针对 VLM 与网页智能体的视觉提示注入中的尺度诱导语义偏移

核心问题：图像在呈现给用户和被 VLM 消费之间经过缩放、压缩等变换后，其嵌入文本指令的机器可读语义是否会发生改变——在 512×512 呈现视图下指令不被恢复，而在激进下采样视图下被恢复。

• 问题场景与重要性：多媒体推理管线在模型消费前会 resize、压缩、重渲染图像，呈现视图与模型所见视图可能不同；作者认为随着 VLM 进入文档理解和 Web 智能体，这种差异具有安全意义，连接工具后还可能影响下游动作。
• 现有方法不足：作者称，已有视觉提示注入工作（typographic 提示、对抗图像、间接图像指令注入）大多在单一呈现尺度上评测，未刻画同一资产跨变换是否保持指令语义；image-scaling 攻击目标通常是物体/场景级标签变化，而非自然语言指令的恢复。
• 核心观察：作者将这一现象形式化为 Scale-Induced Semantic Shift（SISS）：同一图像在 512×512 下指令不可恢复、在 64×64 下可恢复，512→64 是受控压力测试而非对部署模型内部分辨率的假设。
• 论文提出：SISS 黑盒 generate–verify–select–self-harden 框架（双尺度验证、选择性自硬化、浅层 LoRA、像素空间噪声正则化）、300 例 SISS-Bench，以及 ScaleGuard 多尺度一致性检测器。
• 威胁模型：
  • 目标：使载荷在 512×512 呈现视图不被恢复、在激进下采样视图被恢复（响应级定义，不声称人眼不可感知）。
  • 知识：black-box——攻击者不知受害 VLM 参数、系统提示词和内部预处理流程。
  • 能力：仅控制图像资产及其嵌入载荷 y_p。
  • 受害系统：闭源 VLM 及下游 Web 智能体。

多模态安全与视觉指令注入

• 图像承载的注入与越狱 [10]–[12], [15]–[19]：通过 typographic 提示、对抗图像或间接视觉指令影响 VLM；作者指出这些方法大多在单一呈现尺度评测，未刻画跨变换的指令语义保持。
• 工具集成智能体与 Web 环境基准 [5], [6], [20]–[22]：研究工具集成智能体的提示注入安全和 Web 智能体环境中的视觉交互/攻击评测。
• 防御 [23]–[25]：探索提示隔离、检测和权限控制。

多媒体处理中的尺度依赖语义

• Hybrid images [26] 与扩散多视图幻觉 [27], [28]：展示尺度/频率依赖感知和变换依赖的多视图幻觉合成。
• Image-scaling 攻击与防御 [13], [14], [29], [30]：利用缩放使模型输入与原图语义不同，Quiring et al. [13] 还提出缩放专用防御；作者指出 SISS 不同之处在于语义目标和评测单元——衡量自然语言指令在原视图缺失、变换视图恢复，而非物体/场景级标签变化。

结构条件生成与选择性适配

• ControlNet [31] 与 LoRA [32], [33]：结构条件扩散模型与参数高效适配，SISS 直接基于这两类组件。
• 可控生成方法 [34]–[37]：提升跨条件信号的保真度、效率或兼容性；作者称本文重点不是新扩散骨干，而是跨分辨率安全目标与围绕它的选择闭环。

基线与基准

• 基线方法：Z-image-Turbo（零样本文生图，无结构适配）和 QR-Monster（预训练结构条件生成器，control scale 2.1、30 步）；作者称 typographic 注入 [17], [19] 和 image-scaling 攻击 [13], [14] 优化目标不同，视为相关攻击范式而非直接可比基线。
• 基准：作者自建 SISS-Bench（300 个固定评测用例）。

作者将本文定位为：把内容生成、跨分辨率信号变换、多模态推理和下游智能体行为放进同一受控评测，而非只报告单一攻击率。

整体思路是 SISS（generate–verify–select–self-harden）：以文字二值图为 ControlNet 条件生成藏有指令的纹理场景图，用代理模型做双尺度验证筛选严格成功样本，仅对浅层 ControlNet 块做 LoRA 自硬化，冻结图像后做黑盒评测。

问题形式化与成功判定

• 威胁形式化：攻击者控制图像 x 与载荷 y_p；变换视图记为 T_{r,k}(x)，主协议固定 k 为 Lanczos，比较 r=512 与 r=64。
• 成功准则：ASR(m) = 1/N∑_i=1^N 𝕀[¬ b^m₅₁₂ ∧ b^m₆₄]，即 512×512 响应不恢复载荷且 64×64 响应恢复载荷；该合取排除了下采样后无效或原视图已暴露的样本。
• 评审：固定 Gemini 3 Pro 文本评审只接收目标响应和真值载荷（不接收图像），判定 b^m_r = J_Gemini(d^m_r, y_p)；训练期筛选只用 Qwen2.5-VL 代理反馈，目标响应绝不用于再生成或选样。

