Resolution Thresholds in VLM Detection of Harmful ASCII Art Across Construction Modes and Languages

Sintesi Tecnica: Soglie di Risoluzione nella Rilevazione di ASCII Art Dannosa tramite VLM

Definizione del Problema
I Large Vision-Language Models (VLM) sono sempre più impiegati per la moderazione dei contenuti, ma rimangono vulnerabili ad attacchi di tipo "jailbreak" in cui il testo dannoso viene codificato come ASCII art. In questi attacchi, gli attori avversari costruiscono immagini in cui parole dannose sono formate da mosaici di caratteri innocui (ad esempio, parole positive, simboli o emoji). Ricerche precedenti indicano che i VLM spesso non riescono a riconoscere il gestalt visivo dannoso perché danno priorità al significato semantico dei singoli caratteri di riempimento rispetto alla forma macroscopica. Sebbene studi precedenti suggerissero che il ridimensionamento delle immagini potesse costringere i modelli ad attendere alla forma complessiva, nessuna ricerca ha caratterizzato sistematicamente come la "soglia di fallimento della rilevazione" — la scala di risoluzione sopra la quale la rilevazione crolla — vari tra diversi modi di costruzione dell'ASCII art, architetture VLM e lingue dei contenuti (inglese vs cinese).

Metodologia
Gli autori hanno condotto uno studio empirico sistematico utilizzando una pipeline personalizzata per generare e valutare immagini di ASCII art dannosa.

• Costruzione del Dataset: Lo studio ha utilizzato corpora paralleli di parole/frasi dannose in inglese e cinese. Ogni parola è stata resa in immagini ASCII art utilizzando otto distinti modi di costruzione (L1–L8), che spaziano da caratteri a blocchi densi (L1) e simboli semplici (L2) fino a design con parole incorporate (L5), emoji (L6), frammenti di poesie positive (L7) e parole cinesi positive (L8).
• Scaling della Risoluzione: Le immagini sono state generate a dieci scale di risoluzione ($r \in \{0.1, \dots, 1.0\}$), dove 1.0 rappresenta il riferimento a risoluzione intera e i valori inferiori rappresentano il ridimensionamento.
• Valutazione: Otto VLM all'avanguardia (inclusi GPT-4o-mini, Gemini-3-Flash, Kimi-K2.5 e altri) sono stati interrogati tramite l'API di OpenRouter. Ai modelli è stato chiesto di classificare l'emozione dell'immagine (Negativa vs Neutra/Positiva). Una risposta "Negativa" è stata trattata come una rilevazione riuscita del contenuto dannoso, mentre le risposte Neutre/Positive hanno indicato un fallimento (bypass).
• Analisi Statistica: Lo studio ha impiegato test di tendenza di Cochran–Armitage per verificare i trend di rilevazione monotonici, la regressione logistica per stimare la soglia di fallimento della rilevazione al 50% ($\hat{r}_{0.5}$) con intervalli di confidenza al 95%, e test Chi-quadro/Fisher esatto per confrontare i tassi di rilevazione tra i corpora inglese e cinese. La correzione di Benjamini–Hochberg è stata applicata a tutti i 763 test statistici.

Contributi Chiave

1. Pipeline di Valutazione e Dataset: La creazione di un dataset completo che comprende otto modi di costruzione, dieci scale di risoluzione, due lingue e otto VLM.
2. Stima della Soglia: Stime statisticamente fondate delle soglie di fallimento della rilevazione per ogni combinazione (modello, modo), quantificando la specifica risoluzione alla quale i VLM perdono la capacità di percepire le forme visive dannose.
3. Analisi Cross-Origin: Un'analisi descrittiva che confronta i pattern di rilevazione dei modelli costruiti in Cina rispetto ai modelli costruiti negli USA/Occidente sul modo di riempimento con parole cinesi (L8), utilizzando il modo con parole inglesi (L5) come controllo.

