针对大型视觉语言模型的物理提示注入攻击

研究者提出 PPIA，一种黑盒、与用户查询无关的物理提示注入攻击，通过在物理物体上嵌入印刷文本指令来操纵大型视觉语言模型（LVLM）。作者称这是首个物理提示注入攻击，攻击者无需接触模型、输入通道或用户查询，仅通过视觉观察即可实施。方法先用 LLM 生成候选恶意提示词，再以交叉熵衡量其在图像中的可识别性来筛选，并借助 CLIP 的时空注意力图选择部署位置。在 Habitat 和 Embodied City 模拟环境中对 10 个主流 LVLM 测试，视觉问答、任务规划和导航三类任务上的攻击成功率在 70% 到 98% 之间；在搭载摄像头的无人地面车辆上，导航任务成功率超过 80%，在距离、旋转、光照和运动模糊等条件下仍有较好表现。防御方面，严格的 OCR 掩码能最有效降低攻击成功率，但会一并屏蔽任务所需的正常文本。

Deep readingGenerating