VisInject: Disruption != Injection -- A Dual-Dimension Evaluation of Universal Adversarial Attacks on Vision-Language Models

제공된 논문에 기반하여, VisInject: 시각-언어 모델에 대한 범용 적대적 공격의 이중 차원 평가 — 교란 ≠ 주입에 대한 상세한 기술적 개요는 다음과 같습니다.

문제 제기

시각-언어 모델 (VLM) 에 대한 범용 적대적 공격 (UAA) 에 관한 최근 문헌들은 60~80% 범위의 높은 공격 성공률 (ASR) 을 보고하고 있습니다. 이러한 지표는 지각 불가능한 픽셀 교란이 안전 정렬을 우회할 수 있는 실행 가능한 프롬프트 주입 채널로 기능할 수 있음을 시사합니다. 그러나 저자들은 이러한 보고된 수치가 두 가지 구별되는 사건을 혼동하고 있다고 주장합니다.

1. 영향 (Drift): 모델의 출력이 교란되어 깨끗한 기준선과 달라지는 것.
2. 정밀 주입 (Payload Delivery): 공격자의 특정 목표 문자열이나 개념이 실제로 응답에 나타나는 것.

이 논문은 기존 벤치마크가 종종 "출력이 변경되었는가?"라는 단일 지표에 의존함으로써, 특정 페이로드 전달을 위한 시각적 공격의 유용성을 체계적으로 과장한다고 주장합니다.

방법론

저자들은 기존 공격 방법과 새로운 이중 차원 평가 프레임워크를 결합한 3 단계 파이프라인인 VisInject를 제안합니다.

1. 공격 파이프라인 (1 단계 및 2 단계):

• 1 단계 (범용 신호 생성): Rahmatullaev 외 (24) 의 범용 적대적 공격 (UAA) 방법을 활용합니다. 단일 "범용" 적대적 이미지는 60 개의 benign 프롬프트를 사용하여 2~4 개의 오픈 VLM(Qwen2.5-VL, Qwen2-VL, DeepSeek-VL, BLIP-2) 의 앙상블에 대해 PGD(투사된 경사 하강법) 를 통해 최적화됩니다. 목표는 사용자의 프롬프트와 관계없이 모델을 선택된 목표 구문으로 유도하는 이미지를 생성하는 것입니다.
• 2 단계 (현실적 운반체 융합): Zhang 외 (29) 의 AnyAttack 인코더-디코더 프레임워크를 활용합니다. 1 단계에서 생성된 범용 적대적 신호는 고정된 CLIP 인코더를 통해 인코딩되고 $L_\infty$-바운드된 노이즈 텐서로 디코딩됩니다. 이 노이즈는 임의의 깨끗한 사진 (예: 자연 풍경, 스크린샷) 에 추가되어 현실적인 적대적 운반체를 생성합니다. 교란 예산은 $L_\infty \le 16/255$(PSNR $\approx$ 25.2 dB) 로 제한됩니다.

2. 이중 차원 평가 (3 단계):
단일 ASR 지표 대신, 파이프라인은 LLM 판정자 (Claude Opus 4.7 에 대해 보정된 DeepSeek-V4-Pro) 를 사용하여 모든 (깨끗한, 적대적) 응답 쌍을 두 개의 독립적인 축을 따라 점수화합니다.

• 영향 (Drift): 응답이 깨끗한 기준선에서 벗어났는지 측정합니다. 결정론적인 Ratcliff-Obershelp 문자 유사도 점수 (프로그래밍적 기준선) 와 4 단계 서열 LLM 판단 (없음, 경미함, 상당함, 완전함) 을 통해 평가됩니다.
• 정밀 주입 (페이로드 전달): 특정 목표 개념이 나타났는지 측정합니다. 4 단계 서열 LLM 판단을 통해 평가됩니다.
  • 없음: 목표 콘텐츠 없음.
  • 약함: 주제적 단편 (예: 선거 목표에 대한 "대통령").
  • 부분적: 의미적 클래스 변형 (예: "카드 번호"에 대한 "계좌 번호").
  • 확인됨: 그대로 또는 거의 그대로의 목표 구문.

실험 설정:
본 연구는 7 개의 목표 프롬프트(직렬 URL 에서 허위 정보와 같은 의미 범주까지), 7 개의 테스트 이미지 (자연 사진 및 문서 스타일 스크린샷), 그리고 3 개의 대리 앙상블 구성을 4 개의 오픈 VLM 에서 평가하는 $7 \times 7 \times 3$ 행렬을 스윕합니다. 이를 통해 6,615 개의 응답 쌍이 도출됩니다.

주요 결과

핵심 발견은 교란과 주입 사이의 거대한 불일치입니다.

