🤖 AI

Securing Multimodal AI through Internal Information Decomposition

该论文提出了 FlowGuard，这是一个轻量级的推理时框架，它通过利用受部分信息分解（Partial Information Decomposition）启发的 FlowVectors 进行内部跨模态一致性监测来检测对抗性攻击，从而保障多模态人工智能的安全，并在实现极低延迟和极小效用损失的同时，显著降低了攻击成功率。

原作者： Jehyeok Yeon, Hyeonjeong Ha, Qiusi Zhan, Heng Ji

发布于 2026-07-27

📖 1 分钟阅读☕ 轻松阅读

CC BY 4.0

原作者： Jehyeok Yeon, Hyeonjeong Ha, Qiusi Zhan, Heng Ji

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下，你正在建造一个机器人，它可以通过摄像头观察世界，并通过麦克风与你交谈。这个机器人是一个“多模态大语言模型”（Multimodal Large Language Model），是一个能够结合图像和文字来理解发生之事的超级聪明的 AI。但棘手的部分在于：仅仅因为机器人看到了无害的图片并听到了无害的句子，并不意味着这两者的“组合”就是安全的。这就像是你递给一位厨师一个蛋糕的照片和一份蛋糕的食谱，但随后在你耳边低声说了一个秘密代码，告诉他加入毒药。照片看起来没问题，食谱看起来也没问题，但最终做出的菜肴却是危险的。这就是研究人员所担忧的一种新型危险：黑客将他们的恶意意图拆分在图像和文本中，使得两者单独看时都不显得可疑，但结合在一起却能诱骗 AI 执行有害的操作。

为了捕捉这些狡猾的诡计，科学家通常会分别检查图片或文本，就像保安逐一检查提包和身份证一样。但本文提出了一种更聪明的方法：我们不应该仅仅检查输入的内容，而应该观察机器人的“大脑”是如何思考它们的。其核心思想是，当机器人正常工作时，图片和文本应该相互契合，并帮助机器人做出清晰、自信的决策。如果有人试图欺骗机器人，这种内部的一致性就会破裂。机器人的大脑会感到困惑，或者图片和文本开始向相反的方向拉扯，即使最终的答案看起来很平滑。该论文提出了一种名为 FlowGuard 的新安全系统，它扮演着“思想侦探”的角色，通过观察机器人的内部推理过程，来发现图片和文本是否在互相争斗或表现异常，而不是仅仅检查表层的文字或像素。

FlowGuard 的故事：捕捉“思维断裂”

由 Yeon Jehyeok 及其同事领导的研究团队注意到，这些 AI 模型的工作方式有一个非常有趣的现象。当你给模型一个正常的图像和一个正常的问题时，负责观察图片的“大脑部分”和负责阅读文本的“大脑部分”通常相处得非常好。它们共享信息，对重要事项达成共识，并且最终的答案感觉既稳定又确定。这就像两个朋友一起建造沙堡；他们都清楚沙堡应该长什么样，他们的共同努力让沙堡变得更坚固、更精细。

然而，当攻击者试图“越狱”（jailbreak）模型——即通过隐藏在图片或文本中的恶意指令，迫使模型忽略其安全规则时——这种和谐就会被打破。论文指出，即使攻击者足够聪明，能让图片和文本在各自独立时看起来都很无辜，但在模型尝试将两者结合的瞬间，事情就会出错。内部逻辑会发生“断裂”。图片可能在呐喊着一件事，而文本却在低声诉说着另一件事，或者两者的结合产生了一个混乱的局面，导致模型的脑部无法进行平滑的解析。

为了捕捉这一点，团队构建了 FlowGuard。请不要把 FlowGuard 仅仅看作门口的守卫，而要把它看作坐在机器人大脑内部的一位“翻译官”。它不仅仅看最终的答案，还会窥视机器人决策过程中最初的瞬间。它会快速询问三个问题：

