Technische Samenvatting: Multi-Turn Adaptieve Promptaanval op Grote Visueel-Taalmodellen

Probleemstelling

Hoewel multi-turn jailbreak-aanvallen bewezen effectief zijn tegen tekst-only Grote Taalmodellen (LLMs) door geleidelijk kwaadaardige inhoud in te brengen om veiligheidsuitlijning te omzeilen, blijft het uitbreiden van deze technieken naar Grote Visueel-Taalmodellen (LVLM's) onderbelicht. De auteurs identificeren een kritieke kloof: het naïef opnemen van visuele input in multi-turn aanvallen maakt deze vaak makkelijker te verdedigen. Veiligheidsuitgelijnde LVLM's neigen sneller defensiemechanismen te activeren wanneer ze worden geconfronteerd met overmatig kwaadaardige visuele inhoud, wat resulteert in conservatieve antwoorden. Bovendien slagen bestaande methoden er niet in om schadelijke aanwijzingen over modaliteiten (tekst en visie) effectief te coördineren om elkaar wederzijds te versterken in plaats van te tegenspreken, waardoor de effectiviteit van de aanval beperkt blijft.

Methodologie: MAPA

Om deze uitdagingen aan te pakken, stellen de auteurs MAPA (Multi-Turn Adaptieve Promptaanval) voor, een raamwerk dat is ontworpen om geleidelijk steeds kwaadaardigere antwoorden op te wekken via een tweeledig adaptief ontwerp.

1. Per Omwenteling: Alternerende Aanvalshandelingen

Bij elke omwenteling van het gesprek hanteert MAPA een greedy-zoekstrategie om de meest effectieve aanvalshandeling te selecteren uit drie kandidaten. Dit proces omvat een Attacker LLM die een initiële onverbonden tekstprompt ($ucQ_T$) genereert en een Connector LLM (die werkt in een Chain-of-Thought-methode) die:

• Kwaadaardige concepten in de tekst identificeert.
• Een bijbehorende prompt voor het genereren van afbeeldingen genereert.
• De tekstprompt ($cQ_T$) verfijnt door kwaadaardige concepten te vervangen om af te stemmen op de visuele input.
• Stable Diffusion gebruikt om een kwaadaardige afbeelding ($cQ_V$) te genereren.

Op basis van deze componenten worden drie aanvalshandelingen geformuleerd en getest tegen de slachtoffer-LVLM:

• Actie 1: Alleen onverbonden tekstprompt ($ucQ_T$).
• Actie 2: Onverbonden tekstprompt + gegenereerde kwaadaardige afbeelding ($ucQ_T + cQ_V$).
• Actie 3: Verbonden tekstprompt + gegenereerde kwaadaardige afbeelding ($cQ_T + cQ_V$).

Een Judge LLM evalueert de antwoorden. Als geen enkele slaagt, wordt de handeling die de hoogste Semantische Correlatie (SEM) met de jailbreak-taak oplevert, geselecteerd als de optimale handeling voor de huidige omwenteling.

2. Tussen Omwentelingen: Adaptieve Trajectaanpassing

Over omwentelingen heen past MAPA het aanvalstraject aan via iteratieve heen-en-weer verfijning om kwaadaardigheid geleidelijk te versterken. Het systeem vergelijkt de semantische correlatie van het huidige antwoord met de historische context en eerdere omwentelingen om te beslissen over een van drie beleidslijnen:

• Vooruit: Geactiveerd als de huidige semantische correlatie toeneemt ten opzichte van de vorige omwenteling en de versie zonder historische context, wat wijst op een succesvolle geleidelijke injectie van kwaadaardigheid.
• Terug: Geactiveerd als de huidige correlatie afneemt ten opzichte van de vorige omwenteling maar toeneemt zonder historische context, wat suggereert dat de context van de vorige omwenteling de aanval heeft verslechterd. Het systeem keert terug naar de vorige omwenteling voor regeneratie.
• Regenereren: Geactiveerd als de correlatie toeneemt maar niet op een geleidelijke manier, of als deze overall afneemt. De prompt van de huidige omwenteling wordt opnieuw gegenereerd.

