Adversarial Diffusion Across Modalities: A Fusion Survey of Attacks, Defenses, and Evaluation for Text, Vision, and Vision-Language Models

Technische Samenvatting: Adversariële Diffusie over Modaliteiten heen

Probleemstelling
De inzet van Large Language Models (LLM's) in domeinen met een hoog risico vereist rigoureuze veiligheidsbeoordelingen, primair door middel van red teaming. Hoewel de literatuur over red teaming volwassen is geworden, blijft deze gefragmenteerd over vier grotendeels niet-verbonden onderzoeksstromen: (1) diffusie-gebaseerde aanvallen op tekst en LLM's, (2) diffusie-gebaseerde aanvallen op beeldclassificatie, (3) jailbreak-pipelines tegen vision-language modellen (VLM's) en (4) diffusie-gebaseerde input-zuiveringsverdedigingen. Elke stroom opereert met een eigen vocabulaire, dreigingsmodellen en benchmarks. Als gevolg hiervan ontbreekt een geconsolideerde referentie die de huidige stand van de techniek, methodologische diversiteit en evaluatiekloven beschrijft voor onderzoekers die de intersectie van diffusiemodellen en adversariële aanvallen betreden. Specifiek is de literatuur over het gebruik van diffusiemodellen als adversariële generatoren tegen LLM's klein (slechts vier gepubliceerde papers op het moment van schrijven) maar methodologisch divers, terwijl de volwassen literatuur in het beelddomein specifieke recepten biedt die nog niet naar tekst zijn overgebracht.

Methodologie
Dit werk is een narratieve review met kwaliteitsbeoordeling, verschillend van een op PRISMA gebaseerde systematische review. De auteurs hebben een gestructureerde zoekopdracht uitgevoerd in belangrijke databases (arXiv, Google Scholar, IEEE Xplore, ACM Digital Library, etc.) en podia (NeurIPS, ICML, CVPR, ACL, USENIX Security, etc.) met trefwoorden die "diffusion model" combineren met "adversarial", "jailbreak" en "red teaming".

• Selectie: De initiële zoekopdracht leverde 154 kandidaat-records op. Na screening van titel/abstract en beoordeling van de volledige tekst op geschiktheid, werden 50 papers behouden voor de catalogus.
• Omvang: De catalogus bevat:
  • 4 papers over diffusie-gebaseerde aanvallen op tekst/LLM's (Familie A).
  • 18 papers over diffusie-gebaseerde aanvallen op beeldclassificatie (Familie D).
  • 10 papers over diffusie-gebaseerde aanvallen op VLM's (Familie E).
  • 4 papers over diffusie-gebaseerde verdedigingen voor tekst/multimodale modellen (Familie C).
  • 4 diffusie-LLM's als slachtoffers (Familie B, opgenomen als aangrenzende context).
  • 10 niet-diffusie baselines voor vergelijking.
• Kwaliteitscontrole: Een aanvullende post-hoc overeenstemmingcheck werd uitgevoerd met behulp van twee onafhankelijke LLM-agenten om de inclusieregel te verifiëren, wat een Cohen's $\kappa$ van 0.781 opleverde.
• Data Synthese: Voor elk paper extraheerden de auteurs diffusierollen, formuleringen, trainingsmethoden, datasets, metrieken, doelmodellen en de beschikbaarheid van code.

Belangrijkste Bijdragen

1. Verenigde Taxonomie van Diffusierollen: Het artikel stelt een zes-delige taxonomie voor die categoriseert hoe diffusiemodellen functioneren in adversariële pipelines:

   • Getrainde Generator: Het diffusiemodel wordt end-to-end getraind met een adversariële doelstelling.
   • Bevroren met Latente Perturbatie: DDIM inversie plus gradiëntupdates in de latentruimte (gangbaar bij beeldaanvallen).
   • Bevroren met Score/Classifier Guidance: Adversariële gradiënten geïnjecteerd in de reverse SDE tijdens sampling.
   • Off-the-Shelf Inferentie: Gebruik van een vooraf getraind diffusie-LLM zonder training of optimalisatie (bijv. response-conditional inpainting).
   • Alleen-Pipeline Renderer: Diffusie genereert content (beelden/scènes) die dient als input voor een apart aanvalskanaal; er vloeien geen gradiënten door de sampler.
   • Slachtoffer Diffusiemodel: Het diffusiemodel zelf is het doelwit van de aanval.
     Deze taxonomie wordt aangevuld met een dreigingsmodel-as (aanvaller-kennis, query-toegang, doelwit-toegankelijkheid).

2. Vijfdimensionaal Evaluatiekader: De auteurs introduceren een verenigd kader om aanvallen over modaliteiten heen te vergelijken, bestaande uit:

   • Attack Success Rate (ASR).
   • Transferability (succes over verschillende doelmodellen heen).
   • Query Budget (aantal modeloproepen/restarts).
   • Perplexity (proxy voor het omzeilen van inputfilters).
   • Defense Evasion (prestaties tegenover zuiveraars zoals DiffPure, DiffuseDef, of CoDefend).

