Adversarial Diffusion Across Modalities: A Fusion Survey of Attacks, Defenses, and Evaluation for Text, Vision, and Vision-Language Models

Sintesi Tecnica: Avversarietà della Diffusione tra le Modalità

Problematica
L'implementazione dei Large Language Models (LLM) in domini ad alto rischio richiede una valutazione rigorosa della sicurezza, principalmente attraverso il red teaming. Sebbene la letteratura sul red teaming sia maturata, essa rimane frammentata in quattro tracce di ricerca largamente disconnesse: (1) attacchi basati sulla diffusione su testo e LLM, (2) attacchi basati sulla diffusione su classificatori di immagini, (3) pipeline di jailbreak contro i modelli vision-language (VLM) e (4) difese basate sulla purificazione dell'input tramite diffusione. Ogni traccia opera con il proprio vocabolario, modelli di minaccia e benchmark. Di conseguenza, i ricercatori che entrano nell'intersezione tra modelli di diffusione e attacchi avversari mancano di un riferimento consolidato che descriva lo stato dell'arte, la diversità metodologica e le lacune di valutazione. Nello specifico, la letteratura sull'uso dei modelli di diffusione come generatori avversari contro gli LLM è esigua (solo quattro articoli pubblicati al momento della scrittura) ma metodologicamente diversificata, mentre la matura letteratura nel dominio delle immagini offre ricette specifiche che non sono ancora state trasposte nel testo.

Metodologia
Questo lavoro è una revisione narrativa con valutazione della qualità, distinta da una revisione sistematica conforme a PRISMA. Gli autori hanno condotto una ricerca strutturata attraverso i principali database (arXiv, Google Scholar, IEEE Xplore, ACM Digital Library, ecc.) e i convegni (NeurIPS, ICML, CVPR, ACL, USENIX Security, ecc.) utilizzando parole chiave che combinano "diffusion model" con "adversarial", "jailbreak" e "red teaming".

• Selezione: La ricerca iniziale ha prodotto 154 record candidati. Dopo lo screening di titoli/abstract e la revisione dell'ammissibilità del testo completo, 50 articoli sono stati trattenuti per il catalogo.
• Ambito: Il catalogo include:
  • 4 articoli su attacchi basati sulla diffusione su testo/LLM (Famiglia A).
  • 18 articoli su attacchi basati sulla diffusione su classificatori di immagini (Famiglia D).
  • 10 articoli su attacchi basati sulla diffusione su VLM (Famiglia E).
  • 4 articoli su difese basate sulla diffusione per modelli testuali/multimodali (Famiglia C).
  • 4 articoli su LLM di diffusione come vittime (Famiglia B, inclusi come contesto adiacente).
  • 10 baseline non basate sulla diffusione per il confronto.
• Controllo Qualità: È stato eseguito un controllo di accordo post-hoc supplementare utilizzando due agenti LLM indipendenti per verificare la regola di inclusione, ottenendo un coefficiente di Cohen $\kappa$ di 0,781.
• Sintesi dei Dati: Per ogni articolo, gli autori hanno estratto ruoli di diffusione, formulazioni, metodi di addestramento, dataset, metriche, modelli target e disponibilità del codice.

Contributi Chiave

1. Tassonomia Unificata dei Ruoli della Diffusione: Il documento propone una tassonomia a sei classi che categorizza il modo in cui i modelli di diffusione funzionano nelle pipeline avversarie:

   • Generatore Addestrato: Il modello di diffusione è addestrato end-to-end con un obiettivo di attacco.
   • Congelato con Perturbazione Latente: Inversione DDIM più aggiornamenti del gradiente nello spazio latente (comune negli attacchi alle immagini).
   • Congelato con Guida di Score/Classificatore: Gradienti avversari iniettati nella SDE inversa durante il campionamento.
   • Inferenza Off-the-Shelf: Utilizzo di un modello di diffusione pre-addestrato senza addestramento o ottimizzazione (es. inpainting condizionale alla risposta).
   • Renderer Solo-Pipeline: La diffusione genera contenuti (immagini/scene) che servono come input per un canale di attacco separato; nessun gradiente fluisce attraverso il sampler.
   • Modello di Diffusione Vittima: Il modello di diffusione stesso è l'obiettivo dell'attacco.
     Questa tassonomia è aumentata da un asse del modello di minaccia (conoscenza dell'attaccante, accesso alle query, accessibilità del target).

2. Framework di Valutazione a Cinque Dimensioni: Gli autori introducono un framework unificato per confrontare gli attacchi tra le modalità, composto da:

   • Tasso di Successo dell'Attacco (ASR).
   • Trasferibilità (successo su diversi modelli target).
   • Budget di Query (numero di chiamate al modello/riavvii).
   • Perplessità (proxy per l'evasione dei filtri di input).
   • Evasione della Difesa (performance contro purificatori come DiffPure, DiffuseDef o CoDefend).