Daarnaast bevat MAPA een Reflectiemechanisme. Als een multi-turn-aanvalpoging faalt na het uitputten van het limiet aan omwentelingen, analyseert de Attacker LLM de geschiedenis van het falen (gefaalde strategieën en antwoorden) om een nieuwe, effectievere aanvalsketen te ontwerpen voor een volgende poging, waardoor leren binnen de taak mogelijk wordt.

Belangrijkste Bijdragen

1. Karakterisering van LVLM Jailbreak-falen: Het paper onthult dat bestaande single-turn en naïef uitgebreide multi-turn-aanvallen vaak falen tegen veiligheidsuitgelijnde LVLM's omdat rechtstreekse invoeging van kwaadaardige visuele inhoud verdedigingen activeert.
2. MAPA-raamwerk: Een praktische oplossing die gebruikmaakt van een tweeledig ontwerp (alterneren van acties per omwenteling en aanpassing van trajecten tussen omwentelingen) om deze falen te mitigeren. Het beheert expliciet de wisselwerking tussen tekst- en visiemodaliteiten om de effectiviteit van de aanval te versterken.
3. Uitgebreide Evaluatie: Uitgebreide experimenten en ablatiestudies die de superioriteit van MAPA ten opzichte van state-of-the-art-methoden aantonen.

Experimentele Resultaten

De auteurs hebben MAPA geëvalueerd op vier benchmarks (HarmBench, JailbreakBench, AdvBench, RedTeam-2K) tegen vier doelmodellen: LLaVA-v1.6-Mistral-7B, Qwen2.5-VL-7B-Instruct, Llama-3.2-Vision-11B-Instruct en GPT-4o-mini.

• Prestaties: MAPA presteerde consistent beter dan baselines (waaronder CoA, ActorAttack, FootInTheDoor, VRP en MML). Op HarmBench bereikte het een gemiddelde Aanvalssuccesratio (ASR) van 96,66%, een verbetering van ongeveer 26,11% ten opzichte van de op één na beste methode.
• Benchmark-consistentie: MAPA toonde significante winsten over alle benchmarks, met een verbetering van de gemiddelde ASR met 23,33% op JailbreakBench, 14,45% op AdvBench en 32,22% op RedTeam-2K ten opzichte van de beste baselines.
• Ablatiestudies: Het verwijderen van het reflectiemechanisme verlaagde de prestaties gemiddeld met 8,89%. Het uitschakelen van beleidsaanpassing (trajectverfijning) veroorzaakte een daling van 12,23%. De studie onthulde ook dat het naïef toevoegen van visuele input (zonder de adaptieve uitlijning van Actie 3) de prestaties kon verminderen, met name tegen modellen met sterke visuele veiligheidsmechanismen zoals Llama-3.2-Vision.
• Efficiëntie: Bij vaste query-budgetten behield MAPA hogere successpercentages terwijl het minder queries verbruikte dan baselines.

Betekenis en Beweringen

Het paper beweert het eerste werk te zijn dat systematisch de pijnpunten van multi-turn jailbreaks op LVLM's onderzoekt en aanpakt. Het onthult veiligheidskwetsbaarheden in veelgebruikte LVLM's binnen cross-modale multi-turn-dialogen. De auteurs stellen dat hun bevindingen de noodzaak benadrukken om tekst-visie prompts intelligent te optimaliseren in plaats van ze oppervlakkig uit te lijnen. Uiteindelijk beoogt het werk de ontwikkeling van robuustere veiligheidsuitlijningen voor LVLM's in realistische en kwaadaardige omgevingen te bevorderen door deze specifieke kwetsbaarheden bloot te leggen.