💻 computer science

Unifying Adversarially Robust Model Experts in Vision-Language Models

Questo articolo propone CARE, un framework di fine-tuning avversario collaborativo che unifica molteplici esperti di modelli robusti specializzati attraverso l'armonizzazione dello spazio di embedding per creare un unico modello visione-linguaggio con una robustezza avversaria complementare e superiore in diversi contesti di valutazione.

Autori originali: Nguyen Duc Thai, Junhao Dong, Sua Qi Rong, Hua Yu, Yew-Soon Ong

Pubblicato 2026-07-31

📖 6 min di lettura🧠 Approfondimento

CC BY 4.0

Autori originali: Nguyen Duc Thai, Junhao Dong, Sua Qi Rong, Hua Yu, Yew-Soon Ong

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Immagina di avere un amico robot super intelligente che può guardare una foto e dirti istantaneamente cos'è, o persino scrivere una poesia su di essa. Questo robot, noto come Modello Visione-Linguaggio (VLM), è incredibile perché comprende sia le immagini che le parole contemporaneamente. Ma come ogni bambino intelligente, ha un punto debole: può essere facilmente raggirato. Se qualcuno aggiunge un minuscolo, invisibile granello di "rumore" a una foto — come pochi pixel spostati di un soffio — il robot potrebbe improvvisamente pensare che un panda sia un tostapane o un gatto sia un'auto. Questo è chiamato "attacco avversario" (adversarial attack), ed è un grande problema perché vogliamo che questi robot siano sicuri e affidabili nel mondo reale.

Per risolvere questo, gli scienziati stanno insegnando al robot a fare pratica con queste foto ingannevoli, un processo chiamato "addestramento avversario" (adversarial training). Immagina che sia come un allievo di arti marziali che fa sparring con un compagno per imparare a bloccare i colpi. Il documento che stai per leggere esplora una scoperta affascinante: non esiste un solo modo per insegnare al robot come bloccare. Alcuni insegnanti si concentrano sul memorizzare le mosse esatte (imparare a riconoscere parole specifiche), mentre altri si concentrano sul mantenere l'equilibrio indipendentemente da tutto (mantenere costanti le caratteristiche dell'immagine). Il problema è che uno studente che è bravo a memorizzare le mosse potrebbe cadere se la lotta cambia, e uno studente che è bravo nell'equilibrio potrebbe dimenticare i nomi specifici delle mosse. Questo articolo pone una domanda semplice ma potente: e se potessimo avere il meglio di entrambi i mondi?

La storia dei due esperti e la colla magica

Nel mondo della sicurezza dell'IA, i ricercatori hanno addestrato degli "esperti" per rendere i Modelli Visione-Linguaggio più resistenti agli attacchi. Ma ecco il problema: questi esperti sono un po' come atleti specializzati. Un tipo di esperto, chiamiamolo il "Genio delle Parole" (Word-Whizz), diventa bravissimo a far corrispondere le immagini a descrizioni testuali specifiche. Se gli mostri la foto di un panda e gli chiedi: "Questo è un panda?", lui è solidissimo. Ma se gli mostri la foto di un nuovo animale che non ha mai visto prima, potrebbe inciampare perché si affida troppo al testo che ha memorizzato.

L'altro tipo, le "Mani Ferme" (Steady-Hands), si concentra sul mantenere l'immagine stessa invariata, anche quando qualcuno cerca di manometterla. Sono bravi a gestire nuovi animali mai visti perché non si curano molto delle parole specifiche; sanno solo cosa sia una "forma simile a un gatto". Tuttavia, non sono così acuti nell'usare gli indizi testuali per ottenere la risposta corretta su animali familiari.

Per molto tempo, gli scienziati hanno cercato di risolvere questo problema addestrando un esperto, poi l'altro, e poi cercando di unirli alla fine. Ma era come cercare di incollare due diversi tipi di argilla mentre sono ancora bagnati; continuavano a separarsi, oppure il risultato finale era una massa informe che non era brava in nulla.