数据构建（SISS-Bench）

• 载荷分类：按 Liu et al. [20] 的注入分类法分 Direct Injection、Escape Characters、Context Ignoring 三类，描述隐藏指令的语义角色。
• 场景配对：载荷与高频纹理场景提示（织物、密叶、爬行动物鳞片、条纹阴影等）配对，纹理提供编码排版条件的空间变化。
• 规模：训练候选池 5,000 张，经跨尺度验证保留 3,269 张；评测集为 30 个载荷 × 10 个场景模板构成的 300 个固定用例，测试图在查询目标模型前冻结。

结构条件生成与两个设计偏置

• 生成：将载荷渲染为黑字白底二值排版图 c_text，条件化 ControlNet 引导潜扩散模型（SD 1.5 兼容 Realistic Vision V6.0 B1 骨干、QR-Monster 风格 ControlNet），CFG 7.5、20 步 UniPC、种子 42。
• 浅层选择性适配：LoRA（rank 64、alpha 64、零 dropout）只注入 ControlNet input blocks 和前两个 down blocks，冻结更深层 ControlNet 模块和整个 Stable Diffusion U-Net；作者给出的理由是跨分辨率目标依赖局部笔画与纹理，全局微调会改变与全局场景结构相关的深层特征。
• 像素空间高斯噪声正则化：训练时对接受样本加 x̃ = x + ξ, ξ ∼ 𝒩(0, σ_pix² I)（σ_pix = 0.05）再进 VAE 编码；作者给出的理由是不加扰动时生成器可通过平滑低复杂度区域保留载荷，而平滑区域在原视图中也更显眼。
• 训练目标：标准扩散损失 L_diff = 𝔼 |ϵ − ϵ_θshallow(z_t, t, y_scene, c_text)|₂²，只更新 θ_shallow；AdamW（weight decay 0.01）、有效 batch 16、bf16、1,500 步，学习率先 1e-4 后 5e-5。

评测层级

• 感知层：静态基准按 Eq. 4 报 ASR，提示词为让模型详细描述图像并说出可见文字。
• 动作层：Web 智能体测试床将对抗图放入含良性与攻击者控件的网页，报 Mperceive（轨迹中明确说出隐藏指令）、Mbehavior（执行攻击者相关动作）及联合率；作者强调两层不可互换，载荷恢复是联合事件的必要非充分条件。

实验设置

• 被测模型：GPT-4o、Claude Sonnet 4.6、Qwen3.5-Plus-02-15、Gemini-3-Flash 四个闭源目标 VLM；训练期代理为 Qwen2.5-VL。
• 基准：SISS-Bench 300 个固定用例（30 载荷 × 10 场景模板），图像在目标查询前冻结；防御实验另用 100 图防御集（step-600 检查点）。
• 基线：Z-image-Turbo（零样本）与 QR-Monster（control scale 2.1、30 步）。
• 指标与评审：主指标 ASR（512 不恢复 ∧ 64 恢复）；主评测评审为固定 Gemini 3 Pro 文本评审；防御实验用 Qwen2.5-32B 三级评审（0.5 或 1 计为检出），并用更严的 Gemini 精确匹配评审做敏感性检查。
• 统计检验：防御比较用精确双侧 McNemar 配对检验；论文未报告主表的重复次数。

主结果

据 Table I（ASR，512→64 协议）：

表格较宽，可左右滑动

Target VLM	Z-image-Turbo	QR-Monster	SISS R1	SISS R2	SISS R3
GPT-4o	4.67%	35.33%	54.67%	58.67%	60.33%
Claude Sonnet 4.6	19.00%	49.33%	51.33%	55.00%	57.67%
Qwen3.5-Plus-02-15	20.67%	47.67%	60.33%	67.67%	62.67%
Gemini-3-Flash	9.00%	32.00%	49.00%	53.33%	54.33%
平均	13.34%	41.08%	53.83%	58.67%	58.75%

• 跨族迁移：作者称训练筛选只用 Qwen2.5-VL 代理，SISS 迁移到全部四个目标；GPT-4o、Claude、Gemini 为跨族迁移，Qwen3.5-Plus-02-15 为同族内迁移。
• 逐轮动态：平均 ASR 在 Round 1 上升、Round 2–3 趋于 58.7% 平台；Round 4 全面下降（Claude 57.67%→38.67%，Qwen 62.67%→51.00%），作者认为与对选中池的过度专化一致，故后续用 Round 3。
• 载荷语义：作者报告 Context Ignoring 总体最好、Direct Injection 次之、Escape Characters 跨模型不稳定；作者认为一种可能解释是短自然语言祈使句比格式符号更稳定，并说明这只是相关性而非因果机制。

