C-P&M：针对多模态大语言模型的统一跨提示与跨模型对抗攻击

《Neurocomputing》：C-P&M: Unified cross-prompt and cross-model adversarial attack on multimodal large language models

　　

摘要 多模态大语言模型（MLLMs）已在各种任务中展现出卓越的通用性，但它们仍然极易受到对抗攻击的影响。现有方法无法同时在模型和提示之间实现有效的迁移性，特别是在具有挑战性的定向攻击设置下。在本文中，我们提出了一种统一的对抗攻击框架 C-P&M（跨提示与跨模型），这是首次在与其对齐空间而非嵌入空间中进行对抗优化。通过在对其模块（例如 Q-former）的输出处最小化对齐损失，C-P&M 有效地弥合了低级视觉特征和高级文本语义之间的差距，提供了更明确的优化轨迹。具体来说，我们设计了一种多层级图像&提示 - 目标对齐策略，通过语义相似度、二分类匹配和词元级生成逐步集成目标信息。我们使用具有不同特征的多个目标文本在几种现代 MLLMs 上验证了 C-P&M 攻击的有效性。实验结果表明，我们的方法在跨提示和跨模型场景下均持续优于现有方法，同时保持了高效的计算。

引言 多模态大语言模型（MLLMs）最近因其融合来自不同模态信息的能力而受到广泛关注。它们被广泛应用于各种多模态任务中，如图像分类 [1], [2]、图像描述 [3], [4] 和视觉问答（VQA）[5], [6]。然而，最近的研究表明，MLLMs 极易受到对抗样本的影响，其中对原始输入施加的微小扰动会导致模型生成错误的响应或表现出非预期的行为 [7], [8], [9]。这种利用对抗样本欺骗模型产生错误的攻击通常被称为对抗攻击，最初由 Szegedy 等人 [10] 发现。

目前，针对 MLLMs 的对抗攻击的迁移性已成为研究热点，主要关注两个方面：（1）跨模型，即在白盒模型上生成的对抗样本也能有效攻击其他黑盒模型 [9], [11]。（2）跨提示，即精心设计的对抗样本在各种提示下产生一致的目标响应 [12]。

然而，一方面，尽管现有的跨模型对抗攻击取得了显著成果 [9]，但它们往往忽视了 MLLMs 的跨提示场景 [13]。换句话说，具有跨模型能力的对抗样本未能有效误导 MLLMs 在各种提示下生成一致的目标响应。另一方面，当前的跨提示对抗攻击如 CroPA [12] 表现出较弱的跨模型能力，这归因于其对白盒模型的过拟合以及引导合理的对抗梯度方向的内在困难。因此，一个自然的问题出现了：我们能否在保持高攻击性能的同时实现跨提示和跨模型的迁移性？为此，我们提出了一种统一的对抗攻击框架 C-P&M（跨提示与跨模型）（见图 1a）。本质上，我们希望获得满足跨提示和跨模型需求的对抗样本的合适优化轨迹（见图 1b）。

典型的跨模型攻击在对齐空间中进行优化，这依赖于公开可用的视觉编码器，例如 CLIP [2] 和 EVA [9]。我们在对齐空间中进行优化，该空间依赖于一个对齐模块来纠正对抗梯度方向，如图 1(b) 所示。我们的动机基于这样的见解：可以通过适当的对抗样本攻击强度来实现增强的鲁棒泛化 [14]。通过最小化对齐空间中的对齐损失，我们的方法提供了两个优势。第一，它使更新后的对抗扰动能够在高级语义层上与目标文本和对抗图像匹配。第二，它有助于为最小化语言建模损失提供合理的优化轨迹。

在本文中，我们关注针对 MLLMs 的定向攻击，这意味着使对抗样本与恶意目标文本对齐。具体来说，我们精心设计了一种图像&提示 - 目标对齐策略，包括两个方面：（i）图像 - 目标对齐（ITA）和（ii）提示 - 目标对齐（PTA）。对于 ITA，为了提高跨模型能力，我们从语义、分类和生成三个方面增强了对齐空间中对抗图像和目标文本之间的对齐精度。因此，我们设计了三个相应的损失函数，共同形成了一个多层级、渐进的对齐过程。对于 PTA，我们使用提示 - 目标对齐损失来确保 MLLMs 在各种提示下一致地生成目标文本。利用 ITA 和 PTA 损失可以通过选择适当的优化轨迹并更有效地引导对抗梯度指向目标来增强迁移性。

