다중 모드 대규모 언어 모델의 적대적 강건성 연구

Investigating Adversarial Robustness of Multi-modal Large Language Models

다중 모드 대규모 언어 모델(MLLM)은 시각-언어 작업에서 뛰어난 성능을 보이지만, 비전 인코더(예: CLIP)를 통해 시각 정보를 통합하면 공격 표면이 크게 확대되어 이러한 모델이 시각적 적대적 변화에 취약해질 수 있습니다. 기존의 방어 기법들은 일반적으로 사전 학습된 MLLM과의 호환성을 유지하기 위해 적대적 미세 조정 과정에서 CLIP의 원래 임베딩 공간에 대한 엄격한 제약을 적용합니다. 이러한 방식은 실용적이지만, 근본적으로 달성 가능한 강건성의 한계를 초래합니다. 본 연구에서는 MLLM의 적대적 강건성에 대한 체계적인 조사를 수행했습니다. 먼저, 전체 MLLM 학습 전에 어떤 강건한 비전 인코더가 다중 모드 환경에 효과적으로 적용될 수 있는지 예측하는 진단 CLIP 정렬 프로토콜을 도입했습니다. 이를 통해 대규모 다중 모드 적대적 사전 학습이 단일 모드 규모 확대보다 강력한 강건성 전달에 중요한 요소임을 확인했습니다. 이러한 인코더를 엔드 투 엔드의 다중 모드 훈련을 통해 MLLM에 통합하면, 제약 조건이 적용된 기본 모델과 비교하여 캡션 생성 작업에서 평균 28 CIDEr 포인트, VQA 정확도에서 11.7%의 성능 향상을 얻었습니다. 또한, 표준적이고 강건하지 않은 MLLM에 직접적으로 적대적 훈련을 적용하면 일반적인 성능과 적대적 공격에 대한 성능이 모두 저하된다는 것을 보여주어, 강건한 시각적 표현이 필수적임을 입증했습니다. 반면, 강건한 기반 모델에서 엔드 투 엔드의 적대적 훈련을 수행하면 추가적으로 1.9 CIDEr 포인트와 4.3%의 VQA 정확도 향상을 얻을 수 있습니다. 훈련 시간 방어 기법 외에도, 가벼운 테스트 시간 시각적 확률 변환이 강건하지 않은 MLLM에 대한 효과적인 블랙박스 방어 방식으로 작용하여 적대적 성능을 거의 제로에서 시작하여 강건한 모델과 유사한 수준으로 끌어올릴 수 있습니다. 마지막으로, 우리의 강건한 모델은 화이트박스 시각적 탈옥 공격 하에서 독성 있는 콘텐츠 생성을 크게 줄이는 것을 확인했습니다. 코드 및 사전 학습된 가중치는 공개적으로 제공될 예정입니다.

Multi-modal Large Language Models (MLLMs) achieve strong performance on vision-language tasks, but incorporating visual inputs through a vision encoder (e.g., CLIP) substantially expands the attack surface, making these models vulnerable to visual adversarial perturbations. Prior defenses typically preserve compatibility with pretrained MLLMs by enforcing strict alignment to CLIP's original embedding space during adversarial fine-tuning; while practical, this constraint fundamentally limits achievable robustness. We present a systematic investigation of adversarial robustness in MLLMs. We first introduce a diagnostic CLIP-alignment protocol that predicts, prior to full MLLM training, which robust vision encoders will transfer effectively to the multimodal setting, revealing that large-scale multimodal adversarial pretraining, rather than unimodal scale alone, is the critical factor for strong robustness transfer. Integrating such encoders into MLLMs via end-to-end multimodal training yields average gains of 28 CIDEr points on captioning and 11.7% VQA accuracy under strong adversarial attacks compared to constrained plug-and-play baselines. We further show that adversarial training applied directly to a standard non-robust MLLM degrades both clean and adversarial performance, establishing robust visual representations as a strict prerequisite, while end-to-end adversarial training from a robust backbone delivers additional gains of 1.9 CIDEr points and 4.3% VQA accuracy. Beyond training-time defenses, lightweight test-time visual stochastic transformations serve as an effective black-box defense for non-robust MLLMs, elevating adversarial performance from near-zero to levels comparable with robust models. Finally, we show that our robust models substantially reduce toxic generation under white-box visual jailbreak attacks. Code and pretrained weights will be released publicly.