UnifiedAttack mostra que combinar texto e imagem gera jailbreaks mais eficazes contra modelos multimodais unificados
O benchmark UnifiedAttack mede o quanto a combinacao sinergica de texto e imagem consegue produzir conteudo nocivo alem do que cada modalidade alcancaria isoladamente em modelos multimodais nativamente unificados. Os autores propoem duas tecnicas de ataque -- uma que envolve a intencao adversarial em exemplos aparentemente benignos (In-Context Reskinning) e outra que forca o modelo a se comprometer com um plano neutro antes de explorar sua propria consistencia logica para gerar o conteudo nocivo (Cognitive Planning Injection) -- e mostram que ambas contornam consistentemente os mecanismos de alinhamento de arquiteturas de ponta.
Conforme modelos multimodais avancam para arquiteturas nativamente unificadas -- um unico modelo gerando e raciocinando sobre imagem e texto de forma conjunta, em vez de um pipeline de codificadores separados -- a avaliacao de seguranca precisa capturar risco sinergico, nao apenas o risco de cada modalidade isolada. E exatamente essa lacuna que o UnifiedAttack ataca, com um benchmark construido para medir o ganho de nocividade obtido especificamente pela coordenacao entre texto e imagem.
As duas tecnicas propostas sao tecnicamente distintas. O In-Context Reskinning usa aprendizado de poucos exemplos para envolver a intencao adversarial dentro de uma casca aparentemente benigna, dessensibilizando os filtros de seguranca que avaliam o conteudo superficial. Ja o Cognitive Planning Injection sequestra o padrao de raciocinio 'planejar e depois executar' do proprio modelo: ao faze-lo se comprometer primeiro com um plano logico neutro, o ataque explora a tendencia do modelo de manter consistencia interna para empurra-lo a executar esse plano ate a geracao coordenada de conteudo nocivo multimodal.
Os resultados mostram bypass consistente do alinhamento em arquiteturas de ponta, e os proprios autores descrevem isso como uma arma contra exatamente as propriedades -- ajuda estrutural e coerencia logica -- que tornam esses modelos uteis. O benchmark tambem inclui um subconjunto de consultas de desinformacao sintetizadas, o que amarra o resultado diretamente a risco de operacoes de influencia, nao apenas a geracao de conteudo nocivo generico.
A maior parte do trabalho de red-teaming e alinhamento ainda foca em jailbreaks de uma modalidade so; este resultado sugere que, conforme a geracao multimodal se torna mais unificada -- um unico raciocinio latente atravessando texto e imagem --, essa propria integracao se torna superficie de ataque, porque defesas construidas para detectar intencao em texto isolado ou em imagem isolada nao veem o plano cross-modal se formando ate que o conteudo final ja esteja gerado.