Entra in scena CARE: L'Allenatore Collaborativo

Gli autori di questo articolo, Nguyen Duc Thai e il suo team, hanno deciso di provare qualcosa di diverso. Invece di addestrare un esperto e poi l'altro, hanno costruito un framework chiamato CARE (Collaborative Adversarial Robustness fine-tuning using Embedding alignment). Pensa a CARE come a un brillante allenatore che mette il "Genio delle Parole" e le "Mani Ferme" nello stesso gimnasio e li fa allenare insieme, fianco a fianco.

Ecco come avviene la magia:

Il Riscaldamento Comune: Prima che gli esperti inizino i loro esercizi specifici, condividono una "perturbazione universale". Immagina che guardino entrambi la stessa immagine leggermente distorta per prendere confidenza con il problema. Questo li aiuta a partire dalla stessa pagina.
Gli Esercizi Specializzati: Il "Genio delle Parole" pratica l'abbinamento dell'immagine distorta al testo corretto. Le "Mani Ferme" praticano il fare in modo che l'immagine non cambi troppo la sua forma.
La Stretta di Mano Segreta (Armonizzazione): Questa è la parte più importante. Mentre si allenano, l'allenatore li costringe a parlare tra loro. Il "Genio delle Parole" dice alle "Mani Ferme": "Ehi, guarda come sto abbinando il testo!", e le "Mani Ferme" dicono: "Ehi, guarda come sto mantenendo stabile l'immagine!". Scambiano questa conoscenza in tempo reale. Questo impedisce loro di allontanarsi troppo e assicura che entrambi imparino dai rispettivi punti di forza.
La Fusione Finale: Alla fine della giornata, l'allenatore fonde i loro cervelli in un unico super-esperto. Questo nuovo modello non è solo un mix; è un cervello unificato che sa come abbinare le parole e mantenere stabili le immagini.

Cosa hanno scoperto

Il team ha testato questo nuovo metodo su un famoso dataset chiamato ImageNet e molti altri set di immagini complicati. I risultati sono stati piuttosto interessanti.

A superare gli Specialisti: Il nuovo modello CARE è stato migliore del "Genio delle Parole" da solo e migliore delle "Mani Ferme" da sole. Infatti, quando gli attacchi erano forti (con una dimensione della perturbazione di $\epsilon = 4/255$ ), CARE ha superato il "Genio delle Parole" (TeCoA) di circa il 2% e le "Mani Ferme" (FARE) di quasi l'8%.
Gestire l'Ignoto: Il modello CARE non è diventato solo migliore con gli animali conosciuti; è diventato anche migliore nel prevedere quelli nuovi. Le "Mani Ferme" di solito vincono sulle cose nuove, e il "Genio delle Parole" di solito vince sulle cose note. CARE è riuscito a essere il migliore in entrambi i casi.
Compiti del Mondo Reale: Hanno anche testato il modello in compiti come scrivere didascalie per le immagini e rispondere a domande su di esse. Anche quando le immagini venivano attaccate, CARE continuava a dare le risposte corrette più spesso rispetto agli altri metodi. Ad esempio, in un test in cui dovevano identificare un "Hot Dog" in una foto, CARE ha identificato correttamente "Hot Dog" anche sotto attacco, mentre gli altri si sono confusi.

Il costo dell'eccellenza

Naturalmente, c'è un prezzo da pagare per questo lavoro di squadra. Addestrare due esperti contemporaneamente richiede più potenza di calcolo. L'articolo nota che l'addestramento di CARE richiede circa 1,5 volte più tempo rispetto all'addestramento di un singolo esperto (83 ore contro 48-50 ore) e utilizza più memoria (52,6 GB contro 25-29 GB). Tuttavia, gli autori suggeriscono che con un po' di ingegneria intelligente, come eliminare i dati temporanei non appena vengono utilizzati, possono mantenere l'uso della memoria gestibile.

