技術概要：MM-POISONRAG

問題定義

検索拡張生成（RAG）は、外部のテキストおよび視覚コンテキストを検索することで、事実の裏付けを強化し、幻覚を軽減するために、マルチモーダル大規模言語モデル（MLLM）の標準的な手法となっています。しかし、この外部知識ベース（KB）への依存は、マルチモーダル知識汚染という重大なセキュリティ脆弱性を生み出します。キュレーションされた訓練コーパスとは異なり、外部 KB はしばしば開放されており、攻撃者が悪意のあるコンテンツを注入することを可能にします。テキストのみの RAG 汚染は研究されていますが、既存の研究は、テキストのみの攻撃がマルチモーダルシステムにおけるクロスモーダル検索プロセスを侵害するには不十分であることを示しています。さらに、以前のマルチモーダル汚染研究は、ユーザーが画像をアップロードするシナリオに主に焦点を当てており、テキストクエリからの画像 - テキストペアの検索を汚染する脅威はほとんど未調査のままです。本論文は、敵対的なマルチモーダルコンテンツが外部 KB に注入され、マルチモーダル RAG パイプラインの検索段階と生成段階の両方をどのように混乱させるかという理解のギャップに対処します。

手法

著者は、マルチモーダル RAG システムに対する知識汚染攻撃を研究・実行するために設計された体系的なフレームワーク、MM-POISONRAGを導入します。このフレームワークは、マルチモーダル KB、検索器（例：CLIP）、MLLM リランキング器、および MLLM 生成器からなるパイプライン内で動作します。

著者は、異なる脅威モデルとアクセスレベルに合わせて設計された 2 つの新しい攻撃戦略を定義します。

1. ローカライズド・ポイズニング・アタック（LPA）

LPA は、特定のクエリ（$Q_i$）に対するモデルの出力を、攻撃者が定義した誤った回答（$A^{adv}_i$）に操作するように設計されたターゲッティング攻撃です。

• メカニズム: 攻撃者は、単一の汚染された画像 - テキストペア $(I^{adv}_i, T^{adv}_i)$ を KB に注入します。キャプション $T^{adv}_i$ はクエリと意味的に整合性があるように作成される一方、事実上は誤っており、画像 $I^{adv}_i$ はそのキャプションと一致するように合成されます。
• 脅威モデル:
  • LPA-BB（ブラックボックス）: 攻撃者はモデル内部へのアクセスを持ちません。誤解を招くキャプションを生成するために LLM（GPT-4）を、それに一致する画像を生成するために拡散モデル（Stable Diffusion）を使用します。
  • LPA-Rt（ホワイトボックス検索器）: 攻撃者は検索器のパラメータにアクセスできます。勾配上昇を用いて敵対的画像 $I^{adv}_i$ を反復的に最適化し、画像埋め込みとクエリ埋め込み間のコサイン類似度を最大化することで、汚染されたエントリが真実のデータよりも優先的に検索されるようにします。

2. グローバル化されたポイズニング・アタック（GPA）

GPA は、単一のクエリ非関連の敵対的エントリを使用して、すべてのクエリに対するシステムの性能を混乱させるように設計されたアンターゲッティング攻撃です。

• メカニズム: 攻撃者は、特定のクエリとは意味的に無関係ですが、普遍的に関連があるように最適化された単一の画像 - テキストペア $(I^{adv}, T^{adv})$ を注入します。
• 脅威モデル:
  • GPA-Rt: 攻撃者は、タスク内のすべてのクエリ埋め込みの重心との類似度を最大化するように単一の画像埋め込みを最適化し、あらゆるクエリに対してそれが検索されるようにします。キャプションは、リランキング器を「Yes」にバイアスするように作成されます。
  • GPA-RtRrGen: 攻撃者は検索器、リランキング器、生成器へのフルホワイトボックスアクセスを持ちます。画像を共同最適化して、検索類似度、リランキング器の関連性スコア、および生成器の準拠（例：クエリに関わらず出力を「Sorry」に強制するなど）を最大化します。

