Do Not Leave a Gap: Hallucination-Free Object Concealment in Vision-Language Models

1. O Problema

Os Modelos Visão-Linguagem (VLMs) são fundamentais para tarefas como legendagem de imagens e resposta a perguntas visuais. No entanto, eles são vulneráveis a ataques de privacidade que buscam ocultar objetos específicos de uma imagem (ocultação de objetos).

• Limitação das Abordagens Atuais: Os métodos existentes de ocultação (como mascaramento de pixels, apagamento de patches ou supressão de atenção) funcionam removendo ou atenuando agressivamente as representações visuais da região de interesse (ROI).
• O Efeito Colateral Crítico: Essa remoção abrupta cria "lacunas semânticas" ou vazios na representação visual do modelo. Ao perceber a ausência de evidência visual onde deveria haver um objeto, o decodificador de linguagem do VLM tenta compensar essa falta inferindo conteúdo plausível, mas incorreto. Isso resulta em alucinações, onde o modelo inventa objetos, atributos ou relações que não existem na imagem original.
• Hipótese Central: A alucinação não é causada pela ausência do objeto per se, mas sim pela descontinuidade semântica introduzida pelos ataques baseados em supressão.

2. Metodologia: Re-codificação Consistente com o Fundo (BCR)

Os autores propõem uma nova classe de ataque chamada Background-Consistent Re-encoding (BCR). Em vez de remover ou suprimir o objeto, o BCR re-codifica suas representações visuais para que se tornem estatisticamente e semanticamente indistinguíveis do fundo circundante.

O ataque opera no nível de pixels, otimizando uma perturbação $\delta$ para gerar uma imagem adversária $x_{adv}$, sem modificar os parâmetros do modelo. O objetivo é manter a estrutura dos tokens e o fluxo de atenção, evitando os vazios que desencadeiam alucinações.

Formulação da Otimização

A função de perda $\mathcal{L}_{BCR}$ é otimizada através de múltiplas camadas do codificador de visão (transformer) e consiste em três componentes principais:

1. Alinhamento Estatístico ($\mathcal{L}_{stat}$): Força as estatísticas de primeira e segunda ordem (média e variância) dos tokens da região de interesse (ROI) a coincidirem com as dos tokens de fundo. Isso elimina anomalias distribucionais que sinalizariam a presença de um objeto oculto.
2. Projeção no Dicionário ($\mathcal{L}_{dict}$): Garante que os recursos da ROI sejam reconstruídos como combinações convexas dos recursos de fundo. Isso força os tokens da ROI a residirem no "manifold" (variedade) de recursos de fundo, assegurando consistência semântica.
3. Preservação do Fundo ($\mathcal{L}_{pres}$): Penaliza qualquer desvio nos tokens de fundo (fora da ROI) em relação à imagem original, garantindo que a semântica global da cena não seja degradada.
4. Regularização de Variação Total ($\mathcal{L}_{tv}$): Promove perturbações espacialmente suaves, evitando artefatos visuais perceptíveis.

3. Contribuições Principais

• Novo Paradigma de Ataque: Introdução do BCR, que oculta objetos preservando a estrutura de tokens e o fluxo de atenção, evitando a criação de lacunas representacionais.
• Framework de Otimização: Desenvolvimento de um método de otimização em nível de pixel que impõe consistência visual em múltiplas camadas do transformador de visão.
• Métricas de Avaliação: Criação de métricas específicas para avaliar a taxa de alucinação fundamentada (grounded hallucination), demonstrando que a continuidade representacional é a chave para evitar a geração de conteúdo falso.
• Insight Teórico: Evidenciar que a alucinação em VLMs sob ataques de ocultação é um sintoma de descontinuidade semântica, e não apenas de falta de dados visuais.

4. Resultados Experimentais

Os experimentos foram realizados em três modelos de ponta (LLaVA-1.5, BLIP-2 e InstructBLIP) utilizando os conjuntos de dados ImageNet e COCO. O BCR foi comparado com métodos de supressão de atenção (como VIP) e técnicas de ofuscação em espaço de pixels (mascaramento).

• Redução de Alucinação: O BCR reduziu a taxa de alucinação fundamentada em até 3 vezes em comparação com ataques baseados em supressão. Por exemplo, no InstructBLIP com ImageNet, a taxa caiu de 0,43 (VIP) para 0,19 (BCR).
• Preservação Global: O método preservou até 86% dos objetos não-alvo nas legendas geradas, enquanto métodos de supressão frequentemente degradavam a descrição global da cena.
• Fidelidade Perceptual: As imagens adversárias geradas pelo BCR apresentaram maior similaridade estrutural (SSIM mais alto) e menor distância perceptual (LPIPS mais baixo) em relação à imagem original do que as geradas por supressão, indicando que as perturbações são menos intrusivas visualmente.
• Qualidade das Legendas: Enquanto a supressão de atenção levava a descrições sem sentido ou com objetos totalmente alheios à cena (ex: descrever um parque como uma pintura abstrata), o BCR mantinha a coerência da cena, substituindo o objeto oculto por elementos plausíveis do contexto (ex: um urso marinho em um recife) ou omitindo-o sem inventar novos elementos.

5. Significado e Conclusão

Este trabalho oferece uma mudança fundamental na compreensão da segurança e robustez de modelos multimodais generativos.

• Mudança de Paradigma: Demonstra que a segurança de privacidade em VLMs não precisa ser alcançada à custa da integridade semântica. A "ocultação perfeita" não é a remoção do objeto, mas a sua integração invisível ao contexto.
• Prevenção de Alucinação: Estabelece que a continuidade representacional é um fator crítico para prevenir alucinações. Ao garantir que o espaço de características visuais permaneça contínuo e suave, o modelo de linguagem não é "forçado" a inferir conteúdo ausente.
• Implicações Futuras: O estudo abre novas direções para análise adversarial e o desenvolvimento de modelos VLMs mais robustos, sugerindo que a defesa contra alucinações deve focar na manutenção da coerência semântica e na prevenção de lacunas representacionais, não apenas na filtragem de ruído.

Em resumo, o BCR prova que é possível proteger a privacidade visual (ocultando objetos sensíveis) sem comprometer a precisão ou a realidade das descrições geradas pela IA, eliminando o fenômeno de "preencher as lacunas" com invenções alucinadas.