如果机器人只看图片，它会说什么？
如果机器人只读文本，它会说什么？
当它同时看两者时，它会说什么？

然后，它会将这三个答案进行比较。在安全的情况下，“两者结合”的答案应该是另外两个答案的完美融合，就像红黄两种颜料平滑地混合成橙色。但在受到攻击时，“两者结合”的答案可能会突然变成一种奇怪的颜色，或者红黄两种颜料可能会拒绝混合。FlowGuard 使用一些高级数学方法（受名为“部分信息分解”概念的启发）来测量这种“混合”程度，从而创建一个 FlowVector（流向量）。这是一个由四个数字组成的微型代码，精确描述了图片和文本是如何相互作用的。

冗余性 (Redundancy)： 图片和文本是否达成共识？（高冗余意味着它们在同一频道上）。
唯一性 (Uniqueness)： 是否其中一方主导了对话？（如果图片在呐喊而文本在沉默，那就是高视觉唯一性）。
协同性 (Synergy)： 将它们结合起来是让答案更清晰了，还是让它更混乱了？（良好的协同意味着整体大于部分之和；糟糕的协同则意味着结合产生了混乱）。

团队仅使用“良好”的样本来训练 FlowGuard——即数以千计的正常图片和问题，在这些场景下机器人的表现都是完美的。他们训练了一个 AI 检测器（孤立森林/Isolation Forest）来识别什么是“正常”的流动。因为他们只针对良好行为进行训练，所以该检测器能够识别出任何看起来哪怕只有一点点“异样”的模式。这就像是教一个安全系统去识别正常房屋的声音；如果窗户破碎或地板发出怪异的吱呀声，报警器就会响起，即便入侵者穿着伪装服也无济于事。

他们的发现

结果非常有效。研究人员针对各种类型的攻击对 FlowGuard 进行了测试，包括黑客将坏词隐藏在 ASCII 艺术中、通过不可见的像素变化篡改图像，或者将一条恶意指令拆分到图片和句子中。

在没有任何防御的情况下，这些模型极其脆弱。在面对一些最狡猾的攻击时，模型的失败率超过了 90%，会心平气和地生成有害内容。但当开启 FlowGuard 后，这些攻击的成功率骤降至不到 15%。在许多情况下，它几乎抓住了每一次尝试，将失败率降至个位数（对于跨模态攻击，失败率约为 6% 至 9%）。

更酷的是，FlowGuard 不仅阻止了坏人，也没有误伤好人。研究人员检查了 FlowGuard 是否会对正常问题表现出“脾气”并拒绝回答。他们发现，FlowGuard 在处理安全输入时仅产生约 2.4% 的错误，这比许多为了保险起见而经常拦截无害问题的其他安全方法要好得多。此外，它的速度极快。虽然其他一些安全检查需要运行复杂的图像重建过程并耗时数秒，但 FlowGuard 在约 1.3 秒内就能完成任务，这使其具备了实际应用中的实时性。

论文还表明，这种技巧适用于不同类型的机器人，从拥有 40 亿个“脑细胞”的小型模型到拥有 700 亿个的大型模型。它甚至适用于通过 API 访问的模型（在这种情况下，你只能看到顶层的预测，而看不到整个大脑），这证明了“思维断裂”信号是这些模型运作的一个基本特征，而不仅仅是某个特定设计的缺陷。

核心结论

这篇论文表明，保护多模态 AI 的最佳方式不是在输入端建立更高的围墙，而是倾听 AI 的思考方式。通过观察图片和文本何时停止和谐共处，FlowGuard 可以在机器人完成句子之前就识破黑客的诡计。这是一种轻量级、快速且异常鲁棒的方法，可以保持这些强大工具的安全，它暗示了安全的关键或许在于关注机器之心内部的和谐状态。

