Resumo Técnico: ReShift

Declaração do Problema

Modelos de Visão-Linguagem (VLMs) estão sendo cada vez mais implantados em domínios críticos para a segurança, como direção autônoma e análise médica. Embora esses modelos tenham avançado por meio de técnicas orientadas ao raciocínio, como a Cadeia de Pensamento (Chain-of-Thought - CoT), eles permanecem vulneráveis a ataques de backdoor. Os métodos de backdoor existentes contra VLMs operam primariamente no nível de saída, utilizando injeção de tokens ou reescrita de resposta para sobrescrever forçadamente a resposta final uma vez que um gatilho é ativado.

O artigo identifica uma limitação crítica nesses ataques de nível de saída: eles frequentemente negligenciam a dinâmica interna do raciocínio. Consequentemente, o CoT gerado permanece logicamente alinhado com a resposta correta, enquanto a previsão final é alterada arbitrariamente. Isso cria inconsistências internas e incoerência lógica que são facilmente detectáveis por inspeção humana ou mecanismos de monitoramento baseados em incerteza (por exemplo, via divergência de distribuição de perplexidade). Os autores levantam a questão de se um mecanismo de backdoor pode operar diretamente no nível do raciocínio, redirecionando sutilmente a trajetória de inferência interna enquanto preserva a plausibilidade da trajetória e a coerência de superfície.

Metodologia

Os autores propõem o ReShift, um novo framework de backdoor impulsionado pelo momento "aha-moment" no nível do raciocínio. O ReShift manipula explicitamente a dinâmica interna do CoT de VLMs ao alavancar comportamentos cognitivos aprimorados por aprendizado por reforço (RL), especificamente o "momento aha" — um comportamento onde o modelo revisita etapas de raciocínio anteriores e ajusta sua trajetória.

O framework consiste em dois componentes principais:

1. Construção de Dados Conscientes do Raciocínio Envenenados (PRDC)

Este pipeline constrói um conjunto de dados envenenados projetado para induzir "momentos aha" guiados.

• Processo: Dado um CoT limpo, o sistema precede uma frase de gatilho (ex: "Espere, deixe-me pensar") e gera etapas de orientação que redirecionam suavemente a trajetória de raciocínio em direção a uma resposta alvo predefinida.
• Objetivo: Incorporar esses desvios guiados no conjunto de dados de treinamento, de modo que o fluxo de raciocínio permaneça coerente na superfície enquanto é direcionado para o alvo malicioso.

2. Otimização Conjunta Supervisionada–Reforço (SRJO)

Este é um framework de otimização de estágio único que integra conjuntamente o Ajuste Fino Supervisionado (SFT) e o Aprendizado por Reforço (RL) para estabilizar e amplificar o desvio de trajetória induzido pelo gatilho.

• Estratégia Híbrida: O SFT é aplicado ao prefixo (as etapas iniciais de raciocínio corretas) para ancorar a estrutura do raciocínio e o padrão de backdoor. O RL é aplicado ao sufixo (geração pós-gatilho) para forçar a convergência em direção à resposta alvo.
• Funções de Recompensa: O estágio de RL utiliza três recompensas específicas:
  • Recompensa de Alvo ($R_{target}$): Garante que a resposta extraída final corresponda ao alvo predefinido.
  • Recompensa de Desvio ($R_{shift}$): Incentiva a emergência de um "rebote de entropia" (definido abaixo) para facilitar desvios reais de raciocínio.
  • Recompensa de Formato ($R_{format}$): Estimula a geração de padrões específicos de "momento aha" (ex: "deixe-me pensar...").
• Treinamento Dinâmico: A proporção de SFT vs. RL é regulada dinamicamente. O SFT domina inicialmente para injetar o padrão de backdoor; uma vez que o desvio de trajetória está estável e o rebote de entropia significativo é observado, a cobertura de RL aumenta para refinar o desvio da trajetória.

Rebote de Entropia e Análise Teórica

Os autores introduzem o Rebote de Entropia como um sinal principista para caracterizar o redirecionamento do raciocínio.

