VLATTACK: Multimodal Adversarial Attacks on Vision-Language Tasks via Pre-trained Models

📄 arXiv: 2310.04655v3 📥 PDF

作者: Ziyi Yin, Muchao Ye, Tianrong Zhang, Tianyu Du, Jinguo Zhu, Han Liu, Jinghui Chen, Ting Wang, Fenglong Ma

分类: cs.CR, cs.CV

发布日期: 2023-10-07 (更新: 2024-02-05)

备注: Accepted by NeurIPS 2023, 21 pages

🔗 代码/项目: GITHUB

💡 一句话要点

提出VLATTACK以解决多模态对抗攻击问题

🎯 匹配领域: 支柱九：具身大模型 (Embodied Foundation Models)

关键词: 多模态对抗攻击 视觉-语言模型 黑盒攻击 块级相似性攻击 迭代交叉搜索攻击 对抗样本生成

📋 核心要点

  1. 现有方法主要集中于白盒设置的对抗攻击，缺乏对黑盒模型的有效攻击策略，导致多模态模型的鲁棒性研究不足。
  2. 本文提出VLATTACK，通过单模态和多模态层次生成图像和文本的对抗扰动，旨在有效攻击黑盒微调模型。
  3. 实验结果表明，VLATTACK在五个广泛使用的视觉-语言预训练模型的六个任务上均取得了最高的攻击成功率，超越了现有最优基线。

📝 摘要（中文）

多模态预训练模型在视觉-语言任务中表现优越，但其对抗鲁棒性尚未得到充分探索。现有方法主要集中于白盒设置下的对抗鲁棒性，缺乏对黑盒模型的攻击研究。本文提出VLATTACK，通过融合图像和文本的扰动，针对不同下游任务攻击经过微调的黑盒模型。我们设计了新的块级相似性攻击（BSA）策略和迭代交叉搜索攻击（ICSA）方法，进行广泛实验，结果显示VLATTACK在所有任务上均实现了最高的攻击成功率，揭示了预训练模型部署中的盲点。

🔬 方法详解

问题定义：本文旨在解决多模态预训练模型在黑盒设置下的对抗攻击问题。现有方法多集中于白盒攻击，未能充分考虑实际应用中的鲁棒性挑战。

核心思路：VLATTACK通过融合图像和文本的扰动，利用预训练的视觉-语言模型生成对抗样本，旨在有效攻击黑盒微调模型。此方法的设计考虑了单模态和多模态的结合，以提升攻击效果。

技术框架：VLATTACK的整体架构包括两个主要阶段：单模态攻击和多模态攻击。在单模态阶段，采用块级相似性攻击（BSA）生成图像扰动；在多模态阶段，利用迭代交叉搜索攻击（ICSA）方法更新图像-文本对。

关键创新：最重要的创新在于提出了块级相似性攻击（BSA）和迭代交叉搜索攻击（ICSA），这两种方法有效地结合了图像和文本的扰动生成，显著提升了攻击成功率。

关键设计：在BSA中，通过学习图像的扰动来破坏通用表示；在ICSA中，定期更新对抗图像-文本对，确保攻击的有效性和适应性。

🖼️ 关键图片

fig_0
fig_1
fig_2

📊 实验亮点

实验结果显示，VLATTACK在五个主流视觉-语言预训练模型的六个任务上均实现了最高的攻击成功率，超越了现有最优基线，展示了其在实际应用中的有效性和重要性。

🎯 应用场景

该研究的潜在应用领域包括安全性测试、模型鲁棒性评估以及对抗样本生成等。VLATTACK的提出为多模态模型的安全性提供了新的视角，未来可能影响模型的设计与部署策略。

📄 摘要（原文）

Vision-Language (VL) pre-trained models have shown their superiority on many multimodal tasks. However, the adversarial robustness of such models has not been fully explored. Existing approaches mainly focus on exploring the adversarial robustness under the white-box setting, which is unrealistic. In this paper, we aim to investigate a new yet practical task to craft image and text perturbations using pre-trained VL models to attack black-box fine-tuned models on different downstream tasks. Towards this end, we propose VLATTACK to generate adversarial samples by fusing perturbations of images and texts from both single-modal and multimodal levels. At the single-modal level, we propose a new block-wise similarity attack (BSA) strategy to learn image perturbations for disrupting universal representations. Besides, we adopt an existing text attack strategy to generate text perturbations independent of the image-modal attack. At the multimodal level, we design a novel iterative cross-search attack (ICSA) method to update adversarial image-text pairs periodically, starting with the outputs from the single-modal level. We conduct extensive experiments to attack five widely-used VL pre-trained models for six tasks. Experimental results show that VLATTACK achieves the highest attack success rates on all tasks compared with state-of-the-art baselines, which reveals a blind spot in the deployment of pre-trained VL models. Source codes can be found at https://github.com/ericyinyzy/VLAttack.