Backdoor "programável" em modelos de visão e linguagem permite ao atacante escolher o alvo do ataque depois do treinamento
Pesquisadores demonstram que uma única fase de envenenamento de dados pode implantar em um modelo de visão e linguagem (VLM) um backdoor programável, no qual o atacante escolhe em tempo de inferência — sem retreinar o modelo — qual legenda-alvo, nunca vista durante o envenenamento, deve ser produzida, e sintetiza sob demanda um gatilho visual furtivo correspondente. A técnica mantém alta taxa de sucesso mesmo contra defesas clássicas de backdoor e preserva a utilidade do modelo em entradas limpas, ampliando substancialmente a superfície de risco frente aos backdoors estáticos já conhecidos na literatura.
Backdoors em modelos de visão e linguagem eram tratados até aqui como vulnerabilidades essencialmente estáticas: o atacante escolhe, antes do treinamento malicioso, um conjunto fixo de pares gatilho-alvo, e esse mapeamento fica congelado no modelo resultante. O artigo mostra que essa suposição subestima bastante o risco real: uma única fase de envenenamento pode implantar um backdoor genérico, capaz de produzir qualquer legenda-alvo que o atacante escolha depois — inclusive semânticas nunca vistas durante o envenenamento — sem qualquer retreinamento adicional do modelo.
A técnica tem dois componentes. Primeiro, uma estratégia heurística de envenenamento expõe o modelo, durante o treinamento malicioso, a pares diversos de gatilho-legenda, incentivando-o a aprender uma regra geral do tipo "trate o gatilho como uma instrução a seguir" em vez de memorizar um padrão gatilho-alvo específico — é essa generalização que permite o controle any-to-any depois. Segundo, um método de esteganografia de gatilho no espaço de features mapeia qualquer legenda-alvo escolhida pelo atacante para um gatilho visual furtivo, implementado como uma perturbação de norma controlada ou como um patch não semântico, imperceptível ou quase imperceptível quando inserido em imagens arbitrárias.
Uma vez treinado, o modelo comprometido passa a responder ao gatilho como se fosse uma instrução embutida na imagem: ao detectá-lo, gera uma legenda alinhada semanticamente ao alvo escolhido pelo atacante no momento do ataque, mesmo que esse alvo específico nunca tenha aparecido durante o envenenamento. Os experimentos mostram alta taxa de sucesso nesse controle any-to-any, preservação da utilidade do modelo em entradas limpas e robustez contra várias defesas clássicas de detecção de backdoor, que em geral assumem justamente o modelo de ataque estático que este trabalho invalida.
O impacto prático é relevante para qualquer pipeline que consuma VLMs de terceiros ou de origem não totalmente confiável: a defesa não pode mais assumir que basta testar um conjunto fixo de gatilhos conhecidos para descartar a presença de um backdoor, porque o mapeamento gatilho-alvo pode ser decidido depois, por um atacante com acesso apenas de leitura ao modelo publicado. Isso empurra a necessidade de defesas para mecanismos que detectem a capacidade latente de responder a instruções embutidas de forma geral, e não apenas a padrões específicos já catalogados.