技术摘要：通过内部信息分解保障多模态 AI 的安全性

问题陈述

多模态大语言模型（MLLMs）引入了单模态系统中不存在的新型攻击面。攻击者可以将恶意意图分布在不同模态（文本和图像）中，使得单个输入在各自模态下看起来都是良性的且逻辑自洽，但两者的结合却会诱发不安全行为。这种“组合式”失效模式使得传统的安全防御手段失效。现有方法侧重于净化原始输入、验证生成的输出，或监测标量置信度指标（如似然性、熵、困惑度）。然而，当仅文本推理和仅视觉推理各自表现得都一致时，如果它们的融合产生了具有置信度但存在组合偏差的行为，这些方法往往会失效。核心挑战在于如何在不修改底层模型或不依赖对抗监督的情况下，检测到这些失效，特别是在面对未见的或零样本攻击时。

方法论：FlowGuard

作者提出了 FlowGuard，这是一个轻量级的推理时框架，通过监测多模态推理的内部一致性来检测有害输入。FlowGuard 并非检查表层输入或输出，而是分析单模态与多模态预测分布之间的相互作用。

核心机制

FlowGuard 通过在三种不同的条件配置下探测目标 MLLM 来运行：

仅文本： $P^{(1)}_t = P_M(\cdot \mid \emptyset, Q)$
仅视觉： $P^{(1)}_v = P_M(\cdot \mid I, Q_\emptyset)$ （使用固定的中性提示词）
联合多模态： $P^{(1)}_{mm} = P_M(\cdot \mid I, Q)$

该系统专注于第一标记（first-token）预测分布（ $P^{(1)}$ ），它捕捉了模型在自回归放大之前的初始决策状态。

FlowVectors 与部分信息分解 (PID)

受部分信息分解（PID）的启发，FlowGuard 推导出了一个 4 维的 FlowVector $\phi(x) = (U_v, U_t, R, S)$ ，用于量化来自文本和视觉的信息如何重叠、分歧并在融合时趋于稳定：

唯一性 ( $U_v, U_t$ )： 通过定向 Kullback–Leibler (KL) 散度进行测量。
- $U_v = D_{KL}(P^{(1)}_{mm} \parallel P^{(1)}_t)$ ：捕捉融合后的后验分布相对于文本仅先验分布的偏离程度（视觉主导性）。
- $U_t = D_{KL}(P^{(1)}_{mm} \parallel P^{(1)}_v)$ ：捕捉融合后的后验分布相对于视觉仅先验分布的偏离程度（文本主导性）。
- 意义： 对抗性操纵通常会破坏模态影响力的平衡，导致不对称的散度信号。
冗余度 ( $R$ )： 测量为 $1 - JSD(P^{(1)}_t \parallel P^{(1)}_v)$ $1 - J S D (P_{t}^{(1)} ∥ P_{v}^{(1)})$ ，其中 JSD 是 Jensen–Shannon 散度。
- 意义： 捕捉单模态先验之间的语义对齐。良性输入会诱发对齐的结构；而对抗性提示会引入冲突的意图，从而降低冗余度。
协同性 ( $S$ )： 通过熵减进行测量： $S = \frac{H(P^{(1)}_t) + H(P^{(1)}_v)}{2} - H(P^{(1)}_{mm})$ $S = \frac{H ( P _{t}^{(1)} ) + H ( P _{v}^{(1)} )}{2} - H (P_{mm}^{(1)})$ 。
- 意义： 指示融合是减少了不确定性（建设性整合， $S > 0$ ），还是放大了不确定性（不稳定交互， $S < 0$ ）。

防御目标

FlowGuard 将安全检测建模为一个单类分类问题。孤立森林（Isolation Forest）仅在源自良性数据（例如 VQAv2 验证集）的 FlowVectors 上进行训练。该模型学习了“对齐”的多模态信息流的紧凑区域。对抗性输入由于表现出异常的跨模态交互（例如破碎的流、负协同或极端的模态主导），会在该空间中表现为离群值。

