ProjLens: Unveiling the Role of Projectors in Multimodal Model Safety

1. Il Problema

I Modelli Linguistici Multimodali (MLLM) hanno raggiunto risultati eccezionali nella comprensione e generazione cross-modale, ma la loro diffusione è minacciata da vulnerabilità critiche di sicurezza, in particolare gli attacchi backdoor.
Mentre lavori precedenti hanno dimostrato la fattibilità di iniettare backdoor tramite avvelenamento dei dati di fine-tuning, i meccanismi sottostanti rimangono opachi. La comunità scientifica non ha ancora compreso appieno come e dove questi backdoor multimodali operino all'interno dell'architettura del modello, rendendo difficile lo sviluppo di strategie di difesa robuste. Inoltre, la maggior parte delle ricerche si concentra sull'efficacia dell'attacco o sull'interpretabilità delle capacità del modello, trascurando l'analisi meccanicistica della sicurezza.

2. Metodologia: Il Framework ProjLens

Gli autori propongono ProjLens, un framework di interpretabilità progettato per smascherare i meccanismi dei backdoor negli MLLM, focalizzandosi specificamente sul proiettore (il modulo che allinea le rappresentazioni visive con lo spazio semantico del LLM).

Il framework analizza il ciclo di vita del backdoor attraverso tre dimensioni spaziali:

1. Spazio delle Caratteristiche (Feature Space):

   • Viene introdotto il Visual Trigger Probe (VTP), un classificatore binario apprendibile.
   • Obiettivo: Verificare se le discrepanze indotte dal trigger visivo sono separabili nello spazio latente delle rappresentazioni visive generate dal proiettore.
   • Risultato: Conferma che i pattern del trigger vengono mappati in regioni distinguibili dello spazio latente.

2. Spazio dei Pesi (Weight Space):

   • Viene analizzato l'aggiornamento dei pesi del proiettore ($\Delta W$) tramite Decomposizione ai Valori Singolari (SVD) e analisi dell'attivazione dei neuroni.
   • Obiettivo: Individuare se esistono "neuroni trigger" specifici o se i parametri critici del backdoor sono distribuiti in modo diffuso.
   • Risultato: Scoperta di un paradosso: gli aggiornamenti globali appaiono a pieno rango e privi di neuroni dedicati, ma i parametri critici risiedono in un sottospazio a basso rango.

3. Spazio degli Embedding (Embedding Space):

   • Viene studiata la trasformazione geometrica indotta dal backdoor sugli embedding visivi.
   • Obiettivo: Visualizzare come i token visivi vengono spinti semanticamente verso l'output malevolo.
   • Risultato: Identificazione di un vettore di deriva universale (Universal Drift Vector) che sposta le rappresentazioni verso l'obiettivo dell'attaccante.

3. Contributi Chiave e Scoperte Principali

Lo studio rivela tre scoperte fondamentali che sfatano le intuizioni comuni sui backdoor nei LLM testuali:

• Struttura a Basso Rango (Low-Rank Structure):
  Contrariamente all'aspettativa che un backdoor richieda modifiche diffuse o neuroni specifici, i parametri essenziali per l'attivazione del backdoor sono codificati in un sottospazio a basso rango del proiettore.

  • Implicazione: Rimuovendo o recuperando solo le componenti principali (rank-k) dei residui dei pesi, è possibile eliminare o ricostruire il backdoor con alta precisione, preservando l'utilità del modello.

• Meccanismo di Attivazione "Trojan Projection":
  Gli autori formulano l'ipotesi della "Proiezione Trojan". Il backdoor non agisce attivando neuroni specifici, ma crea un vettore di deriva universale ($v_0$) nello spazio degli embedding.

  • Questo vettore spinge semanticamente tutte le rappresentazioni visive verso l'output malevolo.
  • L'intensità di questo spostamento è determinata dal vettore singolare sinistro ($u_0$), che è linearmente correlato alla norma L2 delle feature visive di input.
  • Spiegazione: I trigger visivi alterano la norma delle feature locali; poiché la norma è più alta per le immagini avvelenate, lo spostamento verso l'output malevolo è sufficientemente forte da attivare il backdoor, mentre per le immagini pulite lo spostamento è troppo debole per cambiare il comportamento (anche se aumenta la probabilità latente dell'output malevolo).

• Vulnerabilità del Solo Proiettore:
  Dimostrano che il fine-tuning esclusivo del proiettore (mantenendo encoder visivo e LLM congelati) è sufficiente per iniettare backdoor multimodali efficaci, rendendo il proiettore un punto critico di vulnerabilità.

4. Risultati Sperimentali

Gli esperimenti sono stati condotti su LLaVA-1.5-7B con quattro varianti di backdoor: Rifiuto Mirato, Iniezione Malevola, Dirottamento Percettivo e Jailbreak.

• Efficacia dell'Attacco: Il fine-tuning solo sul proiettore ha raggiunto tassi di successo dell'attacco (ASR) molto elevati (es. >98% per l'iniezione malevola e >97% per il dirottamento percettivo), mantenendo al contempo le capacità generali del modello su dataset puliti.
• Mitigazione e Recupero:
  • Mitigazione: Rimuovendo la componente rank-1 dei residui dei pesi ($\Delta W$), l'ASR è crollato drasticamente (es. da 91.80% a 0% o valori trascurabili) mentre l'utilità del modello è stata ripristinata (es. da 6.01% a 65.57% in termini di accuratezza).
  • Recupero: Aggiungendo solo le componenti rank-k (es. rank-3) dei residui a un modello pulito, è stato possibile ricostruire il backdoor con un ASR superiore all'80%.
• Analisi dei Neuroni: Non è stata trovata alcuna evidenza di "neuroni cattivi" (neuroni che si attivano solo con il trigger). Le distribuzioni di attivazione e frequenza sono quasi identiche tra campioni puliti e avvelenati, confermando che il meccanismo non è basato su neuroni specifici ma su una trasformazione geometrica globale.

5. Significato e Impatto

Il lavoro ProjLens è significativo per diversi motivi:

1. Cambio di Paradigma: Sposta il focus dalla semplice osservazione del successo dell'attacco alla comprensione meccanicistica del "come" e "perché" funzionano i backdoor multimodali.
2. Nuova Vulnerabilità: Identifica il proiettore come un vettore di attacco critico e dimostra che le modifiche a basso rango sono sufficienti per compromettere la sicurezza.
3. Strategie di Difesa: Fornisce una base solida per nuove tecniche di difesa. Poiché il backdoor risiede in un sottospazio a basso rango, tecniche di pulizia dei pesi (weight pruning) basate su SVD potrebbero essere estremamente efficaci ed efficienti per neutralizzare le minacce senza riaddestrare l'intero modello.
4. Dual-Use: Sebbene i risultati possano teoricamente essere usati per creare backdoor più stealthy, l'autorità del paper sottolinea che la trasparenza sui meccanismi interni è un passo necessario per costruire sistemi multimodali sicuri e robusti.

In sintesi, ProjLens svela che i backdoor multimodali non sono "mostri" nascosti in neuroni specifici, ma sottili distorsioni geometriche a basso rango nello spazio delle rappresentazioni, guidate dalla magnitudine delle feature visive.