mantiene un'ASR bassa anche sotto attacchi jailbreak avanzati (PGD per immagini, GCG per testo).
• Gestione dell'Over-Defense:
  • Con sole dimostrazioni H-R e budget ridotto (few-shot), si osserva un alto Tasso di Rifiuto (RR) per query benigne (es. 30.56% su Llava-Med-v1), indicando un rifiuto eccessivo.
  • La strategia mista (Mix 3, mescolamento casuale) riduce significativamente l'RR mantenendo un'ASR bassa. Ad esempio, con un mix appropriato, il modello rifiuta le richieste dannose ma risponde correttamente a quelle cliniche legittime.
• Analisi del Mixing:
  • È stato scoperto che l'ordine delle dimostrazioni conta. Mescolare casualmente (Mix 3) offre il miglior compromesso tra robustezza e usabilità rispetto a mettere tutte le H-R prima o dopo le B-A.

5. Significato e Implicazioni

Questo lavoro è significativo perché:

• Leggerezza: Offre una soluzione di sicurezza che non richiede il riaddestramento (fine-tuning) di modelli medici complessi, rendendola applicabile a modelli "black-box" o con risorse computazionali limitate.
• Bilanciamento Pratico: Risolve il dilemma tra sicurezza e utilità, un problema critico per l'adozione clinica dell'IA. Dimostra che è possibile proteggere i modelli senza renderli inutilizzabili per i medici.
• Generalizzabilità: La metodologia è valida su diverse modalità di imaging (CT, MRI, ecc.) e su diversi modelli base, suggerendo un approccio robusto e scalabile per la sicurezza dei sistemi medici basati sull'IA.

In sintesi, gli autori dimostrano che l'uso intelligente di esempi sintetici in contesto permette di "istruire" i Med-VLM a comportarsi in modo sicuro durante l'uso, offrendo un compromesso ottimale tra protezione da attacchi malevoli e mantenimento delle capacità diagnostiche.