Riepilogo Tecnico: Neutralizzazione Guidata Indotta dalla Struttura (SIGN) per LVLM

1. Enunciato del Problema

I Large Vision Language Models (LVLM) sfruttano gli input di immagine per percepire informazioni visive fini, ma questa capacità introduce una superficie di attacco a livello di pixel. Le perturbazioni avversarie aggiunte alle immagini di input possono indurre comportamenti insicuri del modello, inclusi jailbreaking (generazione di contenuti dannosi), LLM-DoS (induzione di generazioni ripetitive o degenerate) e misclassificazione.

Le strategie di difesa esistenti affrontano limitazioni significative nel contesto LVLM:

• Difese Tradizionali di Visione Artificiale (CV): Metodi come la rimozione del rumore dalle immagini sono spesso progettati per classificatori monomodali e non tengono conto dell'allineamento cross-modale richiesto dagli LVLM, portando a un degrado delle prestazioni.
• Difese Specifiche per LVLM: Gli approcci attuali adattati agli LVLM spesso si basano sul mascheramento di regioni o sul ripristino basato su diffusione. Questi metodi richiedono frequentemente modifiche sostanziali all'immagine, che possono disturbare il contenuto visivo benigno e introdurre un sovraccarico computazionale considerevole, compromettendo l'efficienza dell'inferenza.

Esiste un bisogno critico di un framework di difesa che sia consapevole dell'architettura, leggero e capace di sopprimere i segnali avversari con modifiche minime all'immagine di input, preservando al contempo le prestazioni del compito benigno.

2. Metodologia: Neutralizzazione Guidata Indotta dalla Struttura (SIGN)

Gli autori propongono SIGN, un framework di difesa leggero, plug-and-play che opera senza riaddestramento del modello. Funziona in due fasi principali: Estrazione della Struttura Prior e Neutralizzazione Guidata Dinamica.

2.1 Estrazione della Struttura Prior

Questa fase stima una "Prior Strutturale" che cattura il profilo di risposta spaziale intrinseco del codificatore visivo dell'LVLM.

• Motivazione: Gli autori osservano che per input benigni, il codificatore visivo esibisce un pattern di risposta stabile e dipendente dalla posizione attraverso i campioni. Sebbene il contenuto semantico vari, le risposte aggregate del codificatore rivelano un bias spaziale coerente.
• Aggregazione Strutturale: Utilizzando un insieme di immagini non etichettate, il metodo calcola la norma $L_2$ delle risposte dei token delle patch attraverso tutti i livelli e i campioni. Queste risposte scalari vengono mediate per creare un profilo strutturale monodimensionale $s$.
• Costruzione della Prior: Il profilo viene riorganizzato secondo l'ordinamento canonico dei token dell'LVLM target per formare una mappa Prior Strutturale bidimensionale ($S$). Questa mappa caratterizza il bias di risposta strutturale intrinseco del codificatore piuttosto che il contenuto semantico, fungendo da guida per l'identificazione delle regioni sensibili.

2.2 Neutralizzazione Guidata Dinamica

Data un'immagine attaccata, questa fase converte la Prior Strutturale in una mappa di guida adattiva all'input per sopprimere le perturbazioni.

• Caratterizzazione dell'Anomalia Locale: La Prior Strutturale $S$ viene mappata nello spazio dei pixel dell'immagine di input tramite interpolazione bilineare per creare una mappa nello spazio dei pixel $P(u)$. Simultaneamente, viene calcolato un punteggio di anomalia locale $A(u)$ misurando la deviazione di ogni pixel dalla mediana del suo vicinato locale.
• Punteggio di Intervento: Viene calcolato un punteggio di intervento combinato $q(u)$ come fusione lineare ponderata: $q(u) = \lambda P(u) + (1-\lambda)A(u)$. Questo integra il bias strutturale del codificatore con prove di anomalia specifiche per l'istanza.
• Neutralizzazione Sparsa: I pixel vengono classificati in base ai loro punteggi di intervento. Per garantire efficienza e località, viene applicato un vincolo di vicinato: un pixel viene selezionato per l'intervento solo se il numero di pixel selezionati all'interno della sua finestra locale non supera un budget $k_\rho$.
• Ripristino: I pixel selezionati vengono sostituiti dalla media dei loro vicini non selezionati all'interno della finestra locale. Ciò risulta in una neutralizzazione sparsa e localmente coerente delle perturbazioni avversarie.