• Definição: Eles definem a Diferença de Entropia de Janela (WED) para monitorar as variações de entropia ao nível de token durante a geração. Um desvio de raciocínio é caracterizado por um aumento súbito na entropia média de janela (um "rebote de entropia") próximo ao estágio de convergência, contrastando com a baixa entropia estável do raciocínio limpo.
• Garantia Teórica: O artigo fornece um teorema que estabelece um limite inferior na divergência de Kullback-Leibler (KL) entre as trajetórias de raciocínio limpas e as injetadas pelo gatilho. Esse limite é determinado pelo gap de entropia, vinculando teoricamente o rebote de entropia observado a uma divergência significativa no nível da trajetória.

Principais Contribuições

1. Paradigma de Ataque de Nível de Raciocínio: O ReShift é o primeiro framework que redireciona explicitamente a trajetória interna de CoT de VLMs, em vez de apenas sobrescrever o token de saída final. Essa abordagem preserva a consistência lógica das etapas de raciocínio que precedem o desvio.
2. Mecanismo de Momento Aha: O trabalho utiliza RL para induzir comportamentos de "momento aha", permitindo que o modelo naturalmente revisite e ajuste seu caminho de raciocínio, mantendo assim a furtividade.
3. Framework SRJO: Os autores propõem o primeiro framework de otimização de backdoor que integra conjuntamente SFT e RL dentro de um processo unificado, utilizando SFT de nível de prefixo e RL de nível de sufixo para equilibrar estrutura e alinhamento de alvo.
4. Sinal de Rebote de Entropia: A formalização do Rebote de Entropia fornece um sinal teórico e empírico para detectar e induzir o redirecionamento do raciocínio, vinculando gaps de entropia à divergência de trajetória.

Resultados Experimentais

Experimentos extensos foram conduzidos em VLMs (Qwen2.5-VL-7B e InternVL3.5-8B) em benchmarks de domínio (A-OKVQA, ScienceQA) e fora de domínio (MathVista, MMMU).

• Taxa de Sucesso do Ataque (ASR): O ReShift alcança um alto ASR (até 1.00 em ScienceQA e 0.97 em A-OKVQA), superando baselines como BadToken, BadVision e Rewrite.
• Furtividade:
  • Qualidade do Raciocínio: O ReShift mantém altos escores de coerência (Coh) e racionalidade (Rat), comparáveis ao modelo base limpo, enquanto ataques de nível de saída frequentemente degradam essas métricas.
  • Perplexidade: Ao contrário dos ataques de nível de saída que mostram uma divergência pronunciada nas distribuições de perplexidade entre amostras limpas e com gatilho, as amostras com gatilho do ReShift permanecem estritamente alinhadas com as amostras limpas.
  • Resistência à Detecção: Quando avaliado contra detectores de backdoor (BYE e BkdAttr), o ReShift apresenta uma precisão de detecção (DACC) significativamente menor, muitas vezes aproximando-se do acaso (0.09–0.17), em comparação com os baselines que mostram detectabilidade moderada.
• Preservação da Utilidade: O ataque mantém alta precisão em tarefas limpas e baixo ASR-C (a taxa de amostras limpas sendo erroneamente redirecionadas), indicando impacto mínimo em entradas benignas.

Significância e Alegações

O artigo afirma que o ReShift representa um avanço significativo nas capacidades de ataque de backdoor ao passar da manipulação de nível de saída para o desvio estável de nível de raciocínio. Ao preservar a coerência inicial e alavancar comportamentos cognitivos naturais ("momentos aha"), o ataque torna-se substancialmente mais difícil de detectar via monitoramento estatístico ou inspeção humana.

Os autores enfatizam que a dinâmica do raciocínio constitui uma superfície de ataque crítica, porém subexplorada. Eles argumentam que seu trabalho destaca a necessidade de defesas conscientes de trajetória em modelos multimodais, uma vez que as defesas tradicionais focadas em saídas finais ou distribuições estáticas de tokens podem falhar em detectar ataques que manipulam o processo de inferência interna enquanto mantêm a plausibilidade de superfície. O trabalho não alega resolver o problema da defesa, mas sim destacar a vulnerabilidade do próprio processo de raciocínio.