3. Cross-Modale Fusie: De review integreert 50 papers uit vier voorheen niet-verbonden stromen (tekst/LLM, beeldclassificatie, VLM, defensie) in één enkel conceptueel kader, en biedt een uitgebreide catalogus en een publieke spreadsheet met metadata voor alle opgenomen werken.

4. Duale Aanvaller-Verdediger Perspectief: De review behandelt vier diffusie-gebaseerde verdedigingen (drie voor tekstclassificatie, één voor multimodale LLM's) als de natuurlijke evaluatieachtergrond voor nieuwe aanvallen, waarbij de asymmetrie tussen prolifererende aanvallen en onvoldoende gecontroleerde verdedigingen wordt benadrukt.

Resultaten en Bevindingen

• State of the Art (Tekst/LLM): De literatuur over diffusie-gebaseerde aanvallen tegen LLM's is in een vroeg stadium (4 papers) maar methodologisch divers. Benaderingen omvatten continue latente denoising met Gumbel-Softmax (DiffusionAttacker), embedding-ruimte perturbatie onder nabijheidsrestricties (DART), en training-vrije inferentie op vooraf getrainde gemaskeerde diffusie-LLM's (Lüdke et al.).
• State of the Art (Beeld/VLM): Het beelddomein is volwassen en maakt gebruik van recepten zoals DDIM inversie, score guidance en segment-gewijze back-propagation. VLM-aanvallen worden gedomineerd door "alleen-pipeline" toepassingen waarbij diffusie beelden rendert voor pixel-ruimte aanvallen, met weinig gevallen die direct diffusiegradiënten exploiteren.
• Prestatiekloven:
  • Closed-Model Gap: Diffusie-gebaseerde aanvallen laten significant lagere succespercentages zien op frontier closed-modellen (bijv. GPT-4o, Claude-3.5) vergeleken met open-weight modellen. Zo behaalde IDEATOR een ASR van 94% op MiniGPT-4, maar slechts 19,65% op Claude-3.5.
  • White-Box Afhankelijkheid: Drie van de vier tekstgebaseerde aanvalspapers vertrouwen op white-box gradiënten van het doelmodel tijdens de training, wat de directe toepasbaarheid op gesloten systemen beperkt.
  • Onderbenutting van Discrete Diffusie: Geen enkele gepubliceerde tekstaanval combineert een echte discrete-diffusie sampler (bijv. D3PM, SEDD) met een expliciete schadelijkheidsbeloning en een grootschalige evaluatie (bijv. HarmBench).
  • Defense Evasion: Huidige tekstaanvallen testen zelden tegen moderne inputfilters (bijv. Llama-Guard, SmoothLLM). Gerapporteerde lage perplexiteit is noodzakelijk, maar onvoldoende bewijs voor het omzeilen van filters.
  • Single-Turn Beperking: Alle tekstgebaseerde diffusie-aanvallen produceren single-shot prompts, waardoor ze geen gebruik kunnen maken van de bidirectionele conditionering van diffusie voor multi-turn dialoog-aanvallen.

Significantie en Claims
Het artikel positioneert zichzelf als een cruciale "informatie-fusie oefening" die dubbel werk binnen de NLP-veiligheids-, adversariële robuustheids- en generatieve modelleringsgemeenschappen vermindert. De primaire significantie ligt in:

• Verheldering van het Landschap: Het bieden van de eerste geconsolideerde referentie voor diffusie-gebaseerde adversariële generatie, waarbij onderscheid wordt gemaakt tussen methoden die diffusiegradiënten exploiteren en methoden die diffusie als black-box renderer gebruiken.
• Identificatie van Onderzoekskloven: Het expliciet benadrukken van vijf terugkerende zwakheden in de huidige LLM-zijde literatuur (white-box afhankelijkheid, gebrek aan discrete diffusie, zwakke defensie-evaluatie, single-turn restrictie en gebrek aan geconstreinde red teaming).
• Definiëren van de Agenda: Het voorstellen van concrete onderzoeksrichtingen, met name de noodzaak voor adaptieve aanvallen die terugpropageren door diffusie-gebaseerde tekstzuiveraars (DiffuseDef, MaskPure, CoDefend), een kloof die nog niet is geadresseerd in de gepubliceerde literatuur.
• Ethische Houding: De auteurs benadrukken dat het consolideren van deze literatuur netto voordelig is voor verdedigers en beleidsmakers, waarbij de prioriteit ligt bij het identificeren van evaluatiekloven en verdedigingskwetsbaarheden boven de reproductie van schadelijke payloads.

De review concludeert dat hoewel diffusie-gebaseerde aanvallen op LLM's een jong veld zijn met een klein aantal representatieve papers, ze substantiële methodologische ruimte bieden voor vervolgwerk, met name bij het overbruggen van de kloof tussen beelddomein-technieken en tekstgebaseerde veiligheidsevaluatie.