🤖 machine learning

On Adversarial Vulnerability of Vision-Language Models through the Lens of Intermediate Spectral Subspaces

本論文は、中間表現が右下特異ベクトル部分空間に整列していることを利用して、トランスフォーマーベースの視覚言語モデルにおける敵対的な脆弱性を明らかにし、強化するホワイトボックス的なスペクトル部分空間誘導攻撃（SSGRA）を導入するものである。

原著者： Chethan Krishnamurthy Ramanaik, Tobias Callies, Michael Hecht, Eirini Ntoutsi

公開日 2026-07-09

📖 1 分で読めます☕ さくっと読める

CC BY 4.0

原著者： Chethan Krishnamurthy Ramanaik, Tobias Callies, Michael Hecht, Eirini Ntoutsi

原論文は CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) でライセンスされています。 ✨ これは以下の論文のAI生成解説です。著者が執筆または承認したものではありません。技術的な正確性については原論文を参照してください。免責事項の全文を読む

視覚言語モデル（VLM）を、非常に洗練された翻訳機だと想像してみてください。あなたは写真を見せ、モデルはそれが見ているものを説明します。しかし、どんな複雑な機械にも秘密の弱点があります。写真をほんのわずか、目に見えない程度に微調整するだけで、その翻訳機は突然、デタラメなことを話し始めてしまうのです。

この論文は、なぜこれらの機械がこれほど簡単に騙されてしまうのかを調査しています。ただし、著者たちは画像や最終的な答えを見るのではなく、システム内を情報が移動する内部の「歯車」や「パイプ」に着目しています。彼らは、数学の概念である「スペクトル解析」を用い、それを「異なる太さのパイプを流れる水」という単純な比喩を用いて説明しています。

核となるアイデア：「詰まったパイプ」

AI内部の情報は、一連のパイプを流れる水だと考えてください。

太いパイプ（上位特異ベクトル）： これらは、最も重要な情報が容易に流れる、強力で主要なチャネルです。ここに水を押し込めば、音も鮮明に通り抜けます。
細く、詰まったパイプ（下位特異ベクトル）： これらは、細く、ほとんど塞がれたチャネルです。ここに水を押し込もうとしても、すぐに押しつぶされたり、失われたり、あるいは「減衰（弱体化）」したりしてしまいます。

著者たちは、ハッカーがこれらのAIモデルを欺こうとするとき、攻撃が自然と情報をこれらの細く、詰まったパイプへと押し込む傾向があることを発見しました。一度情報がこれらの狭いチャネルに閉じ込められると、モデルは画像を理解する能力を失い、幻覚を見せたり、間違った答えを出したりし始めます。

新しい攻撃手法：「詰まりを作る者」（SSGRA）

この論文は、SSGRA（Spectral Subspace Guided Representation Attack：スペクトル部分空間誘導表現攻撃）と呼ばれる新しいハッキング手法を提案しています。

従来のハッキング手法： 以前の手法は、画像が少し違って見えるようにしたり、最終的な答えをめちゃくちゃにしたりすることで、AIを混乱させようとしていました。それは、機械につまずかせるために石を投げつけるようなものでした。
新しい手法（SSGRA）： この手法はよりスマートです。どの「パイプ」が最も弱いかを正確に知っています。そして、AIが意図的に画像をそれらの細く、詰まったパイプを通して処理するように強制します。
- 比喩： 工場が玩具を作るのを止めたいと想像してください。労働者に怒鳴りつける（従来の方法）代わりに、最も壊れやすい部品が組み立てられるコンベアベルトをピンポイントで塞ぐのです。すると、工場は単につまずくだけでなく、不可欠な部品が通り抜けられなくなるため、完全に崩壊してしまいます。

彼らが発見したこと

研究者たちは、これを3つの人気のあるAIモデル（Qwen、LLaVA、Gemma）でテストしました。結果は以下の通りです。

より効果的である： これらの「詰まったパイプ」を意図的に塞ぐことで、彼らの新しい攻撃は、従来のメソッドよりもはるかに高い成功率でAIを失敗させることができました。画像への極めて小さく目に見えない変化によって、「犬」の明確な説明を「緑色のスライム」のようなデタラメに変えることができたのです。
AIは自然にそうなってしまう： 新しい「スマートな」攻撃がなくても、AIを騙そうとすると、数学的に情報はこれらの弱い、詰まったパイプへと自然に押し流されることが、研究者たちによって発見されました。AIは、まさにこのような特定の形で脆弱になるように構成されているのです。
すべてのAIが平等なわけではない： モデルによって「詰まったパイプ」の数は異なります。最も多くの詰まったパイプを持っていたモデル（Qwen）は、最も壊れやすかったです。詰まったパイプが少なかったモデル（Gemma）は、壊すのがより困難でしたが、それでも依然として脆弱でした。

まとめ

論文は次のように結論付けています。これらのAIモデルをより安全（堅牢）にするためには、単に「太いパイプ」（ネットワークの強い部分）を強化するだけでは不十分です。私たちは、「詰まったパイプ」（ゼロに近い、あるいは弱い方向）を修理するか、保護する必要があります。

もし、情報の流れがこれらの小さく弱いチャネルの中で失われるのを防ぐことができれば、AIを騙すことははるかに難しくなるかもしれません。

要約すると： 著者たちは、AIモデルが持つ最も弱い内部経路を使用させることで、モデルを破壊する新しい方法を発見しました。そして、それら特定の弱い経路を修正することこそが、AIをより強くするための鍵であると示唆しています。