In sintesi

L'articolo suggerisce che il vecchio modo di pensare — scegliere una strategia e attenersi ad essa — potrebbe essere troppo limitante. Lasciando che diversi tipi di esperti di IA collaborino e imparino l'uno dai punti di forza dell'altro, possiamo costruire modelli che sono molto più difficili da raggirare. Gli autori non sostengono che questa sia la soluzione definitiva a tutti i problemi di sicurezza dell'IA, ma dimostrano che questo approccio "collaborativo" è una direzione molto promettente. È un promemoria del fatto che, a volte, per essere davvero robusti, non basta solo essere forti; bisogna essere in grado di lavorare con gli altri.

Sintesi Tecnica: Unificare Esperti di Modelli Robusti Adversarialmente nei Modelli Vision-Language

Problematica
I modelli Vision-Language (VLM), come CLIP, sono altamente suscettibili ad attacchi adversarial, in cui perturbazioni impercettibili possono alterare drasticamente le predizioni. Sebbene il fine-tuning adversarial sia una strategia di difesa primaria, i metodi esistenti producono tipicamente "esperti di modelli robusti" specializzati con caratteristiche distinte e spesso contrastanti. Nello specifico, il documento identifica due filosofie dominanti di fine-tuning:

Esperti di Allineamento Immagine-Testo (es. TeCoA): Questi si affidano allo spazio di embedding condiviso per guidare l'addestramento, massimizzando l'allineamento tra le immagini e i prompt testuali. Ottengono buone prestazioni sui nomi delle classi apprese, ma faticano a mantenere la robustezza su classi non viste o nuovi prompt testuali.
Esperti di Invarianza dell'Immagine (es. FARE): Questi si concentrano sulla preservazione delle rappresentazioni visive minimizzando la distanza tra gli embedding delle immagini pulite e quelle adversarial. Generalizzano meglio su dataset non visti, ma spesso ottengono prestazioni inferiori sulle classi note perché non sfruttano esplicitamente la rappresentazione condivisa immagine-testo.

La sfida principale è che questi esperti divergono durante l'addestramento a causa dei loro diversi obiettivi di ottimizzazione, rendendo instabile la semplice fusione successiva. I tentativi precedenti di combinare i modelli richiedono spesso sovrascritture periodiche dei parametri per mantenere la stabilità, il che limita l'esplorazione e la specializzazione dei singoli esperti.

Metodologia: Framework CARE
Gli autori propongono CARE (Collaborative Adversarial Robustness fine-tuning using Embedding alignment), un framework che addestra simultaneamente più modelli esperti facilitando lo scambio di conoscenza per prevenire la divergenza. Il framework integra due esperti specifici: un esperto di Allineamento (basato su TeCoA) e un esperto di Invarianza (basato su FARE).

Il processo CARE consiste in quattro fasi chiave:

Inizializzazione della Perturbazione Universale (GAIP): Invece di generare rumore casuale indipendente per ogni esperto, CARE utilizza un processo di Inizializzazione della Perturbazione Adversarial Globale (GAIP). Questo crea una perturbazione universale condivisa allineando i logit perturbati con l'esperto di Allineamento e gli embedding delle immagini con l'esperto di Invarianza tramite la similarità del coseno negativa. Ciò garantisce un punto di partenza coerente per la generazione adversarial.
Generazione Adversarial Indipendente: Ogni esperto genera i propri campioni adversarial specifici utilizzando la perturbazione inizializzata. L'esperto di Allineamento utilizza la perdita di Cross-Entropy (CE), mentre l'esperto di Invarianza utilizza la perdita di distanza $L_2$ .
Armonizzazione degli Esperti: Questa è l'innovazione centrale. Per evitare che gli esperti si allontanino, viene applicato un meccanismo di armonizzazione dello spazio di embedding.
- L'esperto di Invarianza allinea i propri logit puliti (che normalmente non ottimizza) con quelli dell'esperto di Allineamento.
- L'esperto di Allineamento allinea i propri embedding delle immagini puliti con quelli dell'esperto di Invarianza.
- L'analisi teorica (Teorema 1) suggerisce che l'uso della similarità del coseno per queste perdite ausiliarie agisca come un termine di momentum, attirando gli esperti l'uno verso l'altro e stabilizzando l'addestramento senza sacrificare le loro specializzazioni individuali.
Generalizzazione della Conoscenza: Infine, i parametri del modello unificato ( $\theta_{CARE}$ ) vengono aggiornati utilizzando una Media Mobile Esponenziale (EMA) dei due esperti, pesata da un fattore $\gamma$ .

