Technische Samenvatting: MM-POISONRAG

Probleemstelling

Retrieval-Augmented Generation (RAG) is een standaardpraktijk geworden voor Multimodale Grootte Taalmodellen (MLLM's) om feitelijke onderbouwing te verbeteren en hallucinaties te beperken door externe tekstuele en visuele contexten op te halen. Deze afhankelijkheid van externe Kennisbanken (KB's) introduceert echter een kritieke beveiligingskwetsbaarheid: multimodale kennisvergiftiging. In tegenstelling tot gecureerde trainingscorpora zijn externe KB's vaak open, waardoor tegenstanders kwaadaardige inhoud kunnen injecteren. Waar vergiftiging van tekst-only RAG al bestudeerd is, wijst bestaand onderzoek erop dat tekst-only aanvallen ontoereikend zijn om het cross-modale ophaalproces in multimodale systemen te compromitteren. Bovendien hebben eerdere studies naar multimodale vergiftiging zich grotendeels gericht op scenario's waarbij gebruikers afbeeldingen uploaden, waardoor de dreiging van vergiftiging bij het ophalen van afbeelding-tekstparen uit tekstvragen grotendeels onontgonnen terrein blijft. Dit artikel adresseert de lacune in het begrijpen hoe adversariële multimodale inhoud in externe KB's kan worden ingebracht om zowel de ophaal- als de generatiefasen van multimodale RAG-pijplijnen te verstoren.

Methodologie

De auteurs introduceren MM-POISONRAG, een systematisch raamwerk ontworpen om kennisvergiftigingsaanvallen op multimodale RAG-systemen te bestuderen en uit te voeren. Het raamwerk werkt binnen een pijplijn bestaande uit een multimodale KB, een ophaaler (bijv. CLIP), een MLLM-herordenaar en een MLLM-generator.

De auteurs definiëren twee nieuwe aanvalsstrategieën die zijn toegespitst op verschillende bedreigingsmodellen en toegangsniveaus:

1. Gelokaliseerde Vergiftigingsaanval (LPA)

LPA is een gerichte aanval ontworpen om de output van het model voor een specifieke query ($Q_i$) te manipuleren naar een door de aanvaller gedefinieerd fout antwoord ($A^{adv}_i$).

• Mechanisme: De aanvaller injecteert één vergiftigd afbeelding-tekstpaar $(I^{adv}_i, T^{adv}_i)$ in de KB. De bijschrift $T^{adv}_i$ is zo ontworpen dat het semantisch coherent is met de query maar feitelijk onjuist, en de afbeelding $I^{adv}_i$ is gesynthetiseerd om te matchen met het bijschrift.
• Bedreigingsmodellen:
  • LPA-BB (Black-Box): De aanvaller heeft geen toegang tot de interne werking van het model. Zij gebruiken een LLM (GPT-4) om een misleidende bijschrift te genereren en een diffusiemodel (Stable Diffusion) om een bijpassende afbeelding te genereren.
  • LPA-Rt (White-Box Ophaler): De aanvaller heeft toegang tot de parameters van de ophaler. Zij optimaliseren iteratief de adversariële afbeelding $I^{adv}_i$ met behulp van gradiëntascentie om de cosinus-sequentie tussen de afbeeldingembedding en de queryembedding te maximaliseren, zodat het vergiftigde item boven de grondwahrheid wordt opgehaald.

2. Gecentraliseerde Vergiftigingsaanval (GPA)

GPA is een ongerichte aanval ontworpen om de prestaties van het systeem te verstoren over alle queries met behulp van één enkele, query-irrelevante adversariële invoer.

• Mechanisme: De aanvaller injecteert één afbeelding-tekstpaar $(I^{adv}, T^{adv})$ dat semantisch irrelevant is voor elke specifieke query, maar zo is geoptimaliseerd dat het universeel relevant lijkt.
• Bedreigingsmodellen:
  • GPA-Rt: De aanvaller optimaliseert een enkele afbeeldingembedding om de gelijkenis te maximaliseren met het zwaartepunt van alle query-embeddings in de taak, waardoor deze voor elke query wordt opgehaald. Het bijschrift is zo ontworpen dat het de herordenaar beïnvloedt om voor "Ja" te kiezen.
  • GPA-RtRrGen: De aanvaller heeft volledige white-box-toegang tot de ophaler, herordenaar en generator. Zij optimaliseren gezamenlijk de afbeelding om de ophaalgelijkenis, de relevantiescores van de herordenaar en de naleving door de generator te maximaliseren (bijv. het forceren van de output "Sorry" ongeacht de query).

