Technische Samenvatting: GPO-V: Jailbreak Diffusion Vision Language Model door Global Probability Optimization

Probleemstelling

Diffusion Vision-Language Models (dVLMs) vertegenwoordigen een significante verschuiving ten opzichte van traditionele autoregressieve generatieve paradigma's, waarbij niet-causale, iteratieve denoising-processen worden gebruikt voor multimodale taken. Hoewel autoregressieve modellen uitgebreide veiligheidsalignatie hebben ondergaan om adversariële risico's te mitigeren, blijft het veiligheidslandschap van dVLMs grotendeels onverkend.

Het artikel identificeert een kritieke kloof: bestaande jailbreak-methodologieën, specifiek Fixed Prefix Optimization (FPO) (bijvoorbeeld het forceren van een model om te beginnen met "Natuurlijk, hier is"), zijn grotendeels ineffectief tegen dVLMs. Deze ineffectiviteit vloeit voort uit unieke weigeringspatronen die inherent zijn aan diffusion-architecturen:

1. Directe Weigering: Het model detecteert risico's en genereert terminatie-tokens (bijvoorbeeld <end>) op een "achter-voor" manier, waardoor de generatie onmiddellijk wordt gestopt.
2. Progressieve Weigering: Het model genereert aanvankelijk bevestigende inhoud, maar tijdens het iteratieve verfijningsproces schakelt het over naar een weigering naarmate onveilige semantics naar voren komen.

Conventionele FPO-aanvallen, die lokale prefixes optimaliseren, falen omdat de globale verfijningskarakteristiek van diffusion-modellen fungeert als een "corrector", die lokale prefix-manipulaties uiteindelijk overschrijft met een progressieve weigering. Het artikel stelt dat een nieuwe aanvalsstrategie vereist is om deze globale probabilistische verdedigingen te omzeilen.

Methodologie

1. Heuristische Inferentie en Theoretische Basis

De auteurs trekken een analogie tussen image diffusion en text diffusion. Bij image-generatie herstellen vroege denoising-stappen laag-dimensionale semantische structuren die de uiteindelijke output bepalen. Op dezelfde manier bepalen bij dVLMs de initiële generatiestappen (lage timesteps) grotendeels de respons-polariteit. De globale bidirectionele attentie-predicties in deze vroege stadia beperken de daaropvolgende generatieve trajecten.

2. Global Probability Optimization (GPO)

Om deze kwetsbaarheid te exploiteren, stellen de auteurs Global Probability Optimization (GPO) voor, een strategie die specifiek is ontworpen voor masked diffusion-modellen. In tegenstelling tot FPO, dat een vaste prefix optimaliseert, manipuleert GPO de globale kansverdeling van de volledige gegenereerde sequentie.

De GPO-verliesfunctie ($L_{GPO}$) bestaat uit twee componenten:

• Global Loss ($L_{global}$): Minimaliseert de kans op het genereren van negatieve primitieven (weigering-tokens zoals <end>, <eos>, of weigeringszinnen) over alle posities in de sequentie, met name in de initiële en finale stadia van vroege timesteps. Dit beoogt zowel Immediate als Progressive Refusal-patronen te onderdrukken.
• Anchor Loss ($L_{anchor}$): Maximaliseert de kans op specifieke "verbindende" positieve tokens (anchors) op intermediaire posities. Deze anchors fungeren als stabiele semantische draaipunten die zich opstapelen tot een coherent positief antwoord, waardoor het model wordt voorkomen dat het afwijkt naar een progressieve weigering.

De totale loss wordt gedefinieerd als:
$$L_{GPO} = \lambda_1 L_{global} + \lambda_2 L_{anchor}$$

3. GPO-V Framework

Op basis van GPO introduceren de auteurs GPO-V, het eerste jailbreak-framework dat is toegespitst op dVLMs.

• Mechanisme: GPO-V past adversariële perturbaties ($\delta$) toe op de invoerafbeelding (of de bijbehorende latente representatie) om de output-verdeling van het model te sturen.
• Optimalisatie: De perturbatie wordt geoptimaliseerd om $L_{GPO}$ te minimaliseren, terwijl wordt voldaan aan een perturbatiegrens ($\|\delta\|_\infty < \epsilon$).
• Flexibiliteit: Het framework ondersteunt optimalisatie zowel in pixelruimte als in latent space (met behulp van encoders zoals SigLIP of DINOv2), waarbij de auteurs opmerken dat optimalisatie in latent space wordt toegepast omwille van efficiëntie, maar vergelijkbare resultaten oplevert.