技術要約：中間スペクトル部分空間の観点から見た視覚言語モデルの敵対的脆弱性

問題提起
深層ニューラルネットワーク、特に現代の視覚言語モデル（VLM）は、視覚的には知覚できないものの予測を変化させる敵対的摂動に対して脆弱であることが知られている。既存の研究は、入力空間の幾何学、決定境界の特性、特徴量の堅牢性、および入力・出力ヤコビアンを通じてこの脆弱性を広範に分析してきたが、トランスフォーマー型VLMの中核をなす線形変換（自己注意機構、フィードフォワードネットワーク、融合モジュールなど）における中間的なスペクトル挙動については、依然としてほとんど解明されていない。具体的には、情報の減衰を伴う「ボトム（下位）」特異ベクトル部分空間（ゼロに近い特異値に関連する方向）が、これまで見落とされていた攻撃対象（アタックサーフェス）となっているのではないかという点である。本論文では、この点について調査を行う。

手法
著者らは、敵対的伝播と不良設定逆問題（ill-posed inverse problems）の不安定性の間の類似性に根ざしたフレームワークを提案する。逆問題において、再構成は近零（near-null）の特異方向において失敗するが、同様に、VLM内の線形変換のボトム特異ベクトル部分空間に中間表現を整合させることが、情報の減衰と意味論的な劣化を招くという仮説を立てている。

これを検証するため、著者らはホワイトボックス型の非標的型攻撃である**SSGRA（Spectral Subspace Guided Representation Attack：スペクトル部分空間誘導型表現攻撃）**を導入する。その手法は以下の通りである：

スペクトル分解： VLM内の線形変換の重み行列に対して特異値分解（SVD）を実行する。
整合性指標： 特定の特異部分空間（トップ $k$ 対ボトム $k$ ）へのトークン表現の投影エネルギーを定量化するための指標 $\Psi_k$ を定義する。
最適化目的関数： 以下の2つの項を組み合わせた最適化問題を定式化する：
- 特徴階層を破壊するための表現不一致項（Blockwise Similarity Attackに基づく）。
- 選択された線形層のボトム $s$ 特異ベクトル部分空間への、敵対的な中間表現の整合性を明示的に最大化するスペクトル誘導項。
レイヤーごとのプロービング： 著者らは、明示的なスペクトル誘導なしでも、敵対的最適化が自然に表現をボトム特異部分空間へとシフトさせる様子を分析し、異なるVLM（Qwen2.5-VL、LLaVA-1.5、Gemma-3）のスペクトル特性を比較するためのプロービングメカニズムを採用している。

主な貢献

新たな攻撃対象の特定： トランスフォーマー型VLMにおける、中間線形変換のボトム特異ベクトル部分空間が、これまで見落とされていた重要なスペクトル攻撃対象であることを特定した。
SSGRA攻撃： この知見を活用したスペクトル誘導型ホワイトボックス攻撃であるSSGRAを提案した。これは、既存の最先端のベースライン（FDA、DRA、BSAなどの特徴空間攻撃、およびCEやEGAなどの出力レベルの攻撃を含む）に対して、優れた有効性を示す。
スペクトル力学の経験的検証： レイヤーごとのプロービングを通じて、非標的型の敵対的最適化が、自然に情報を減衰させるボトム特異部分空間への整合性を高める傾向があることを示した。
VLMのスペクトル特性評価： 3つの主要なVLMのスペクトル分析を行い、近零特異方向の割合が高いモデル（Qwen2.5-VLなど）は、そのような方向が少ないモデル（Gemma-3など）と比較して、SSGRAに対して高い脆弱性を示すことを明らかにした。

実験結果
実験はImageNetを用い、3つの最先端VLM（Gemma-3 4B、Qwen2.5-VL 7B、LLaVA-1.5 7B）に対して行われた。

攻撃の有効性： SSGRAは一貫してすべてのベースラインを上回った。Qwen2.5-VLにおいて、最強のベースラインと比較して、BERTScore F1で7.90〜19.74%、ROUGE-L F1で30.50〜97.93%の相対的な劣化を達成した。LLaVA-1.5およびGemma-3においても優れた性能を示し、その向上幅は摂動予算に応じて拡大した。
定性的分析： 敵対的生成物の視覚的検査により、ベースラインの攻撃は概して一般的な意味内容を保持していた（軽微なハルシネーションを伴うのみ）のに対し、SSGRAはしばしば完全に無意味または無関係な予測（例：救急車ではなく自動車事故を描写する）を誘発することが示された。
スペクトル相関： 結果は、近零特異方向の密度と脆弱性の間の相関を裏付けた。最も多くの近零特異値を持つQwen2.5-VLが最も脆弱であり、最も少ないGemma-3が最も堅牢であった。
計算コスト： SSGRAは、他の最適化ベースの攻撃と同等の計算複雑性（FLOPsで測定）を維持しており、顕著なオーバーヘッドはない。

意義と主張
本論文の主要な意義は、敵対的脆弱性の観点を、入力空間の特性から中間線形変換のスペクトル構造へと転換させたことにあると著者らは主張している。敵対的最適化が自然に近零特異方向を利用することを実証することで、堅牢化戦略は、単に大きな特異値を制約すること（スペクトル正規化による）だけでなく、近零特異方向の制御に対しても対処しなければならないと述べている。

著者らは、本研究が非標的型ホワイトボックス攻撃を通じて、脆弱性のスペクトルメカニズムを分離したものであることを明示している。また、このフレームワークの転移ベースおよびブラックボックス設定への適用可能性については、まだ調査されておらず、今後の課題であると謙虚に述べている。これらの知見は、中間表現のボトム特異ベクトル部分空間への整合性を明示的に制御することが、VLMの敵対的堅牢性を向上させるための補完的な戦略となることを示唆している。

核となるアイデア：「詰まったパイプ」

新しい攻撃手法：「詰まりを作る者」（SSGRA）

彼らが発見したこと

まとめ

関連論文