Contributi Chiave

Framework Unificato: La proposta di CARE, che mantiene più esperti di robustezza adversarial e unifica la loro conoscenza appresa in un singolo modello, affrontando l'instabilità della fusione di modelli specializzati.
Meccanismo di Armonizzazione: L'introduzione di una perdita di armonizzazione nello spazio di embedding che consente lo scambio di conoscenza tra esperti durante l'addestramento. Ciò consente al modello di apprendere proprietà di robustezza complementari (sia l'allineamento immagine-testo che l'invarianza dell'immagine) senza la necessità di sovrascritture di parametri dirompenti.
Validazione Empirica: Esperimenti estesi dimostrano che CARE supera i singoli esperti addestrati (TeCoA e FARE) sia nella classificazione di immagini in-distribution che nei compiti downstream di vision-language zero-shot.

Risultati
Gli autori hanno valutato CARE su ImageNet-1K e altri 13 dataset zero-shot, nonché su compiti downstream come l'image captioning (COCO, Flickr30k) e il Visual Question Answering (TextVQA, VQAv2).

Classificazione delle Immagini: CARE ha costantemente superato sia TeCoA che FARE. Sotto forti attacchi adversarial ( $\epsilon = 4/255$ ), CARE ha superato TeCoA di circa il 2% e FARE di quasi l'8% in media. In particolare, CARE ha ereditato la stabilità di TeCoA sui dati in-distribution mantenendo al contempo le capacità di generalizzazione di FARE sui dataset non visti.
Compiti Downstream: Nei compiti di image captioning e VQA, CARE ha ottenuto la migliore accuratezza robusta nella maggior parte delle configurazioni. Sebbene FARE mostrasse una forte performance sui dati puliti (grazie alla sua natura di invarianza), CARE ha fornito una robustezza superiore contro le perturbazioni adversarial, trasferendo con successo la conoscenza dell'allineamento a diversi encoder testuali utilizzati nei modelli downstream (LLaVA).
Analisi Qualitativa: Le visualizzazioni t-SNE hanno mostrato che CARE produce cluster compatti con confini ben definiti, combinando l'ampia dispersione di TeCoA e la frammentazione di FARE. I risultati qualitativi di captioning e VQA hanno dimostrato che CARE mantiene output coerenti e corretti sotto attacco, mentre altri modelli spesso generano allucinazioni o risposte errate.

Significatività e Rivendicazioni
Il documento sostiene che l'apprendimento collaborativo tra modelli esperti sia una direzione promettente per migliorare la robustezza adversarial nei VLM. La significatività di CARE risiede nella sua capacità di superare il compromesso tra accuratezza in-distribution e generalizzazione zero-shot. Armonizzando gli esperti attraverso l'allineamento degli embedding, CARE crea un modello unificato che eredita le proprietà complementari di diverse strategie di addestramento adversarial. Gli autori osservano che, sebbene il metodo richieda risorse computazionali aggiuntive (addestramento di più modelli), le ottimizzazioni ingegneristiche come l'inizializzazione della perturbazione condivisa e la gestione della memoria ne mitigano i costi. Il lavoro suggerisce che la ricerca futura dovrebbe esplorare metodi collaborativi che tengano conto dell'asimmetria tra gli embedding delle immagini e i logit delle classi, poiché l'attuale processo di allineamento ha mostrato che l'ottimizzazione di entrambi non produce sempre un modello strettamente migliore se non attentamente bilanciata.

La storia dei due esperti e la colla magica

Entra in scena CARE: L'Allenatore Collaborativo

Cosa hanno scoperto

Il costo dell'eccellenza

In sintesi

Articoli simili