Resumo Técnico: Neutralização Guiada Induzida por Estrutura (SIGN) para LVLMs

1. Declaração do Problema

Os Modelos de Linguagem e Visão Grandes (LVLMs) aproveitam entradas de imagem para perceber informações visuais de alta granularidade, mas essa capacidade introduz uma superfície de ataque em nível de pixel. Perturbações adversariais adicionadas às imagens de entrada podem elicitar comportamentos inseguros do modelo, incluindo jailbreaking (geração de conteúdo prejudicial), LLM-DoS (indução de gerações repetitivas ou degeneradas) e má classificação.

Estratégias de defesa existentes enfrentam limitações significativas no contexto dos LVLMs:

• Defesas Tradicionais de Visão Computacional (CV): Métodos como remoção de ruído em imagens são frequentemente projetados para classificadores de modalidade única e não levam em conta o alinhamento multimodal exigido pelos LVLMs, levando a desempenho degradado.
• Defesas Específicas para LVLMs: Abordagens atuais adaptadas aos LVLMs frequentemente dependem de mascaramento de regiões ou restauração baseada em difusão. Esses métodos exigem modificações substanciais na imagem, o que pode interromper conteúdo visual benigno e introduzir sobrecarga computacional considerável, comprometendo a eficiência da inferência.

Há uma necessidade crítica de um framework de defesa que seja consciente da arquitetura, leve e capaz de suprimir sinais adversariais com modificação mínima na imagem de entrada, preservando o desempenho de tarefas benignas.

2. Metodologia: Neutralização Guiada Induzida por Estrutura (SIGN)

Os autores propõem o SIGN, um framework de defesa leve, plug-and-play que opera sem retreinamento do modelo. Ele funciona em duas etapas principais: Extração de Prioridade Estrutural e Neutralização Guiada Dinâmica.

2.1 Extração de Prioridade Estrutural

Esta etapa estima uma "Prioridade Estrutural" que captura o perfil de resposta espacial inerente do codificador de visão do LVLM.

• Motivação: Os autores observam que, para entradas benignas, o codificador de visão exibe um padrão de resposta estável e dependente da posição entre amostras. Embora o conteúdo semântico varie, as respostas agregadas do codificador revelam um viés espacial consistente.
• Agregação Estrutural: Usando um conjunto de imagens não rotuladas, o método calcula a norma $L_2$ das respostas dos tokens de patch em todas as camadas e amostras. Essas respostas escalares são médias para criar um perfil estrutural unidimensional $s$.
• Construção da Prioridade: O perfil é reorganizado de acordo com a ordenação canônica de tokens do LVLM alvo para formar um mapa bidimensional de Prioridade Estrutural ($S$). Este mapa caracteriza o viés de resposta estrutural inerente do codificador, e não o conteúdo semântico, servindo como guia para identificar regiões sensíveis.

2.2 Neutralização Guiada Dinâmica

Dada uma imagem atacada, esta etapa converte a Prioridade Estrutural em um mapa de guia adaptativo à entrada para suprimir perturbações.

• Caracterização de Anomalia Local: A Prioridade Estrutural $S$ é mapeada para o espaço de pixels da imagem de entrada via interpolação bilinear para criar um mapa no espaço de pixels $P(u)$. Simultaneamente, uma pontuação de anomalia local $A(u)$ é calculada medindo o desvio de cada pixel em relação à mediana de sua vizinhança local.
• Pontuação de Intervenção: Uma pontuação de intervenção combinada $q(u)$ é calculada como uma fusão linear ponderada: $q(u) = \lambda P(u) + (1-\lambda)A(u)$. Isso integra o viés estrutural do codificador com evidências de anomalia específicas da instância.
• Neutralização Esparsa: Os pixels são classificados por suas pontuações de intervenção. Para garantir eficiência e localidade, uma restrição de vizinhança é aplicada: um pixel é selecionado para intervenção apenas se o número de pixels selecionados dentro de sua janela local não exceder um orçamento $k_\rho$.
• Restauração: Os pixels selecionados são substituídos pela média de seus vizinhos não selecionados dentro da janela local. Isso resulta em uma neutralização esparsa e localmente consistente de perturbações adversariais.

3. Contribuições Principais

• Descoberta de Viés Estrutural: O artigo revela um viés de resposta estrutural estável nos codificadores de visão de LVLMs que é amplamente independente da semântica do conjunto de dados. Esse viés fornece uma prioridade em nível de modelo para defesa adversarial.
• Framework SIGN: Um mecanismo de defesa leve que aproveita essa Prioridade Estrutural para guiar intervenções esparsas em nível de pixel. Não requer ajuste fino do modelo e opera como um módulo plug-and-play.
• Eficiência e Eficácia: O método alcança altas taxas de sucesso de defesa com modificação mínima de imagem (0,5% dos pixels) e baixa latência (aproximadamente 0,16 segundos por imagem), superando bases existentes que dependem de reconstrução pesada ou mascaramento em grande escala.

4. Resultados Experimentais

Os autores avaliaram o SIGN em seis LVLMs (incluindo LLaVA, InstructBLIP e Qwen-VL) e quatro geradores de ataque representativos (Visual-Adv, Con-Ins, RECITE, CroPA++).

• Taxa de Sucesso de Defesa (DSR): O SIGN alcançou uma taxa média de sucesso de defesa superior a 87% em vários objetivos de ataque (Jailbreak, LLM-DoS, Engano).
• Modificação Mínima: A defesa exigiu a modificação de apenas 0,5% dos pixels da imagem, significativamente menor do que defesas baseadas em mascaramento (por exemplo, AMIA em ~18,75%) ou métodos de supressão de imagem completa.
• Eficiência: O tempo de construção da defesa foi em média 0,16 segundos por imagem, introduzindo sobrecarga negligenciável em comparação com o tempo de inferência do modelo.
• Preservação de Utilidade: O SIGN preservou o desempenho de tarefas benignas, com taxas de sucesso de tarefa permanecendo quase idênticas às entradas originais. A similaridade de cosseno entre representações visuais originais e defendidas permaneceu acima de 0,99, indicando que as semânticas visuais benignas foram amplamente preservadas.
• Robustez da Prioridade: Experimentos mostraram que a Prioridade Estrutural é estável entre diferentes conjuntos de dados de origem (por exemplo, ImageNet, CelebA) e pode ser estimada de forma confiável a partir de apenas 10 amostras não rotuladas.

5. Significado e Alegações

O artigo afirma que o SIGN oferece uma alternativa prática e leve às defesas que exigem treinamento de modelo custoso ou reconstrução pesada de imagem. Ao explorar as propriedades estruturais intrínsecas do codificador de visão, o SIGN demonstra que uma defesa robusta de LVLM pode ser alcançada sem comprometer a qualidade ou a eficiência da inferência.

Os autores posicionam seu trabalho destacando o potencial de usar os próprios codificadores de visão para proteção adversarial eficiente. Eles observam que, embora sua avaliação cubra ataques representativos, a natureza dinâmica e adaptativa à entrada do SIGN torna difícil para receitas de ataque existentes otimizarem contra ele, embora reconheçam que ataques totalmente adaptativos contra esse mecanismo de defesa específico permaneçam uma área para investigação futura. O trabalho conclui que alavancar prioridades estruturais em nível de codificador é um caminho viável para uma defesa robusta e leve de LVLMs.