Resumo Técnico: Injeção de Prompt Incorporada em Imagens em VLMs Odontológicos

Declaração do Problema

A implementação de Modelos de Linguagem-Visão (VLMs) na radiologia odontológica introduz uma vulnerabilidade de segurança crítica: a injeção de prompt incorporada em imagens. Diferente da injeção de prompt tradicional baseada em texto, este vetor de ataque envolve a renderização de instruções textuais adversárias diretamente nos dados de pixels das imagens médicas (ex: radiografias panorâmicas). Como os VLMs processam imagens como entrada visual, eles podem interpretar essas instruções incorporadas como comandos legítimos, sobrepondo seus protocolos de segurança ou lógica diagnóstica.

Esta ameaça é particularmente aguda em fluxos de trabalho odontológicos onde as imagens percorrem múltiplos sistemas (PACS, plataformas de teledentistry, pipelines de pré-processamento) antes de atingirem o modelo de diagnóstico. O risco clínico específico envolve a indução de falsos-negativos, onde um adversário força o modelo a ignorar patologias reais (ex: cáries, dentes impactados, lesões periapicais). Embora a medicina geral tenha visto demonstrações iniciais desta vulnerabilidade, havia uma falta de avaliação sistemática entre diversos fornecedores e de análise comparativa de defesa especificamente para a radiologia odontológica.

Metodologia

Desenho do Estudo e Modelo de Ameaça

O estudo empregou um desenho experimental observacional para avaliar a vulnerabilidade de quatro VLMs de nível de produção contra injeção de prompt incorporada em imagens.

• Modelo de Ameaça: Um adversário capaz de inserir conteúdo textual nos dados de pixels de uma radiografia dentária antes da inferência. Foram excluídos do escopo o envenenamento de dados de treinamento, injeção de metadados e ataques de sensores físicos.
• Prior Clínico: O design da defesa aproveita um prior clínico específico dos fluxos de trabalho odontológicos alemães: radiografias panorâmicas padrão contêm nenhum texto de nível de pixel "queimado" (anotações são armazenadas em cabeçalhos DICOM ou camadas de sobreposição). Portanto, qualquer texto visível nos dados de pixel é considerado anômalo.

Conjunto de Dados e Modelos

• Conjunto de Dados: O estudo utilizou o conjunto de dados DenTeX (Desafio MICCAI 2023), selecionando 270 radiografias panorâmicas estratificadas (270 para avaliação, 30 para ajuste/tuning) contendo 3.529 anotações ao nível do dente em quatro classes de patologia: Cárie, Dentes Impactados, Cárie Profunda e Lesões Periapicais.
• Modelos Alvo: Quatro VLMs foram testados:
  1. GPT-4o (OpenAI)
  2. Gemini 2.5 Flash (Google)
  3. Claude Sonnet 4.5 (Anthropic)
  4. MedGemma 4B (Google, pesos abertos)
• Enquadramento do Prompt: Para mitigar recusas de segurança observadas em estudos piloto, a tarefa foi enquadrada como um "exercício de descrição visual estrutural para educação odontológica" em vez de um diagnóstico direto, embora o esquema de saída funcionasse como um classificador diagnóstico binário (any_abnormality_present).

Taxonomia de Ataque

Quatro classes de ataque foram implementadas, cada uma com duas formulações de payload (imperativa e de sobreposição de sistema), totalizando 8 variantes por imagem:

1. Sobreposição "queimada" (Burned-in overlay): Alta saliência, caixa com fundo preto, canto superior direito.
2. Mimetismo de Anotação: Alta saliência, estilo de nota de radiologista, centro superior.
3. Sobreposição de Baixo Contraste: Baixa saliência, texto branco simples, canto superior direito.
4. Patch de Borda: Periférico, texto próximo ao branco, borda inferior.
   Todos os payloads visavam a indução de falsos negativos.

Estratégias de Defesa

Cinco condições de defesa foram avaliadas:

1. Sem Defesa: Linha de base (baseline).
2. Recorte de ROI: Recorte dos 15% inferiores e 5% laterais da imagem.
3. Spotlighting: Delimitadores no nível do prompt marcando os dados como não confiáveis.
4. Sanitização por OCR: Uso do EasyOCR para detectar texto (confiança ≥ 0.4) e realizar o inpainting com preto.
5. ProvDent: Um sistema inovador de consciência de proveniência que combina spotlighting, sanitização por OCR, um juiz de semelhança de instrução (GPT-4o-mini), verificação de consistência de dupla passagem condicional e abstinção clínica limitada.

