Towards Robustness against Typographic Attack with Training-free Concept Localization

Technische Samenvatting: Naar Robuustheid tegen Typografische Aanvallen met Training-vrije Conceptlokalisatie

Probleemstelling
Contrastive Language-Image Pretraining (CLIP) modellen dienen als de fundamentele visuele encoders voor moderne Large Vision Language Models (LVLMs). Ondanks hun brede adoptie vertonen deze modellen een kritieke kwetsbaarheid die bekend staat als de Typografische Aanval (TA). In dit scenario veroorzaakt irrelevante tekst die over een afbeelding is geplaatst (bijv. het woord "Goose" op een afbeelding van een kat) dat het model de afbeelding verkeerd classificeert op basis van de lexicale inhoud in plaats van de ware visuele semantiek. Deze foutmodus komt voort uit een "feature entanglement" (kenmerkverstrengeling), waarbij de Vision Transformer (ViT) encoders er niet in slagen om visuele kenmerken effectief te ontkoppelen van de semantiek die in lexicale vormen is gecodeerd. Bestaande verdedigingen vertrouwen vaak op gesuperviseerde training of black-box interventies, wat een gebrek aan interpreteerbaarheid betekent en het mechanistische fundament van de kwetsbaarheid niet aanpakt.

Methodologie
De auteurs stellen een training-vrije, mechanistische interpreteerbaarheidsmethode voor om TA-kwetsbaarheden binnen de ViT-architectuur te lokaliseren en te mitigeren. De aanpak is gebaseerd op de Linear Representation Hypothesis en de Lottery Ticket Hypothesis, opererend via drie hoofdfasen:

1. Stochastische Concept Mining:
   In plaats van dure parametrische dictionary learning, gebruikt de methode stochastische bemonstering van pseudo-conceptvectoren binnen de lager-dimensionale subspace van Multi-Head Self-Attention (MHSA) koppen. Door willekeurige vectoren ($u$) te bemonsteren uit een Gaussische distributie, behandelt de methode conceptontdekking als een "stochastische loterij". Theoretische analyse suggereert dat opereren in de $d_{head}$ subspace (in plaats van de globale $d_{model}$) de polysemantische interferentie aanzienlijk vermindert, waardoor de waarschijnlijkheid toeneemt om "winning tickets" te vinden—samples die trouw uitlijnen met specifieke lexicale concepten.

2. Gradiënt-gebaseerde Attributie en Circuit Mining:
   De methode kwantificeert de "lexicale focus" van individuele attention heads met behulp van een Text Attribution Score (TAS). Het berekent de partiële afgeleide van de geprojecteerde conceptsterkte met betrekking tot de pre-softmax attention logits. Deze attributiekaart beschouwt gezamenlijk de attention activatie ($A_{i,j}$) en de marginale bruikbaarheid van de patch ($V_j(u) - F_i(u)$). Door scores te aggregeren over een ongelabelde dataset, identificeert de methode specifieke attention heads en circuits die disproportioneel veel adversariële tekstinformatie coderen.

3. Mechanistische Interventie:
   Zodra de kwetsbare "typografische leescircuits" zijn geïdentificeerd, past de methode test-time interventies toe zonder hertraining:

   • Attention Reweighting: Voor modellen met een <cls> token worden de attention gewichten van het <cls> token naar tekstbevattende patches onderdrukt (hergewogen naar nul), waardoor het model wordt gedwongen te vertrouwen op visuele patches.
   • Zero Ablation: Voor LVLMs die geen dedicated <cls> token hebben, worden de outputs van de geïdentificeerde kwetsbare modules vervangen door nul-vectoren, wat de lexicale afleiding effectief verwijdert uit de verwerkingsstroom.

Belangrijkste Bijdragen

• Sampling-gebaseerde Concept Mining: Een nieuwe, training-vrije stochastische bemonsteringsmethode die gebruikmaakt van de natuurlijke decompositie van MHSA-modules om de kans op concept hits te vergroten zonder parametrische dictionary learning.
• Verklaring van Kwetsbaarheid: Een gradiënt-gebaseerd attributiemechanisme dat gezamenlijk de attention head "focus" en "concept richting" analyseert om genormaliseerde scores (nTAS) te produceren die consistent lexicale-focuserende modules identificeren.
• Mechanistische Interventie: Een demonstratie dat eenvoudige, optimalisatie-vrije interventies (herwegen of ablatie) op geïdentificeerde circuits de robuustheid tegen TA's aanzienlijk verbeteren in zowel objectclassificatie als Visual Question Answering (VQA).

Experimentele Resultaten
De methode werd geëvalueerd op vijf CLIP ViT-varianten (variërend van ViT-B/16 tot ViT-bigG/14) en verschillende state-of-the-art LVLMs (Qwen3-VL, InternVL3.5, Gemma3).

• Objectclassificatie: Op datasets zoals RTA-100, Disentangling en PAINT verbeterde de interventie de Object Classification Accuracy (OCA) aanzienlijk, terwijl de Text Confusion Rate (TCR) drastisch werd verminderen. Bijvoorbeeld, op ViT-H/14 verbeterde de OCA met +22,8% op RTA-100, terwijl de TCR met 27,6% daalde. De methode presteerde beter dan zowel gesuperviseerde baselines (Defense-Prefix) als andere training-vrije methoden (Dyslexify).
• LVLM Robuustheid: Toegepast op LVLMs op de RIO-Bench dataset, verbeterde de interventie de VQA-nauwkeurigheid over meerdere modelgroottes (bijv. +1,58% op Qwen3-VL-8B) onder typografische aanvalsinterferentie, met een verwaarloosbare impact (<1%) op prestaties bij schone afbeeldingen.
• Efficiëntie: Het proces van circuit extractie is extreem snel (minder dan één minuut voor alle backbones op een enkele A100) en vereist slechts een fractie (0,1%) van een trainingsdataset voor drempelwaarde-kalibratie.

Significantie en Claims
Het artikel claimt dat de aanpak een getrouwe en uitlegbare oplossing biedt voor TA-robuustheid door de exacte mechanistische bron van de kwetsbaarheid binnen de transformer-architectuur aan te wijzen. In tegen tegenstelling tot black-box verdedigingen, biedt deze methode een duidelijke causale link tussen specifieke attention heads en lexicale misclassificatie. De auteurs stellen dat hun werk de grenzen van mechanistische oplossingen voor VLM-robuustheid verlegt, door aan te tonen dat training-vrije, circuit-niveau interventies effectief visuele semantiek kunnen ontkoppelen van lexicale afleidingen, waardoor de veiligheid voor kritieke toepassingen zoals autonoom rijden wordt vergroot. De resultaten bevestigen zowel de effectiviteit als de generaliseerbaarheid van deze mechanistische aanpak over verschillende modelmaten en architecturen.