Backdoor Infection: pesquisadores mostram como contaminar um modelo multimodal em uma modalidade a partir de outra já comprometida
Pesquisadores demonstram um ataque chamado 'backdoor infection', que parte de um modelo multimodal já backdoored em uma modalidade e constrói, sem retraining, um gatilho equivalente em outra modalidade, explorando o espaço latente compartilhado do modelo. Testado em LLaVA, InternVL, Qwen-VL e Gemma, o método se mostrou mais eficiente e mais difícil de detectar do que abordagens de otimização direta de gatilho.
O trabalho parte de um cenário incomum, mas plausível, na cadeia de suprimentos de modelos: um modelo multimodal (MLLM) é disponibilizado publicamente já contendo um backdoor plantado em apenas uma das suas modalidades de entrada, por exemplo, um gatilho textual específico que ativa um comportamento malicioso. Em vez de assumir que o atacante precisaria re-envenenar o modelo para estender esse comportamento a outras modalidades, como imagem ou áudio, os autores mostram que é possível "infectar" uma segunda modalidade sem qualquer re-treinamento ou envenenamento adicional de dados.
Tecnicamente, a técnica explora o fato de que MLLMs projetam diferentes modalidades de entrada em um espaço latente compartilhado antes de processá-las conjuntamente. Como o backdoor original já associa uma região desse espaço latente a um comportamento malicioso, basta encontrar, por meio de um método leve de otimização sob restrições, um estímulo na modalidade "limpa" que também caia nessa mesma região latente, ativando o mesmo comportamento sem que essa modalidade jamais tenha sido envenenada durante o treinamento original do backdoor.
Os resultados em modelos como LLaVA, InternVL, Qwen-VL e Gemma indicam que os gatilhos cross-modais gerados por essa técnica são mais eficientes de produzir e menos detectáveis do que gatilhos obtidos por otimização direta na nova modalidade, ou seja, do ponto de vista de um atacante, infectar a segunda modalidade aproveitando o backdoor existente é mais barato e mais furtivo do que atacar essa modalidade do zero.
Isso importa na prática porque backdoors em modelos multimodais são frequentemente avaliados e mitigados modalidade por modalidade, por exemplo, verificando apenas se há gatilhos textuais suspeitos. O "backdoor infection" mostra que a superfície de risco de um backdoor unimodal já plantado se estende silenciosamente a outras modalidades do mesmo modelo, o que significa que auditorias de segurança de MLLMs precisam considerar o espaço latente compartilhado como um vetor de propagação de ataque, em vez de tratar cada modalidade como um compartimento isolado.