访问要求： FlowGuard 仅需要访问下一个标记的概率分布（或对于 API 模型，需要足够大的前 $k$ 个 logprob 尾部）。它不需要模型权重、梯度或隐藏激活值。

核心贡献

过程级多模态安全： 本文通过关注文本仅、视觉仅和联合预测分布之间的一致性，重新定义了 MLLM 的安全性，直接针对多模态融合失效而非表层内容。
FlowVectors： 引入了紧凑的信息论特征（冗余度、唯一性和协同性），这些特征能够在推理时捕捉多模态推理的内部信息流。
零样本攻击检测： 通过对良性多模态行为进行单类分类建模，证明了其能够实现对多样化、未见过的越狱攻击的鲁棒检测，而无需对抗训练或生成式验证。

实验结果

作者在多种 MLLM 架构（LLaVA-1.5-7B, Qwen2.5-VL-7B, Gemma-3-4B, LLaMA-3.1-70B）和基准测试（MM-SafetyBench, VLSafe, VLSU）上评估了 FlowGuard，涵盖了纯文本、纯视觉和跨模态攻击。

攻击成功率 (ASR) 的降低： FlowGuard 在面对未见攻击时，一致将 ASR 从 $>90\%$ （无保护状态）降低到了 $<15\%$ 。例如，在 LLaVA-1.5-7B 上，它将通用大师密钥 (UMK) 的 ASR 从 96.0% 降低到 8.7%，将基于颜色的替换密码 (CBSC) 的 ASR 从 94.8% 降低到 9.1%。
效用保持： 该框架将良性效用维持在基线性能的 2.4% 以内。在处理具有复杂语义的良性查询（MOSSBench）时，其误报率 (FPR) 为 2.4%，显著优于基于困惑度（11.2% FPR）和基于置信度（14.5% FPR）的检测器。
效率： FlowGuard 的运行延迟约为每样本 1.3 秒（包括三次前向传播），与 MirrorCheck 和 CIDER 等基于扩散的验证方法相比，实现了高达 6 倍的加速。
鲁棒性： 该方法在不同模型规模（4B 到 70B 参数）以及部分分布访问（带有 top- $k$ logprobs 的 GPT-4.1-mini）下均表现出鲁棒性，其中平均 ASR 保持在 10.4%。
消融实验：
- 协同性 ( $S$ )： 去除协同性特征导致性能下降最为显著，表明多模态不确定性减少的偏差是主要的检测信号。
- 解码步骤： 仅监测第一个解码步骤 ( $k=1$ ) 就足以达到饱和；增加 $k$ 值相对于线性增加的延迟成本而言，收益微乎其微。
- 分类器选择： 孤立森林在面对未见攻击时表现优于监督学习 MLP，避免了对特定扰动模式的过拟合。

重要性与主张

本文声称，监测跨模态一致性提供了一种高效且有效的防御手段，解决了以往安全标准过度强调流畅度和置信度而忽视多模态集成结构的根本局限性。

泛化性： 通过依赖信息流的结构一致性而非特定的攻击模式，FlowGuard 提供了一种与攻击无关的防御，能够泛化到不同的架构和未见的越狱策略。
互补性： 作者将 FlowGuard 定位为现有输入净化和输出验证方法的补充层，它提供了一种模型内部信号，能够检测出表层检查无法发现的多模态集成失效。
可扩展性： 该框架非常轻量，不需要模型重训或梯度访问，因此适用于模型权重可能属于专有的实际部署场景。

作者指出，虽然 FlowGuard 对跨模态和视觉攻击非常有效，但在处理纯文本攻击时仍存在略高的残余 ASR（约 13–14%），这表明可能需要与针对文本的特定防御相结合，以实现全面的保护。他们也承认，发布检测机制可能会为自适应攻击者提供信息，且基于异常的方法存在将罕见但合法的输入标记为异常的风险，因此需要仔细策划参考数据集并审计敏感应用中的误报情况。