• 높은 교란, 낮은 주입: 6,615 개의 모든 쌍에서 프로그래밍적 교란률은 **66.4%**이며, LLM 판정된 "상당하거나 완전한" 교란률은 **46.6%**입니다. 그러나 정밀 주입률은 극히 낮습니다.

  • 광범위 주입(어떤 '없음'이 아닌 단계): 0.756% (6,615 쌍 중 50 쌍).
  • 엄격/직접 주입(확인됨 단계): 0.030% (6,615 쌍 중 2 쌍).
  • 이는 모델이 교란되는 것과 페이로드가 전달되는 것 사이에 약 90 배의 불일치를 나타냅니다.

• 아키텍처 민감성:

  • Transformer 스타일 VLM(Qwen2.5-VL, Qwen2-VL, DeepSeek-VL)은 보편적으로 교란되지만 (프로그래밍적 교란 100%), 주입률은 미미합니다 (0.09%~1.5%).
  • BLIP-2(Q-Former 병목 구조 사용) 는 2,205 개의 모든 쌍에서 0.00% 의 감지 가능한 드리프트나 주입을 보이며, 1 단계 대리 모델로 사용될 때도 마찬가지입니다. 저자들은 Q-Former 의 정보 병목과 해상도 다운샘플링이 교란을 필터링한다고 가정합니다.

• 이미지 및 페이로드 의존성:

  • 발생하는 주입은 응답 공간이 자연스럽게 텍스트 전사를 유도하거나 URL/계좌 모양의 토큰을 포함하는 스크린샷/문서 스타일 이미지(예: 코드 편집기, 청구서, 웹페이지) 에 집중됩니다.
  • 자연 사진 (개, 고양이) 은 높은 교란률을 보이지만 직접적인 주입은 없습니다.
  • 문자 그대로의 텍스트 페이로드 (URL 등) 는 의미론적 페이로드보다 2 단계 융합을 더 잘 견디지만,即便如此, 정확한 문자열 매칭은 드뭅니다.

주요 기여

1. 이중 차원 프레임워크: "드리프트"를 "페이로드 전달"과 분리하는 방법론으로, 단일 숫자 ASR 지표가 질적으로 다른 실패 모드를 혼동함을 입증합니다.
2. 체계적 스윕: 네 개의 VLM 에 걸쳐 6,615 개의 쌍에 대한 포괄적인 평가를 통해 교란과 주입 사이의 약 90 배 격차를 드러냈습니다.
3. 아키텍처 관찰: $L_\infty=16/255$에서 BLIP-2 가 이러한 공격에 면역임을 확인하여, Q-Former 스타일 병목 구조가 재학습 없이 내재적 적대적 견고성을 제공할 수 있음을 시사합니다.
4. 공개 데이터셋: API 키 없이 비트 단위의 정확한 재현을 가능하게 하기 위해 전체 데이터셋 (범용 이미지, 적대적 사진, 응답 쌍, 판정자 캐시) 을 공개했습니다.

의의 및 주장

이 논문은 페이로드 전달로 엄격히 정의될 때, 프롬프트 주입을 위한 "부드러운 배꼽"으로서의 시각 모달리티에 대한 현재의 서술이 과장되었다고 주장합니다. 범용 적대적 교란은 모델 출력을 교란(할루시네이션 또는 주제 전환 유발) 하는 데 효과적이지만, 응답 스트림에 특정 공격자가 선택한 구문을 신뢰성 있게 주입하는 데는 비효율적입니다.

저자들은 다음과 같이 결론 내립니다.

• 평가 기준: 향후 벤치마크는 단일 ASR 지표가 페이로드 전달의 실제 어려움을 숨기기 때문에, 영향과 정밀 주입을 별도로 보고해야 합니다.
• 방어 시사점: Q-Former 와 같은 정보 병목과 같은 아키텍처 선택은 값비싼 적대적 파인튜닝 없이도 $\epsilon$-바운드 공격에 대한 상당한 견고성을 제공할 수 있습니다.
• 위협 모델 현실: 신뢰성 있는 페이로드 전달 (예: 데이터 유출 또는 특정 URL 주입) 을 원하는 공격자의 경우, 작은 오픈 VLM 에 대한 시각적 범용 공격은 현재 성공률이 0.2% 부근으로 비적대적 채널에 비해 경쟁력이 없는 벡터입니다.

이 논문은 자신의 발견이 테스트된 오픈 VLM 과 $L_\infty=16/255$예산에 국한되며, 프런티어 폐쇄 모델 (GPT-4o 등) 로의 체계적 전이성은 여전히 열린 질문이라고 명시하며 겸손한 입장을 유지합니다. 다만 초기 anecdotal 테스트는 해당 공격이 전이되지 않음을 시사합니다.