3. Contributi Chiave

• Scoperta del Bias Strutturale: Il paper rivela un bias di risposta strutturale stabile nei codificatori visivi degli LVLM che è largamente indipendente dalle semantica del dataset. Questo bias fornisce una prior a livello di modello per la difesa avversaria.
• Framework SIGN: Un meccanismo di difesa leggero che sfrutta questa Prior Strutturale per guidare interventi sparsi a livello di pixel. Non richiede fine-tuning del modello e opera come modulo plug-and-play.
• Efficienza ed Efficacia: Il metodo ottiene alti tassi di successo della difesa con modifiche minime all'immagine (0,5% dei pixel) e bassa latenza (circa 0,16 secondi per immagine), superando le baseline esistenti che si basano su ricostruzioni pesanti o mascheramenti su larga scala.

4. Risultati Sperimentali

Gli autori hanno valutato SIGN su sei LVLM (inclusi LLaVA, InstructBLIP e Qwen-VL) e quattro generatori di attacchi rappresentativi (Visual-Adv, Con-Ins, RECITE, CroPA++).

• Tasso di Successo della Difesa (DSR): SIGN ha raggiunto un tasso medio di successo della difesa superiore all'87% su vari obiettivi di attacco (Jailbreak, LLM-DoS, Induzione in Errore).
• Modifica Minima: La difesa ha richiesto la modifica di solo lo 0,5% dei pixel dell'immagine, significativamente inferiore rispetto alle difese basate su mascheramento (ad esempio AMIA a ~18,75%) o ai metodi di soppressione dell'immagine intera.
• Efficienza: Il tempo di costruzione della difesa ha mediato 0,16 secondi per immagine, introducendo un sovraccarico trascurabile rispetto al tempo di inferenza del modello.
• Preservazione dell'Utilità: SIGN ha preservato le prestazioni del compito benigno, con tassi di successo del compito rimasti quasi identici agli input originali. La similarità coseno tra le rappresentazioni visive originali e difese è rimasta superiore a 0,99, indicando che le semantica visive benigne sono state largamente preservate.
• Robustezza della Prior: Gli esperimenti hanno mostrato che la Prior Strutturale è stabile su diversi dataset sorgente (ad esempio ImageNet, CelebA) e può essere stimata in modo affidabile da soli 10 campioni non etichettati.

5. Significato e Affermazioni

Il paper afferma che SIGN offre un'alternativa pratica e leggera alle difese che richiedono costosi addestramenti del modello o ricostruzioni pesanti dell'immagine. Sfruttando le proprietà strutturali intrinseche del codificatore visivo, SIGN dimostra che una difesa robusta per LVLM può essere ottenuta senza compromettere la qualità o l'efficienza dell'inferenza.

Gli autori posizionano il loro lavoro come evidenziante il potenziale dell'uso degli stessi codificatori visivi per una protezione avversaria efficiente. Notano che, sebbene la loro valutazione copra attacchi rappresentativi, la natura dinamica e adattiva all'input di SIGN rende difficile per le ricette di attacco esistenti ottimizzarsi contro di essa, sebbene riconoscano che gli attacchi completamente adattivi contro questo specifico meccanismo di difesa rimangano un'area per indagini future. Il lavoro conclude che sfruttare le prior strutturali a livello di codificatore è un percorso percorribile verso una difesa LVLM robusta e leggera.