VL-Trojan: 自回归视觉语言模型的多模态指令后门攻击
内容提要
多模态模型面临后门与对抗攻击威胁。研究提出双重密钥后门攻击，仅污染1%数据即达98%成功率，并发布TrojVQA数据集；VLAttack融合图文扰动生成对抗样本；另有指令导向攻击、预训练特洛伊攻击及防御方法，揭示视觉语言模型部署中的安全盲点。
延伸解读
攻击效率与数据污染
双重密钥多模态后门攻击仅需污染1%的训练数据即可达到98%的攻击成功率，这凸显了多模态模型在数据层面的脆弱性。攻击者通过视觉触发器优化策略，以极低的数据污染代价实现高效攻击，意味着实际部署中即使训练数据看似干净，也可能隐藏后门风险。这提醒研究者和开发者需对训练数据来源和完整性进行严格审查。
对抗样本的跨模态融合
VLAttack框架通过融合图像和文本扰动生成对抗样本，针对黑盒微调模型进行攻击，并在多项任务上取得最高成功率。这表明单一模态的防御可能不足，攻击者可以利用跨模态的扰动组合绕过现有防御。对于依赖预训练视觉语言模型的应用，需考虑多模态联合防御策略，以应对这种融合攻击。
防御与鲁棒性提升
文章提及了多种防御方法，如Adversarial Prompt Tuning (AdvPT) 技术，旨在提升图像编码器的对抗鲁棒性，并结合图像处理防御技术。此外，还有针对后门检测的防御研究。这些工作表明，提升多模态模型的安全性需要从对抗训练、提示调优和后门检测等多方面入手，但现有防御仍面临挑战，需持续开发更健壮的机制。
部署前的安全评估
研究揭示了视觉语言模型在部署中的安全盲点，包括指令导向攻击、预训练特洛伊攻击和测试时后门注入等。这些攻击可在不同阶段（预训练、微调、测试时）生效，且部分无需修改训练数据。因此，在实际部署前，应对模型进行全面的安全评估，包括对抗脆弱性测试和后门检测，以降低潜在风险。
Q&A
VL-Trojan 提出的双重密钥多模态后门攻击有什么特点？
该攻击通过视觉触发器优化策略，仅污染 1% 的训练数据即可达到 98% 的攻击成功率，并发布了 TrojVQA 数据集用于研究防御。
VLAttack 框架是如何生成对抗样本的？
VLAttack 通过融合单模态和多模态层次的图像和文本扰动来生成对抗样本，对黑盒微调模型进行攻击，实验表明在各项任务上攻击成功率最高。
什么是以指令为导向的有针对性攻击方法？
该方法将目标响应转化为目标图像，并从目标响应推断出合理指令，利用共享相同视觉编码器的本地替代模型提取对抗示例和目标图像的指令感知特征，通过优化对抗示例最小化特征距离，提高攻击性能和可迁移性。
预训练特洛伊攻击的目的是什么？
旨在提高人们对在实际场景中应用预训练视觉模型所面临潜在威胁的意识，并展示其在不同下游视觉任务中的有效性。
oolns 攻击如何抵抗后门检测和模型优化防御？
oolns 通过基于贝叶斯规则的双嵌入引导框架，在自然触发模式中实现视觉触发模式的文本目标语义近似，并通过优化视觉触发模式与目标视觉特征的一致性对目标样本进行污染，证明其对现有后门防御具有显著优势。
多模态大型语言模型测试时后门攻击有什么特点？
该攻击使用对抗测试图像将后门注入文本模态中，无需获取或修改训练数据，并能在设置和激活有害效果的时间上解耦。
