Technische Samenvatting: DarkLLM

Probleemstelling

Hoewel grote visuele en multimodale fundamentele modellen (bijv. CLIP, SAM, geavanceerde MLLMs) centraal zijn geworden in perceptie- en redeneertaken, blijven ze zeer kwetsbaar voor adversariële verstoringen. Traditionele methoden voor adversariële aanvallen staan voor twee fundamentele beperkingen: overdraagbaarheid en schaalbaarheid.

1. Overdraagbaarheid: Bestaande aanvallen zijn vaak op maat gemaakt voor specifieke architecturen of taken (bijv. classificatie versus segmentatie), waardoor het moeilijk is om één verstoring te genereren die heterogene modellen gelijktijdig compromitteert.
2. Schaalbaarheid: Huidige benaderingen volgen doorgaans een rigide paradigma van "één doel, één optimalisatie". Elke nieuwe adversariële doelstelling (bijv. het wijzigen van een doelklasse, overschakelen van ongeoriënteerd naar gericht, of verplaatsen van VLMs naar segmentatiemodellen) vereist een specifieke optimalisatiepijplijn en herontwerp, wat flexibele specificatie van adversariële intenties verhindert.

Het artikel stelt de vraag: Kan er een nieuw kader worden ontworpen dat zowel overdraagbaar is tussen modellen als schaalbaar tussen doelstellingen, door gebruik te maken van de semantische redeneercapaciteiten van Large Language Models (LLMs)?

Methodologie: DarkLLM

De auteurs stellen DarkLLM voor, een nieuw taalgestuurd kader voor adversariële aanvallen. In plaats van vaste optimalisatiedoelstellingen te gebruiken, reformuleert DarkLLM adversariële generatie als een taalgeconditioneerd synthese-probleem. Het kader bestaat uit twee hoofdfasen:

1. Kaderarchitectuur

• LLM als Adversariële Controller: Een Large Language Model (specifiek geïnitieerd vanuit InternVL2.5-1B) fungeert als controller. Het ontvangt natuurlijke taal-instructies (bijv. "Laat het segmentatiemodel deze afbeelding niet segmenteren") en zet deze om in hoogwaardige latente aanvalsembeddings.
• Speciale Controletokens: De vocabulaire van de LLM wordt uitgebreid met speciale controletokens (bijv. [VLM_TGT], [SEG_ADV], [MULTI_ADV]). Wanneer de LLM een reactie genereert die een specifiek token bevat, activeert dit de bijbehorende adversariële generator.
• Extrahering van Latente Embeddings: De verborgen toestand die overeenkomt met het controletoken wordt geëxtraheerd en geprojecteerd via een MLP met twee lagen om een verfijnd aanvalssignaal ($E_{adv}$) te vormen.
• Conditionele Verstooringsgenerator: Een lichtgewicht, trainbare generator ($F_{gen}$) neemt de latente aanvalsembedding $E_{adv}$ en een random ruisembedding $Z$ als invoer. Het maakt gebruik van een cross-attention-mechanisme waarbij $E_{adv}$ dient als sleutel en waarde, en de verfijning van ruisembeddings leidt om de pixel-level adversariële verstoring ($\delta_{adv}$) te synthetiseren. De verstoring is begrensd door een $L_\infty$-normbeperking ($\|\delta_{adv}\|_\infty \leq \epsilon$).

2. Trainingsstrategie

Om de heterogeniteit van aanvalstypen (gericht, ongeoriënteerd, segmentatie, multi-model) te hanteren, hanteren de auteurs een strategie voor Gekoppelde Progressieve Training:

• Fase 1 (Gerichte Instructietuning): De LLM-controller wordt instructiegetuned (via LoRA) op gerichte QA-achtige data om de semantische parsing van complexe aanvalsbefelen te beheersen.
• Fase 2 (Unificatie van Aanvalstraining): De controller wordt geïnitieerd met de gewichten van Fase 1. Alle aanvalstypen worden gezamenlijk getraind, maar de gerichte generator wordt bevroren om zijn capaciteit te behouden, terwijl ongeoriënteerde en multi-model-generators samen met de controller worden getraind. Dit voorkomt gradiëntinterferentie tussen incompatibele doelstellingen.

