Forced Deferral: Manipulating Routing Decisions in Multimodal LLM Cascades

Resumo Técnico: Adiamento Forçado em Cascata de MLLMs

Definição do Problema
Modelos de Linguagem de Grande Escala Multimodais (MLLMs) oferecem capacidades poderosas de raciocínio visual, mas incorrem em custos de inferência substanciais quando implantados para cada consulta. Para mitigar isso, sistemas recentes empregam cascatas de MLLM, onde um modelo mais fraco e barato ($M_w$) lida com as consultas primeiro, adiando apenas os casos incertos para um modelo mais forte e caro ($M_s$). A decisão de adiamento baseia-se em um sinal de confiança derivado da saída do modelo fraco (ex: probabilidades de tokens, perplexidade ou consistência).

O artigo identifica uma vulnerabilidade crítica nesta arquitetura: o sinal de confiança atua como um mecanismo de alocação de computação que pode ser manipulado. Diferente dos ataques adversários tradicionais que visam degradar a correção da resposta ou contornar o alinhamento de segurança, este ataque visa a eficiência do sistema. Um adversário pode manipular a confiança do modelo fraco para forçar adiamentos desnecessários para o modelo forte. Isso permite que o atacante obtenha respostas de alta qualidade enquanto transfere o custo computacional para o provedor de serviço, minando os benefícios econômicos da inferência em cascata.

Metodologia: Ataque de Adiamento Forçado (FDA)
Os autores propõem o Ataque de Adiamento Forçado (FDA), um ataque de imagem adversária projetado para reduzir a confiança do modelo fraco sem alterar o conteúdo semântico da consulta. O ataque aborda três desafios primários:

1. Métricas Desconhecidas: O atacante não conhece a métrica de incerteza específica (ex: Probabilidade da Resposta, Perplexidade Inversa, Similaridade de Jaccard) ou o limiar de adiamento usado pelo sistema implantado.
2. Preservação Semântica: A perturbação não deve degradar o conteúdo visual, pois o modelo forte ainda deve ser capaz de responder à consulta corretamente.
3. Universalidade: O ataque deve ser um gatilho único e reutilizável, otimizado uma única vez, em vez de uma otimização por consulta.

Componentes Principais:

• Objetivo Agnóstico à Métrica: Em vez de otimizar contra um escore de confiança específico, o FDA visa a distribuição subjacente de tokens. O ataque constrói uma distribuição alvo com temperatura suavizada ($q^T_t$) a partir dos logits limpos ($z_t$) do modelo fraco usando uma temperatura $T > 1$. Isso suaviza a distribuição (reduzindo a concentração) enquanto preserva o ranking relativo de tokens da resposta limpa.
• Otimização por Teacher-Forcing: O ataque minimiza a divergência de Kullback-Leibler (KL) entre a distribuição do modelo fraco no input perturbado e a distribuição alvo suavizada. Isso força o modelo a gerar previsões menos confiantes ao longo da trajetória da saída limpa.
• Gatilho de Borda Universal: Para preservar a semântica, a perturbação é restrita a uma região de borda universal ao redor da imagem. O conteúdo visual central permanece intacto, garantindo que o modelo forte receba uma consulta válida. O gatilho é aprendido como um padrão fixo aplicado à borda da imagem.

Principais Contribuições

1. Formulação da Ameaça: O artigo identifica e formaliza o "ataque de adiamento de cascata" como uma nova ameaça orientada à eficiência. Ele desloca o foco adversário da correção da predição para a manipulação da alocação de computação.
2. Mecanismo de Ataque Inovador: Os autores propõem um gatilho de borda universal independente da resposta, otimizado via um objetivo de teacher-forcing com temperatura suavizada. Isso permite a manipulação do adiamento de forma agnóstica à métrica, mantendo o desempenho do modelo forte nos inputs acionados.
3. Validação Empírica: O estudo demonstra que o FDA é eficaz, transferível e robusto através de múltiplos datasets (MMBench, ScienceQA, MMMU), famílias de modelos (Gemma4, Qwen3-VL) e métricas de adiamento.

Resultados Experimentais
A avaliação compara o FDA contra baselines incluindo perturbações de imagem genéricas (desfoque de defoco) e injeção de prompt.

• Taxa de Roteamento: O FDA aumenta significativamente a taxa na qual as consultas são roteadas para o modelo forte. Em diversos datasets e pares de modelos, o FDA supera consistentemente os baselines, elevando a taxa de roteamento real para próximo de 1.0, mesmo em taxas de adiamento calibradas baixas.
• Redução de Confiança: O ataque reduz drasticamente os escores de confiança do modelo fraco (ex: reduzindo a Probabilidade da Resposta de ~0.94 para ~0.03 em alguns casos) sem alterar a semântica do input.
• Acurácia do Sistema: Crucialmente, o aumento no roteamento não degrada a acurácia final do sistema. Como o modelo forte recebe o conteúdo semântico original (apenas a borda é perturbada), ele continua a fornecer respostas de alta qualidade.
• Transferibilidade: O ataque transfere-se efetivamente entre diferentes famílias de modelos e métricas de incerteza, confirmando que o ataque visa uma propriedade fundamental do mecanismo de confiança, e não um detalhe específico de implementação.

Significância e Alegações
O artigo afirma que as cascatas de MLLM, embora eficientes, expõem uma nova superfície de ataque onde a própria decisão de adiamento torna-se vulnerável. A significância reside em demonstrar que um adversário pode manipular a alocação de recursos do sistema para forçar inferências caras sem precisar comprometer a segurança ou a correção da resposta do modelo. Isso destaca uma lacuna na pesquisa atual, que tem focado em trade-offs de custo-qualidade sob condições benignas ou robustez contra erros de nível de saída, mas que tem negligenciado a robustez dos mecanismos de roteamento baseados em confiança. O trabalho sugere que as estratégias atuais de adiamento são insuficientes para evitar que adversários explorem o sinal de alocação de computação.