Experimentele Opstelling

Het raamwerk werd geëvalueerd op twee multimodale QA-benchmarks: MultimodalQA en WebQA. De experimenten maakten gebruik van diverse ophalers (CLIP, OpenCLIP, SigLIP) en MLLM's (LLaVA, Qwen-VL-Chat) voor herordening en generatie. De studie beoordeelde de succespercentages van aanvallen onder variërende configuraties (bijv. aantal opgehaalde contexten $N$, herordende contexten $K$, en opname van bijschriften).

Belangrijkste Resultaten

Effectiviteit van Aanvallen

• Gelokaliseerde Vergiftiging (LPA): Zelfs in een volledige black-box setting (LPA-BB) bereikte de aanval tot 46,4% nauwkeurigheid bij vergiftigde antwoorden. Wanneer de aanvaller toegang had tot de ophaler (LPA-Rt), steeg het succespercentage aanzienlijk, tot 56,8% nauwkeurigheid en 88,8% ophaalrecall voor de vergiftigde context op MultimodalQA.
• Gecentraliseerde Vergiftiging (GPA): GPA bleek verwoestend effectief. Met slechts één vergiftigde invoer bracht GPA-Rt de ophaalrecall terug tot 1,6% (MultimodalQA) en 0,0% (WebQA). De variant GPA-RtRrGen dreef de nauwkeurigheid van het uiteindelijke antwoord naar 0% over alle queries, waardoor de hele pijplijn effectief werd geneutraliseerd.
• Overdraagbaarheid: LPA-Rt-aanvallen die waren geoptimaliseerd voor CLIP, toonden sterke overdraagbaarheid naar andere ophalers (OpenCLIP, SigLIP) zonder heroptimalisatie, met hoge succespercentages zelfs wanneer de doelophaler onbekend was voor de aanvaller. GPA-Rt toonde een zwakkere overdraagbaarheid, maar veroorzaakte toch aanzienlijke verstoring.

Ondoelmatigheid van Bestaande Verdedigingen

De auteurs evalueerden verschillende bestaande verdedigingsmechanismen en stelden vast dat deze grotendeels ineffectief zijn tegen multimodale vergiftiging:

• Parafraaseringsverdediging: Het wijzigen van de query via parafraasering voorkwam de aanvallen niet.
• Perplexiteit-gebaseerde Filtering: Faalde bij het detecteren van vergiftigde items, aangezien hun perplexiteit niet te onderscheiden was van die van onschuldige responsen.
• Detectie van Adversariële Afbeeldingen: Feature squeezing en andere op verstoring gebaseerde detectoren bereikten 0% detectienauwkeurigheid.
• Multimodale Audit:
  • CLIP-gebaseerde Consistentie: Faalde bij het detecteren van aanvallen omdat de vergiftigde afbeeldingen waren geoptimaliseerd om sterk te aligneren met hun bijschriften.
  • Detectie van Abnormaliteiten: Gecombineerde tekst/afbeelding-detectoren bereikten slechts ~10% detectie voor LPA-BB en <4% voor GPA.

Betekenis en Claims

Het artikel claimt het eerste systematische raamwerk te presenteren voor het bestuderen van kennisvergiftiging in end-to-end multimodale RAG-systemen. De primaire bijdragen zijn:

1. Aan het Licht Brengen van Cross-Modale Kwetsbaarheden: De studie toont aan dat multimodale RAG uniek kwetsbaar is vanwege de afhankelijkheid van cross-modale alignering. Adversariële afbeeldingen kunnen gelijkenisscores manipuleren om het ophalen te domineren, een vector die niet uitbuitbaar is door tekst-only vergiftiging.
2. Haalbaarheid van Black-Box Aanvallen: De resultaten tonen aan dat zelfs aanvaller zonder interne modeltoegang (black-box) multimodale RAG-systemen succesvol kunnen compromitteren, met name door gebruik te maken van surrogate-modellen voor optimalisatie.
3. Catastrofale Impact van Minimale Injectie: De Gecentraliseerde Vergiftigingsaanval toont aan dat één enkele adversariële invoer de systeemprestaties kan degraderen tot een nauwkeurigheid die dicht bij nul ligt, wat de broosheid benadrukt van het vertrouwen op externe KB's.
4. Verdedigingslacune: Het artikel stelt vast dat verdedigingen die zijn ontworpen voor tekst-only RAG of standaard computer vision-adversariële voorbeelden ontoereikend zijn voor multimodale RAG, wat de dringende noodzaak onderstreept van toegewijde, modaal-bewuste verdedigingsstrategieën.

De auteurs concluderen dat MM-POISONRAG de basis legt voor toekomstig onderzoek naar het beveiligen van multimodale RAG-ramenwerken tegen kennisvergiftiging, met de nadruk dat de huidige afhankelijkheid van externe kennisbronnen zonder robuuste verificatie een aanzienlijk risico vormt voor de betrouwbaarheid van MLLM's.