MMCert：多模态模型的可证明防御机制抵御对抗攻击
内容提要
本文研究了多模态模型的鲁棒性，提出了可证明鲁棒的多模态训练（CRMT）方法，显著提升了模型在对抗攻击下的表现。分析不同攻击方式后发现，多模态分类器在视觉对抗性输入下较为脆弱，但提供上下文信息可以降低其影响。此外，研究还提出了新的图像分类方法和对抗性融合策略，进一步增强了鲁棒性，并在多个数据集上取得了良好效果。
延伸解读
多模态鲁棒性的核心挑战
文章指出，多模态模型容易受到单模态攻击和缺失条件的干扰，需要鲁棒的多模态表示。理论研究发现，较大的单模态表示边界和更可靠的模态融合是实现更高鲁棒性的重要组成部分。基于此提出的CRMT方法，旨在提高鲁棒性的可信度和灵活性。
视觉对抗攻击的脆弱性与上下文缓解
研究发现，大型多模态模型对视觉对抗性输入并不鲁棒，但提供上下文信息（如问答中的问题）可以降低其影响。提出的查询分解方法将存在性查询融入输入提示，观察到攻击效果减弱和图像分类准确性提高，为增强多模态系统在对抗环境中的韧性提供了新思路。
对抗性融合与鲁棒性提升
针对多模态神经网络在单模态最坏情况下的鲁棒性，文章提出了一种对抗性融合策略，与现有方法相比，可显著提高单源鲁棒性，且不影响干净数据性能，在多种多模态任务上表现良好。此外，通过修改损失函数限制前K个softmax输出，预训练模型的对抗鲁棒性可显著提高。
多模态融合模型的持续脆弱性
尽管已有多种防御方法，但研究显示多模态融合模型在对抗攻击方面仍然脆弱。例如，在MFNet上应用FGSM和PGD等攻击的实验验证了这一点。文章还提出了互模态攻击策略，利用预训练CLIP模型进行视觉攻击和文本防御，表明攻击具有高可转移性，这提示防御需进一步改进。
Q&A
什么是可证明鲁棒的多模态训练（CRMT）？
可证明鲁棒的多模态训练（CRMT）是一种训练方法，旨在提高多模态模型的鲁棒性和灵活性，显著增强模型在对抗攻击下的表现。
多模态模型在对抗攻击下的脆弱性表现如何？
多模态模型在视觉对抗性输入下较为脆弱，但提供上下文信息可以降低其影响。
查询分解方法如何提高图像分类准确性？
查询分解方法通过将存在性查询融入输入提示中，观察到攻击效果减弱，从而提高图像分类的准确性。
对抗性融合策略的主要优势是什么？
对抗性融合策略显著提高了单源鲁棒性，并在多种多模态任务上表现良好，而不影响干净数据的性能。
如何通过修改损失函数提高模型的对抗鲁棒性？
通过修改预训练模型的损失函数，限制前K个softmax输出，可以显著提高模型的对抗鲁棒性，抵御常见攻击。
多模态融合模型在对抗攻击方面存在哪些问题？
多模态融合模型在对抗攻击方面仍然存在脆弱性，需要进一步改进以增强其鲁棒性。
