Resumo Técnico: GPO-V: Jailbreak de Modelo de Visão e Linguagem por Difusão via Otimização de Probabilidade Global

Declaração do Problema

Modelos de Visão e Linguagem por Difusão (dVLMs) representam uma mudança significativa em relação aos paradigmas generativos autoregressivos tradicionais, utilizando processos iterativos de remoção de ruído não causais para tarefas multimodais. Enquanto os modelos autoregressivos passaram por extenso alinhamento de segurança para mitigar riscos adversariais, o cenário de segurança dos dVLMs permanece amplamente inexplorado.

O artigo identifica uma lacuna crítica: as metodologias de jailbreak existentes, especificamente a Otimização de Prefixo Fixo (FPO) (por exemplo, forçar um modelo a começar com "Claro, aqui está"), são amplamente ineficazes contra dVLMs. Essa ineficácia decorre de padrões de recusa únicos inerentes às arquiteturas de difusão:

1. Recusa Imediata: O modelo detecta riscos e gera tokens de terminação (por exemplo, <end>) de maneira "de trás para frente", interrompendo a geração imediatamente.
2. Recusa Progressiva: O modelo inicialmente gera conteúdo afirmativo, mas, durante o processo iterativo de refinamento, muda para uma recusa à medida que semânticas inseguras emergem.

Ataques FPO convencionais, que otimizam prefixos locais, falham porque a natureza de refinamento global dos modelos de difusão atua como um "corretor", eventualmente sobrepondo manipulações de prefixo local com uma recusa progressiva. O artigo postula que uma nova estratégia de ataque é necessária para contornar essas defesas probabilísticas globais.

Metodologia

1. Inferência Heurística e Base Teórica

Os autores traçam uma analogia entre a difusão de imagens e a difusão de texto. Na geração de imagens, os primeiros passos de remoção de ruído recuperam estruturas semânticas de baixa dimensão que ditam a saída final. Da mesma forma, nos dVLMs, os passos iniciais de geração (baixos timesteps) determinam em grande parte a polaridade da resposta. As previsões de atenção bidirecional global nesses estágios iniciais restringem a trajetória generativa subsequente.

2. Otimização de Probabilidade Global (GPO)

Para explorar essa vulnerabilidade, os autores propõem a Otimização de Probabilidade Global (GPO), uma estratégia projetada especificamente para modelos de difusão mascarada. Diferentemente da FPO, que otimiza um prefixo fixo, a GPO manipula a distribuição de probabilidade global de toda a sequência gerada.

A função de perda da GPO ($L_{GPO}$) consiste em dois componentes:

• Perda Global ($L_{global}$): Minimiza a probabilidade de gerar primitivas negativas (tokens de recusa como <end>, <eos> ou frases de recusa) em todas as posições da sequência, particularmente nos estágios inicial e final dos timesteps iniciais. Isso visa suprimir tanto os padrões de Recusa Imediata quanto de Recusa Progressiva.
• Perda de Âncora ($L_{anchor}$): Maximiza a probabilidade de tokens positivos "conectivos" específicos (âncoras) em posições intermediárias. Essas âncoras servem como pivôs semânticos estáveis que se acumulam em uma resposta positiva coerente, impedindo que o modelo derive para uma recusa progressiva.

A perda total é definida como:
$$L_{GPO} = \lambda_1 L_{global} + \lambda_2 L_{anchor}$$

3. Framework GPO-V

Baseando-se na GPO, os autores introduzem o GPO-V, o primeiro framework de jailbreak adaptado para dVLMs.

• Mecanismo: O GPO-V aplica perturbações adversariais ($\delta$) à imagem de entrada (ou sua representação latente) para direcionar a distribuição de saída do modelo.
• Otimização: A perturbação é otimizada para minimizar $L_{GPO}$, aderindo a um limite de perturbação ($\|\delta\|_\infty < \epsilon$).
• Flexibilidade: O framework suporta otimização tanto no espaço de pixels quanto no espaço latente (usando codificadores como SigLIP ou DINOv2), com os autores observando que a otimização no espaço latente é adotada para eficiência, mas produz resultados comparáveis.

Contribuições Principais

1. Identificação de Padrões de Recusa: O artigo é o primeiro a identificar e categorizar sistematicamente dois comportamentos de recusa distintos em modelos de linguagem por difusão: Recusa Imediata e Recusa Progressiva, revelando os mecanismos de defesa subjacentes dos dVLMs.
2. Estratégia GPO: A proposta da Otimização de Probabilidade Global, uma estratégia inovadora que contorna guardas de segurança suprimindo globalmente as probabilidades de tokens negativos e otimizando perdas de âncora, contrastando com a otimização baseada em prefixo dos modelos autoregressivos.
3. Framework GPO-V: O desenvolvimento do primeiro framework de jailbreak de modalidade visual para dVLMs. Ele demonstra que os dVLMs são inerentemente frágeis contra ataques probabilísticos globais, apesar de sua aparente robustez contra FPO.

Resultados Experimentais

Os autores avaliaram o GPO-V em dois modelos de visão e linguagem por difusão mascarada de última geração: LLaDA-V e LaViDA, utilizando os conjuntos de dados AdvBench e JailBreakBench.

• Taxa de Sucesso do Ataque (JSR): O GPO-V alcançou uma taxa de sucesso de jailbreak de até 93,2% no LLaDA-V e 88,9% no LaViDA. Em contraste, baselines tradicionais baseadas em FPO (por exemplo, GCG) alcançaram taxas de sucesso negligenciáveis (frequentemente < 2%).
• Transferibilidade: As perturbações adversariais sintetizadas pelo GPO-V demonstraram alta transferibilidade entre modelos. Ataques otimizados em um modelo-fonte comprometeram com sucesso modelos-vítima com arquiteturas heterogêneas (por exemplo, transferindo de LLaDA-V para LaViDA) com taxas de sucesso superiores a 65%, indicando a captura de vulnerabilidades agnósticas ao modelo.
• Robustez: O método permaneceu eficaz em diferentes configurações de geração, incluindo comprimentos de bloco variados e o uso de técnicas de aceleração Fast-dLLM.
• Estudos de Ablação: A remoção da perda global ou da perda de âncora reduziu significativamente a eficácia do ataque, confirmando que tanto a supressão dos padrões de recusa quanto a estabilização das âncoras positivas são necessárias para o sucesso.

Significado e Alegações

O artigo alega que suas descobertas sublinham uma lacuna de segurança crítica em arquiteturas generativas não sequenciais. O significado principal reside em:

• Desafio à Robustez Percebida: Os resultados demonstram que a resiliência percebida dos dVLMs contra jailbreaks convencionais é enganosa. O mecanismo único de "Recusa Progressiva", que atua como defesa contra ataques de prefixo local, é em si uma vulnerabilidade quando alvo da otimização de probabilidade global.
• Necessidade de Reavaliação: Os autores argumentam que os paradigmas de defesa atuais, amplamente otimizados para decodificação causal (autoregressiva), são insuficientes para a variedade generativa única dos modelos de difusão.
• Chamada à Ação: O trabalho exige uma reavaliação imediata e fundamental do alinhamento de segurança para dVLMs para abordar os riscos da geração baseada em difusão, instando a comunidade de pesquisa a desenvolver defesas robustas contra essas ameaças não sequenciais emergentes.

O artigo conclui que o GPO-V expõe vulnerabilidades intrínsecas no próprio processo de difusão, sugerindo que o alinhamento de segurança deve evoluir para levar em conta dinâmicas probabilísticas globais, e não apenas a previsão sequencial de tokens.