总之，我们旨在设计对抗扰动，同时增强针对 MLLMs 的跨模型能力并产生令人满意的跨提示能力。我们工作的主要贡献总结如下：

* 首次范式转变至对齐空间：据我们所知，我们首次提出了一种统一的对抗攻击框架，在对齐空间而非传统的嵌入空间中进行优化。利用对齐模块（例如 Q-former）的语义桥接能力，我们的方法有效地避免了低级视觉特征的陷阱，为对抗扰动提供了显著更明确和合理的优化轨迹。
* 多层级渐进对齐策略：我们提出了一种全面的图像&提示 - 目标对齐（I&PTA）策略，以统一跨提示和跨模型的迁移性。该策略包含一个覆盖语义、分类和生成的分层损失结构，共同形成了一个多层级对齐过程。这一原则性的设计确保了对抗样本与目标文本保持高级语义一致性，同时在各种提示下保持鲁棒性。
* 全面的安全边界评估：在几种最先进的 MLLMs 上进行的大量实验表明，C-P&M 在白盒和黑盒设置下均持续且显著优于现有方法。此外，我们提供了计算成本（时间和能耗）的详细分析，确认了我们方法在评估多模态系统安全鲁棒性方面的效率和实际相关性。

章节片段
多模态大语言模型
早期的大语言模型（LLMs）[15], [16], [17], [18] 仅限于语言到语言的生成任务。为了将 LLMs 的强大能力扩展到计算机视觉领域，一些方法提出冻结语言模型并利用其知识进行视觉到语言的生成任务 [6], [19], [20]。然而，视觉和语言数据之间的内在差异带来了一个关键挑战——图像是连续的，而文本是离散的。因此，对

威胁模型 假设一名攻击者拥有一个白盒 MLLM，其中 表示视觉输入，是文本提示输入，而 表示响应。相应地，令 表示一个黑盒 MLLM。我们的目标是设计一个对抗扰动，使其能够成功迁移到。具体而言，白盒模型 由三个核心组件组成：一个视觉编码器、一个对齐模块和一个大语言模型。在这项工作中，我们关注定向攻击，其中对抗样本 被设计为

实验设置 数据集和模型。提出的 C-P&M 攻击在 VQAv2 [52] 和 OKVQA [53] 数据集上进行评估，使用来自 CroPA [12] 的提示用于训练和评估对抗样本。提示涵盖图像分类、图像描述以及特定和通用的视觉问答任务。在正文中，选择了十一个代表性的目标文本。为了展示 C-P&M 在增强跨模型和跨提示迁移性方面的有效性，我们的

结论 在本文中，我们介绍了针对 MLLMs 的 C-P&M 攻击。与现有攻击相比，这种攻击实现了更优越的跨模型和跨提示迁移性。我们探索了通过图像&提示目标对齐策略提高对齐空间中的对齐精度来实现增强的迁移性。大量实验表明，这种对齐策略可以使对抗样本在语义上更接近目标文本。同时，在多样化

CRediT 作者贡献声明 鲍琪琪：写作 – 审查与编辑，写作 – 原稿撰写，软件，方法论，调查，形式分析，概念化。严玉洁：写作 – 审查与编辑，写作 – 原稿撰写，可视化，软件，方法论，调查，形式分析，概念化。丁晓国：写作 – 审查与编辑，写作 – 原稿撰写，可视化，软件，方法论，调查，形式分析，概念化。钱亚关：写作 – 审查与编辑。

利益冲突声明 作者声明，他们没有已知的竞争性财务利益或个人关系可能影响本文中报告的工作。

致谢 本工作得到了国家重点研发计划（Grant 2024YFB3108100）、国家自然科学基金（Grants 62476250, U23B2054, 62506339, 62472335, 和 62372137）、浙江省自然科学基金（Grant LZ22F020007）、浙江省自然科学基金（Grant No. LQN25F010018）以及浙江理工大学研究生研究与创新基金的资助。

鲍琪琪于 2024 年从清华大学电子工程系获得博士学位。她目前是浙江理工大学人工智能与信息工程学院的助理研究员。她已在同行评审的国际会议和期刊上发表或合著了 15 篇论文，包括 NeurIPS、AAAI、ACM MM、TIP、TMM 等。她的主要研究兴趣包括图像修复、图像生成和可信

鲍琪琪 | 严玉洁 | 丁晓国 | 钱亚关 | 顾兆权 | 季首凌 | 王彬
浙江理工大学人工智能与信息工程学院，杭州，310023，中国