Risultati Chiave

• Dipendenza dalla Risoluzione: I tassi di rilevazione diminuiscono drasticamente all'aumentare della risoluzione per la maggior parte delle combinazioni modello-modo. Circa il 60% degli strati (modello, modo) validi ha mostato un trend decrescente statisticamente significativo. Ciò conferma che le immagini ad alta risoluzione permettono ai VLM di concentrarsi sui caratteri di riempimento benigni, causando il fallimento della rilevazione, mentre il ridimensionamento forza l'attenzione sulla forma visiva dannosa.
• Gerarchia di Vulnerabilità dei Modi:
  • Più Resistenti: I modi con parole incorporate, in particolare le parole inglesi (L5), sono stati i più difficili da rilevare, con un tasso di rilevazione aggregato di soli 0.062. Questi modi creano un forte conflitto di segnale duale dove la semantica a livello di carattere sopprime la percezione della forma.
  • Più Rilevabili: I caratteri a blocchi (L1) e le emoji (L6) sono stati i più facili da rilevare (tassi aggregati > 0.40), probabilmente a causa della loro densità visiva o distintività.
  • Intermedi: Le parole cinesi (L8) hanno mostrato una rilevabilità intermedia (0.206), performando meglio delle parole inglesi ma peggio dei blocchi.
• Eterogeneità dei Modelli: Le prestazioni sono variate significativamente tra i modelli. Gemini-3-Flash e Kimi-K2.5 hanno dimostrato le capacità di rilevazione più forti con soglie ben definite. Al contrario, Mistral-Small-3.2-24B-Instruct non è riuscito a rilevare contenuti dannosi nella maggior parte dei modi (tassi vicini allo zero), e Llama-4-Maverick e Nemotron-Nano hanno mostrato scarse prestazioni di base. Grok-4.1-Fast ha esibito un pattern unico, essendo meno sensibile ai cambiamenti di risoluzione rispetto agli altri modelli.
• Risultati Cross-Language: Dopo molteplici correzioni dei confronti, solo il 4,7% degli strati ha mostrato differenze significative tra i tassi di rilevazione inglese e cinese, suggerendo che la vulnerabilità della risoluzione-rilevazione sia ampiamente indipendente dalla lingua.
• Effetti sull'Origine del Modello: Un pattern descrittivo di "incrocio" è stato osservato nel modo L8 (parole cinesi): i modelli costruiti in Cina hanno superato i modelli occidentali a basse risoluzioni, ma sono stati meno performanti ad alte risoluzioni. Gli autori ipotizzano che ciò sia dovuto alla maggiore sensibilità dei modelli cinesi al testo cinese, che causa la lettura dei caratteri di riempimento benigni ad alte risoluzioni, sopprimendo così il segnale di affetto negativo. Questo effetto non è stato osservato nel modo con parole inglesi (L5).

Significatività e Rivendicazioni
Il documento sostiene di aver identificato una dimensione di vulnerabilità specifica e poco esplorata nella moderazione dei contenuti basata su VLM: la risoluzione. I risultati rivelano che la risoluzione è una variabile di primo ordine che determina il successo della rilevazione, non un semplice parametro secondario della qualità dell'immagine. Lo studio stabilisce che:

1. Esiste una soglia di fallimento della rilevazione costante sopra la quale i VLM non possono identificare in modo affidabile l'ASCII art dannosa.
2. I modi di costruzione con parole incorporate rappresentano un vettore di attacco particolarmente robusto che gli attuali VLM faticano a contrastare, anche a risoluzione intera.
3. Non esiste una singola soglia di risoluzione che si generalizzi a tutti i modelli; i sistemi di moderazione devono caratterizzare il profilo di vulnerabilità specifico del VLM impiegato.

Gli autori dichiarano esplicitamente che questo non è un paper di difesa; non propongono nuovi modelli o strategie di mitigazione. Invece, il lavoro serve a caratterizzare la vulnerabilità per motivare lo sviluppo di standard di valutazione consapevoli della risoluzione e future strategie difensive, come il ridimensionamento degli input prima della moderazione o l'addestramento dei modelli su ASCII art ridimensionata.