実験設定

このフレームワークは、2 つのマルチモーダル QA ベンチマーク、MultimodalQAおよびWebQAで評価されました。実験では、リランキングと生成のために、さまざまな検索器（CLIP、OpenCLIP、SigLIP）と MLLM（LLaVA、Qwen-VL-Chat）が使用されました。本研究は、さまざまな設定（例：検索されるコンテキストの数 $N$、リランキングされるコンテキストの数 $K$、キャプションの含まれ方）における攻撃成功率を評価しました。

主要な結果

攻撃の有効性

• ローカライズド・ポイズニング（LPA）: フルブラックボックス設定（LPA-BB）であっても、攻撃は最大**46.4%の汚染回答精度を達成しました。攻撃者が検索器にアクセスできた場合（LPA-Rt）、成功率は大幅に向上し、MultimodalQA において56.8%の精度と、汚染されたコンテキストに対する88.8%**の検索リコールを達成しました。
• グローバル化されたポイズニング（GPA）: GPA は壊滅的に効果的であることが証明されました。たった 1 つの汚染エントリで、GPA-Rt は MultimodalQA で検索リコールを**1.6%に、WebQA で0.0%に崩壊させました。GPA-RtRrGen 変種は、すべてのクエリに対する最終回答精度を0%**に押し下げ、パイプライン全体を実質的に無効化しました。
• 転移性: CLIP に対して最適化された LPA-Rt 攻撃は、再最適化なしで他の検索器（OpenCLIP、SigLIP）にも強力な転移性を示し、ターゲット検索器が攻撃者に未知であっても高い成功率を達成しました。GPA-Rt は転移性が弱かったものの、依然として重大な混乱を引き起こしました。

既存の防御の無効性

著者はいくつかの既存の防御メカニズムを評価し、それらがマルチモーダル汚染に対してほとんど無効であることを発見しました。

• 言い換え防御: クエリを言い換えて変更しても、攻撃を防ぐことはできませんでした。
• パープレキシティベースのフィルタリング: 汚染されたエントリのパープレキシティは、 benign な応答と区別がつかないままだったため、検出に失敗しました。
• 敵対的画像検出: 特徴量スクイージングやその他の摂動ベースの検出器は、**0%**の検出精度しか達成できませんでした。
• マルチモーダル監査:
  • CLIP ベースの一貫性: 汚染された画像はキャプションと強く整合するように最適化されていたため、攻撃を検出できませんでした。
  • 異常検出: 組み合わせたテキスト/画像検出器は、LPA-BB で約 10%、GPA で 4% 未満の検出率しか達成できませんでした。

意義と主張

本論文は、エンドツーエンドのマルチモーダル RAG システムにおける知識汚染を研究するための最初の体系的なフレームワークを提示すると主張しています。その主な貢献は以下の通りです。

1. クロスモーダル脆弱性の解明: 本研究は、マルチモーダル RAG がクロスモーダルアライメントへの依存により、独自の脆弱性を持っていることを実証しています。敵対的画像は、類似度スコアを操作して検索を支配することができ、これはテキストのみの汚染では利用できないベクトルです。
2. ブラックボックス攻撃の実現可能性: 結果は、内部モデルへのアクセスがない攻撃者（ブラックボックス）でさえ、特に最適化のためのサロゲートモデルを活用することで、マルチモーダル RAG システムを成功裏に侵害できることを示しています。
3. 最小注入の壊滅的影響: グローバル化されたポイズニング・アタックは、単一の敵対的エントリがシステムの性能をほぼゼロの精度まで低下させることができることを示しており、外部 KB に依存することの脆弱性を浮き彫りにしています。
4. 防御のギャップ: 本論文は、テキストのみの RAG や標準的なコンピュータビジョンの敵対的例向けに設計された防御が、マルチモーダル RAG には不十分であることを確立し、モダリティを認識した専用の防御戦略の緊急の必要性を強調しています。

著者は、MM-POISONRAG が知識汚染に対するマルチモーダル RAG フレームワークのセキュリティ強化に関する将来の研究の基礎を築くものであり、堅牢な検証なしに外部知識源に依存することは MLLM の信頼性に対して重大なリスクを伴うことを強調して結論付けています。