Belangrijkste Bijdragen

1. Identificatie van Weigeringspatronen: Het artikel is het eerste dat systematisch twee distincte weigeringsgedragingen in diffusion-taalmodellen identificeert en categoriseert: Immediate Refusal en Progressive Refusal, waardoor de onderliggende verdedigingsmechanismen van dVLMs worden onthuld.
2. GPO-strategie: De voorstelling van Global Probability Optimization, een nieuwe strategie die veiligheidsbewakers omzeilt door globale onderdrukking van negatieve token-kansen en optimalisatie van anchor-losses, in tegenstelling tot de prefix-gebaseerde optimalisatie van autoregressieve modellen.
3. GPO-V Framework: De ontwikkeling van het eerste jailbreak-framework voor visuele modaliteit voor dVLMs. Het toont aan dat dVLMs inherent kwetsbaar zijn voor globale probabilistische aanvallen, ondanks hun ogenschijnlijke robuustheid tegen FPO.

Experimentele Resultaten

De auteurs hebben GPO-V geëvalueerd op twee state-of-the-art masked diffusion vision-language modellen: LLaDA-V en LaViDA, met behulp van de AdvBench en JailBreakBench datasets.

• Attack Success Rate (JSR): GPO-V behaalde een jailbreak-succespercentage van tot 93,2% op LLaDA-V en 88,9% op LaViDA. In tegenstelling hiermee behaalden traditionele op FPO gebaseerde baselines (bijvoorbeeld GCG) verwaarloosbare succespercentages (vaak < 2%).
• Transferability: De door GPO-V gegenereerde adversariële perturbaties toonden een hoge cross-model transferability. Aanvallen die op een bronmodel waren geoptimaliseerd, compromitteerden succesvol slachtoffermodellen met heterogene architecturen (bijvoorbeeld overdracht van LLaDA-V naar LaViDA) met succespercentages die 65% overschreden, wat wijst op het vastleggen van model-agnostische kwetsbaarheden.
• Robuustheid: De methode bleef effectief over verschillende generatieconfiguraties, waaronder variërende block-lengtes en het gebruik van Fast-dLLM-versnellingstechnieken.
• Ablatie-studies: Het verwijderen van ofwel de global loss ofwel de anchor loss verminderde de aanvalseffectiviteit aanzienlijk, wat bevestigt dat zowel de onderdrukking van weigeringspatronen als de stabilisatie van positieve anchors noodzakelijk zijn voor succes.

Betekenis en Claims

Het artikel stelt dat de bevindingen wijzen op een kritieke veiligheidskloof in niet-sequentiële generatieve architecturen. De primaire betekenis ligt in:

• Uitdagen van Waargenomen Robuustheid: De resultaten tonen aan dat de waargenomen veerkracht van dVLMs tegen conventionele jailbreaks misleidend is. Het unieke "Progressive Refusal"-mechanisme, dat fungeert als verdediging tegen lokale prefix-aanvallen, is op zichzelf een kwetsbaarheid wanneer het wordt aangevallen met global probability optimization.
• Noodzaak tot Herbeoordeling: De auteurs betogen dat huidige verdedigingsparadigma's, grotendeels geoptimaliseerd voor causale (autoregressieve) decoding, ontoereikend zijn voor het unieke generatieve manifold van diffusion-modellen.
• Oproep tot Actie: Het werk vereist een onmiddellijke en fundamentele herbeoordeling van veiligheidsalignatie voor dVLMs om de risico's van op diffusion gebaseerde generatie aan te pakken, en dringt er bij de onderzoeksgemeenschap op aan om robuuste verdedigingen te ontwikkelen tegen deze opkomende niet-sequentiële bedreigingen.

Het artikel concludeert dat GPO-V intrinsieke kwetsbaarheden in het diffusion-proces zelf blootlegt, wat suggereert dat veiligheidsalignatie moet evolueren om rekening te houden met globale probabilistische dynamiek in plaats van alleen sequentiële token-predictie.