3. Fusione Cross-Modalità: La revisione integra 50 articoli da quattro flussi precedentemente disconnessi (testo/LLM, classificatore di immagini, VLM, difesa) in un unico framework concettuale, fornendo un catalogo completo e un foglio di calcolo pubblico contenente i metadati per tutti i lavori inclusi.

4. Prospettiva Duale Attaccante-Difensore: La revisione copre quattro difese basate sulla diffusione (tre per classificatori di testo, una per LLM multimodali) come naturale scenario di valutazione per nuovi attacchi, evidenziando l'asimmetria tra la proliferazione degli attacchi e le difese sotto-audit.

Risultati e Conclusioni

• Stato dell'Arte (Testo/LLM): La letteratura sugli attacchi basati sulla diffusione contro gli LLM è nascente (4 articoli) ma diversificata. Gli approcci includono il denoising latente continuo con Gumbel-Softmax (DiffusionAttacker), la perturbazione dello spazio di embedding sotto vincoli di prossimità (DART) e l'inferenza senza addestramento su LLM di diffusione mascherata pre-addestrati (Lüdke et al.).
• Stato dell'Arte (Immagine/VLM): Il dominio delle immagini è maturo, utilizzando ricette come l'inversione DDIM, la guida di score e la back-propagation segment-wise. Gli attacchi VLM sono dominati da utilizzi "solo-pipeline" dove la diffusione renderizza immagini per attacchi nello spazio dei pixel, con pochi casi che sfruttano direttamente i gradienti di diffusione.
• Lacune di Performance:
  • Gap dei Modelli Chiusi: Gli attacchi basati sulla diffusione mostrano tassi di successo significativamente inferiori sui modelli chiusi di frontiera (es. GPT-4o, Claude-3.5) rispetto ai modelli open-weight. Ad esempio, IDEATOR ha raggiunto il 94% di ASR su MiniGPT-4 ma solo il 19,65% su Claude-3.5.
  • Dipendenza dal White-Box: Tre dei quattro articoli di attacco basati sul testo si affidano ai gradienti white-box del modello target durante l'addestramento, limitando l'applicabilità diretta ai sistemi chiusi.
  • Sottoutilizzo della Diffusione Discreta: Nessun attacco testuale pubblicato combina un vero sampler di diffusione discreta (es. D3PM, SEDD) con una ricompensa di dannosità esplicita e una valutazione su larga scala (es. HarmBench).
  • Evasione della Difesa: Gli attacchi testuali attuali raramente testano contro i moderni filtri di input (es. Llama-Guard, SmoothLLM). La bassa perplessità riportata è una prova necessaria ma non sufficiente di evasione del filtro.
  • Limitazione al Singolo Turno: Tutti gli attacchi basati sulla diffusione testuale producono prompt a colpo singolo, fallendo nel sfruttare la condizionatura bidirezionale della diffusione per attacchi di dialogo multi-turno.

Significatività e Rivendicazioni
Il documento si pone come un esercizio critico di "fusione delle informazioni" che riduce lo sforzo duplicato tra le comunità di sicurezza del NLP, robustezza avversaria e modellazione generativa. La sua principale significatività risiede nel:

• Chiarire il Panorama: Fornire il primo riferimento consolidato per la generazione avversaria basata sulla diffusione, distinguendo tra i metodi che sfruttano i gradienti di diffusione e quelli che usano la diffusione come renderer black-box.
• Identificare le Lacune della Ricerca: Evidenziare esplicitamente cinque debolezze ricorrenti nella letteratura attuale lato LLM (dipendenza dal white-box, mancanza di diffusione discreta, debole valutazione della difesa, restrizione al singolo turno e mancanza di red teaming vincolato).
• Definire l'Agenda: Proporre direzioni di ricerca concrete, in particolare la necessità di attacchi adattivi che effettuino il back-propagation attraverso i purificatori di testo basati sulla diffusione (DiffuseDef, MaskPure, CoDefend), una lacuna che non è ancora stata affrontata nella letteratura pubblicata.
• Posizione Etica: Gli autori sottolineano che consolidare questa letteratura è di netto beneficio per i difensori e i decisori politici, dando priorità all'identificazione delle lacune di valutazione e delle vulnerabilità delle difese rispetto alla riproduzione di payload dannosi.

La revisione conclude che, sebbene gli attacchi basati sulla diffusione sugli LLM siano un campo giovane con un numero limitato di articoli rappresentativi, essi offrono un sostanziale spazio metodologico per il lavoro di follow-on, in particolare nel colmare il divario tra le tecniche del dominio delle immagini e la valutazione della sicurezza basata sul testo.