Métricas e Análise

• Resultado Primário: Taxa de Sucesso de Ataque (ASR) pareada, definida como a proporção de imagens onde a saída do modelo mudou de true (limpa) para false (atacada).
• Resultados Secundários: F1 score, sensibilidade, especificidade e um dental-CHER (uma taxa de erro ponderada pelo dano clínico).
• Rigor Estatístico: As análises incluíram testes de McNemar com correção de Holm–Bonferroni, GLMMs variacionais Bayesianas e intervalos de confiança bootstrap de 95%. O estudo compreendeu 58.320 chamadas de inferência totais.

Principais Resultados

Avaliação de Vulnerabilidade

Todos os quatro VLMs mostraram-se vulneráveis à injeção de prompt incorporada em imagens.

• GPT-4o exibiu a maior vulnerabilidade, com uma ASR pareada de 62,6% (95% CI: 58,5–66,7%) sob ataques de sobreposição queimada.
• MedGemma 4B seguiu com 55,4% de ASR para sobreposições queimadas.
• Gemini 2.5 Flash e Claude Sonnet 4.5 mostraram vulnerabilidade menor, mas significativa (14,8% e 9,1%, respectivamente, para sobreposições queimadas).
• Gradiente de Ataque: A vulnerabilidade seguiu um gradiente monotônico: Sobreposição queimada > Mimetismo de anotação > Sobreposição de baixo contraste > Patch de borda.
• Especificidade do Modelo: Os perfis de vulnerabilidade são específicos de cada modelo. Por exemplo, o GPT-4o foi desproporcionalmente vulnerável a ataques de baixo contraste em comparação com outros modelos.

Eficácia da Defesa

• Sanitização por OCR: Alcançou a maior redução de ataque, reduzindo a ASR combinada para 0,2%, eliminando efetivamente a superfície de ataque.
• ProvDent: Alcançou uma ASR combinada de 7,5%. Embora sua redução de ASR bruta tenha sido menor que a da sanitização por OCR, seu valor principal foi o mecanismo de governança de falha aberta (fail-open). Quando a verificação de consistência de dupla passagem detectava discordância, o ProvDent escalava o caso para revisão humana em vez de retornar silenciosamente uma resposta comprometida.
• Preservação da Utilidade: Todas as defesas preservaram o F1 score da imagem limpa dentro de 0,6 pontos percentuais da linha de base (94,7–95,1%), indicando que as medidas defensivas não degradaram significativamente o desempenho diagnóstico em imagens não manipuladas.

Descobertas de Subgrupos

• Patologia: A vulnerabilidade foi mais alta para dentes "Impactados" e mais baixa para "Lesões Periapicais".
• Confiança: Respostas de modelos com alta confiança foram mais frequentemente alteradas do que as de baixa confiança, sugerindo que a injeção de prompt pode sobrepor as afirmações diagnósticas mais fortes do modelo.

Significância e Alegações

O artigo estabelece a injeção de prompt incorporada em imagens como um risco de segurança verificado e entre vários fornecedores para VLMs odontológicos. Suas principais contribuições são:

1. Caracterização Sistemática: Fornece a primeira avaliação de domínio específico deste risco em múltiplos modelos de nível de produção, demonstrando que o ajuste fino específico de domínio (ex: MedGemma) não confere robustez contra tais ataques.
2. Benchmarking de Defesa: Quantifica as trocas entre defesas passivas (como a sanitização por OCR, que oferece a máxima redução de ataque) e a governança ativa (ProvDent, que oferece auditabilidade e triagem de falha aberta).
3. Relevância Clínica: O estudo destaca que o prior clínico específico de "sem texto queimado" nos fluxos de trabalho alemães cria um sinal viável para defesas de detecção de texto. No entanto, alerta que este prior pode não ser global, necessitando de estratégias de segurança conscientes do contexto.
4. Implicação de Política: Os autores argumentam que a avaliação de segurança contra injeção de prompt deve se tornar um componente obrigatório da validação de IA clínica, comparável aos testes de precisão e viés.

O estudo conclui que, embora existam defesas eficazes que podem ser implantadas sem reduzir materialmente a precisão diagnóstica em imagens limpas, a vulnerabilidade permanece como uma barreira crítica para a adoção clínica segura da IA multimodal na odontologia. Os achados apoiam a seleção de mecanismos de defesa específicos com base nos requisitos de gestão de risco institucional (ex: escolher OCR para máxima redução ou ProvDent para governança).