针对大型视觉语言模型的物理提示注入攻击
Physical Prompt Injection Attacks on Large Vision-Language Models
论文速读
据论文全文整理（AI 生成），以原文为准
研究者提出 PPIA，一种黑盒、与用户查询无关的物理提示注入攻击，通过在物理物体上嵌入印刷文本指令来操纵大型视觉语言模型（LVLM）。
- 大型视觉语言模型（LVLM）被越来越多地部署在开放物理环境中做感知与推理，但已有 prompt injection 攻击要么需要接触输入通道，要么需要知道用户 query，这在真实部署中很难满足。作者想验证：攻击者能否仅靠在物理环境中放置打印文字，就在黑盒、不知 query 的情况下劫持 LVLM 的行为。
- 提出 PPIA，一种物理 prompt injection 攻击：先用 LLM 批量生成包含目标模型身份触发词和明确攻击目标的候选恶意 prompt，再通过虚拟投放并用交叉熵评估其可识别性来选出最优 prompt；随后借助 CLIP 的时空注意力图寻找高分区域，确定容器的物理投放位置。攻击只需把文字印在纸袋、海报等常见容器上放入环境，不接触模型、输入或推理流程。
- 在 Embodied City 和 Habitat 两个模拟器中，用 10 个主流 LVLM 测试视觉问答、任务规划和导航，多数情况下 ASR 超过 70%，最高达 98%；与 Typographic、SceneTAP、SGTA 基线相比，跨 prompt 迁移性更强。在真实无人地面车辆上部署，ASR 超过 80%，在光照、容器类型、模糊、距离和视角变化下仍有较好鲁棒性；低交叉熵的 prompt 和高注意力位置确实对应更高 ASR。英文 prompt 的 ASR 明显高于中、法、西等语言。
- 作者指出物理效果可能受车载摄像头分辨率影响，低分辨率会削弱文字可见性；物理实验环境相对受控，未必能覆盖更动态的真实场景。未来计划做分辨率自适应设计，并在更多样、不受约束的环境中评估。作者还观察到严格 OCR 掩蔽能有效防御但会丢弃任务关键信息，宽松防御保留可用性却仍可被绕过。
研究者提出 PPIA，一种黑盒、与用户查询无关的物理提示注入攻击，通过在物理物体上嵌入印刷文本指令来操纵大型视觉语言模型（LVLM）。作者称这是首个物理提示注入攻击，攻击者无需接触模型、输入通道或用户查询，仅通过视觉观察即可实施。方法先用 LLM 生成候选恶意提示词，再以交叉熵衡量其在图像中的可识别性来筛选，并借助 CLIP 的时空注意力图选择部署位置。在 Habitat 和 Embodied City 模拟环境中对 10 个主流 LVLM 测试，视觉问答、任务规划和导航三类任务上的攻击成功率在 70% 到 98% 之间；在搭载摄像头的无人地面车辆上，导航任务成功率超过 80%，在距离、旋转、光照和运动模糊等条件下仍有较好表现。防御方面，严格的 OCR 掩码能最有效降低攻击成功率，但会一并屏蔽任务所需的正常文本。
推荐理由论文在 10 个 LVLM 上验证了物理世界视觉提示注入，部署多模态感知系统的团队可据此评估环境文本带来的风险。