3. Optimalisatie en Surrogaatmodellen

Het kader maakt gebruik van een op overdracht gebaseerde black-box-aanvalsomgeving, waarbij wordt geoptimaliseerd tegen surrogaatmodellen om overdraagbaarheid naar onbekende doelen te waarborgen:

• Voor Segmentatie (SAM): Om overdraagbaarheid van prompts en backbones aan te pakken, gebruiken de auteurs een multi-prompt ensemble (het willekeurig stalen van punt- en kistprompts) en optimaliseren ze een Binary Cross-Entropy (BCE)-verlies om maskervoorspellingen naar de grens van de volledige achtergrond te duwen, waardoor overfitting op specifieke backbone-activaties wordt vermeden.
• Voor Visueel-Talige Modellen (CLIP/MLLMs): Er wordt een surrogaatschaalstrategie gebruikt, waarbij tijdens gedistribueerde training een ensemble van diverse CLIP-architecturen en pre-training-datasets wordt ingezet om gradiëntdiversiteit en overdraagbaarheid te verbeteren.

Belangrijkste Bijdragen

1. Unificerend Kader: DarkLLM is het eerste kader dat gerichte, ongeoriënteerde, segmentatie- en multi-model-aanvallen verenigt binnen één instructievolgend paradigma.
2. Taalgestuurde Generatie: Het maakt gebruik van LLMs om natuurlijke taal-instructies om te zetten in latente aanvalvectoren, waardoor flexibele specificatie van adversariële intenties mogelijk is zonder herontwerp van de pijplijn.
3. Modulair Ontwerp: Het gebruik van controletokens en toegewijde generators maakt modulaire schaalbaarheid mogelijk, waardoor nieuwe aanvalstypen kunnen worden toegevoegd zonder het volledige systeem vanaf nul opnieuw te hoeven trainen.
4. Uitgebreide Evaluatie: De methode wordt geëvalueerd over 4 taken, 13 datasets en 15 modellen, waaronder CLIP, SAM (verschillende versies) en geavanceerde commerciële MLLMs (GPT-4o, Gemini, Qwen-VL).

Experimentele Resultaten

• Ongeoriënteerde Aanvallen: DarkLLM behaalt sterke prestaties bij zero-shot classificatie, afbeelding-tekst retrieval en afbeelding-captioning. Het presteert beter dan of is concurrerend met state-of-the-art baselines zoals X-Transfer en AnyAttack, en toont superieure overdraagbaarheid tussen verschillende CLIP-encoders.
• Gerichte Aanvallen: Op geavanceerde commerciële MLLMs bereikt DarkLLM hoge Aanvalssuccespercentages (ASR). Zo bereikt het 67,7% ASR op GPT-4o en 60,6% op Gemini-3-Flash (met gebruik van InternVL-2B), wat aanzienlijk beter presteert dan universele baselines zoals AnyAttack.
• Segmentatie-aanvallen: DarkLLM veroorzaakt aanzienlijke mIoU-degradatie over SAM-varianten (Base, Huge, HQ, SAM2) en datasets (ADE, COCO, Cityscapes). Het presteert consequent beter dan gespecialiseerde baselines zoals UAD en DarkSAM, met name in scenario's met overdracht tussen verschillende backbones.
• Schaalbaarheid voor Multi-model: Een enkele verstoring gegenereerd door DarkLLM degradeert zowel SAM (segmentatie) als CLIP/MLLMs (herkenning/captioning) gelijktijdig succesvol, wat gedeelde kwetsbaarheden blootlegt tussen diverse fundamentele modelarchitecturen.
• Robuustheid: De aanvallen blijven effectief tegen gemeenschappelijke pre-processing-verdedigingen zoals contrast- en helderheidsaanpassingen.

Betekenis en Beweringen

Het artikel beweert dat DarkLLM een systemische kwetsbaarheid in moderne fundamentele modellen blootlegt, en aantoont dat functioneel verschillende modellen fundamentele semantische zwaktes delen die kunnen worden uitgebuit via een unificerend, taalgestuurd aanpak.

De auteurs positioneren DarkLLM niet louter als een offensief instrument, maar als een kritiek veiligheidsbeoordelingsmechanisme. Zij betogen dat het vermogen om complexe, multi-objectieve adversariële doelen via natuurlijke taal te specificeren, de noodzaak onderstreept voor robuustere verdedigingen. Het werk beoogt de gemeenschap te voorzien van een unificerend benchmark voor het beoordelen van de robuustheid van fundamentele modellen tegen flexibele, schaalbare en overdraagbare aanvallen, wat uiteindelijk de ontwikkeling van veerkrachtigere AI-systemen zal sturen. De auteurs verklaren expliciet dat hun intentie is dat het werk wordt gebruikt voor "Red-Teaming" en "Privacybehoud", met een strikt verbod op kwaadaardig gebruik.