Pesquisadores demonstram que imagens adversariais podem implantar backdoors que sobrevivem mesmo apos removidas do contexto, persistindo no cache KV

O ponto de partida do trabalho e o ataque de Visual Memory Injection (VMI), descrito anteriormente por Schlarmann e Hein em 2026, no qual uma imagem adversarial colocada no contexto de um modelo de visao-linguagem planta um backdoor oculto: o modelo se comporta normalmente durante a conversa, mas quando um gatilho especifico aparece em uma mensagem posterior, ele produz uma resposta escolhida pelo atacante. A pergunta que este novo trabalho investiga e mais inquietante: esse backdoor continua funcionando depois que a imagem original que o implantou e removida do contexto -- por exemplo, por uma janela de contexto deslizante, por compactacao de historico ou por qualquer mecanismo de gerenciamento de memoria de longo prazo que descarte mensagens antigas?

A resposta tecnica passa pelo funcionamento interno dos modelos transformer modernos: durante a geracao autoregressiva, o modelo mantem um cache de chave/valor (KV cache) que armazena representacoes intermediarias de todos os tokens processados, permitindo gerar o proximo token sem reprocessar toda a conversa do zero. Os autores demonstram que, mesmo quando a imagem original e mascarada de forma que o modelo nao pode mais 'olhar' diretamente para ela via atencao, residuos da influencia adversarial permanecem codificados no KV cache dos tokens que vieram depois da imagem -- ou seja, o dano ja foi 'absorvido' pela representacao interna da conversa antes da remocao, e remover apenas o acesso direto a fonte nao desfaz esse efeito. Os autores primeiro confirmam essa persistencia usando soft prompts otimizados (vetores continuos, nao necessariamente imagens reais) e depois introduzem o P-VMI, que otimiza imagens adversariais reais (nao apenas vetores abstratos) especificamente para preservar esse comportamento apos serem mascaradas da atencao.

Os resultados experimentais no Qwen3-VL-8B-Instruct sao expressivos: o P-VMI atinge aproximadamente 90% de taxa de sucesso do alvo na configuracao mais forte, e permanece eficaz mesmo em um cenario de remocao mais estrito, onde a imagem maliciosa so e exposta ao modelo no primeiro turno da conversa e depois nunca mais aparece -- o ataque ainda persiste por conversas significativamente mais longas do que as usadas durante a otimizacao do ataque. Um experimento de 'troca de cache' (cache-swap ablation), onde o KV cache de uma execucao e transplantado para outra, localiza fisicamente a influencia persistente no proprio cache, confirmando que o mecanismo de persistencia e exatamente esse e nao outro efeito colateral.

O achado mais preocupante do ponto de vista operacional e que o ataque sobrevive mesmo a compactacao de contexto por resumo: quando o proprio modelo gera um resumo da conversa para economizar espaco de contexto (uma pratica comum em agentes de longa duracao) e esse resumo retem o KV cache correspondente, o comportamento adversarial continua presente. Isso tem implicacao direta para o design de sistemas de memoria de longo prazo em agentes de IA: mecanismos pensados para gerenciar contexto de forma eficiente (sliding windows, compactacao, resumos) nao sao, por si so, defesas contra conteudo adversarial anterior -- um atacante que conseguiu uma unica injecao bem-sucedida pode manter controle residual sobre o comportamento do agente por muito tempo depois, mesmo que toda evidencia textual/visual do ataque original tenha sido descartada da conversa visivel.