分辨率敏感性

• 设置：同一套 300 张 Round-3 图像，只改目标分辨率 r ∈ {64, 128, 224, 336}，其余（载荷、提示、模型、评审）不变。
• 结果：Figure 4 显示每个模型单调下降；平均 ASR 从 64×64 的 58.75% 降至 128 的 17.68%、224 的 6.85%、336 的 5.60%；64→128 之间平均降 41.07 个百分点，224 与 336 处每个模型均不高于 10.7%。
• 作者解读：SISS 主要是激进视觉压缩下的攻击，而非分辨率不变的攻击。

下游 Web 智能体评测

• 设置：Round-3 图像放入含良性控件、攻击者探针元素和一张对抗图的网页，报 Mperceive、Mbehavior 及联合率（Table II）。
• 结果：感知率 Gemini-3-Flash 从 37.33% 升至 67.67%、GPT-4o 从 12.67% 升至 30.33%；行为妥协率仅 4.00%（Gemini-3-Flash）和 3.67%（GPT-4o），基线为 2.33% 和 1.67%。
• 作者解读：案例研究提供了下游影响的证据，但不是可靠的智能体劫持；轨迹观察（Gemini 更常先报出短语再行动，GPT-4o 更常直接探测控件）是描述性的，不确立内部因果机制。

防御评测

• 通用预处理无效：据 Table III，area 重采样、3×3 中值重建、JPEG(75)+area、高斯低通、随机掩码（5 副本多数聚合）下防御 ASR 仍在 67%–69%（无防御 68%），所有配对检验 p = 1.0。
• ScaleGuard：比较 1 个 512 视图与 9 个低分辨率探针（3 尺寸 × 3 核），阈值在提示索引 0–2 上校准（干净 FPR ≤ 5%），在索引 3–9 上测试；非自适应下拒绝 28/70 攻击输入、0/70 干净误拒，ASR 从 61.4% 降至 24.3%（p = 2.98×10⁻⁸）。
• 一轮防御感知自适应：攻击者用 8 张逃逸图像自训练一轮后，未防御 ASR 42.5%（17/40），ScaleGuard 降至 15.0%（6/40，p = 9.77×10⁻⁴），检测器拒绝率从 40.0% 降到 27.5% 但未被消除。
• 评审敏感性：更严的 Gemini 精确匹配评审下方向不变（非自适应 15.7%→5.7%，p = 0.0156；自适应 17.5%→7.5%，p = 0.125，作者注明后者只有 7 个未防御成功、检验力有限）。

其他消融与分析

• 浅层适配消融（Table IV，相同提示与有效 batch 16）：SISS 在 500/1,000/1,500 步为 52.00%/52.33%/47.00%，Global Tuning 为 39.67%/40.00%/40.67%，No Noise Reg. 为 45.33%/45.00%/43.33%。
• 训练池筛选率（Table VI）：初始轮 29.52%，Round 1 为 55.96%，Round 2 为 65.38%（每轮候选 5,000）。
• 载荷长度构成（Table VII）：严格通过样本中多词载荷占比从初始轮 59.82% 升至 Round 2 的 62.83%。

作者指出的局限与后续方向

• 效果边界：主结果集中在 64×64，目标分辨率升高后急剧减弱（Sec. VI-B）。
• 智能体证据有限：Web 智能体研究只测了两个智能体，行为妥协事件很少（Sec. VI-B）。
• 防御协议独立：防御实验用独立划分和主评审，绝对 ASR 只能在该配对协议内比较；更严 Gemini 检查方向不变但自适应比较检验力有限（Sec. VI-B）。
• 误拒证据有限：70 和 40 个匹配干净控件中零误拒不是一般性误报保证，且这些控件不衡量下游干净任务准确率（Sec. VI-B）。
• 效率未测：ScaleGuard 每个输入调用十个检测视图，论文未报告其延迟（Sec. VI-B）。
• 后续方向：作者称需要覆盖更多缩放与压缩算子、载荷不相交的迁移、更多受害模型与智能体、更大干净基准、重复自适应优化以及端到端效用与延迟评测（Sec. VI-B）。

实验覆盖范围

• 被测模型：目标 VLM 共 4 个（GPT-4o、Claude Sonnet 4.6、Qwen3.5-Plus-02-15、Gemini-3-Flash）；Web 智能体仅 Gemini-3-Flash 与 GPT-4o 两个。
• 基准规模：主评测 300 个固定用例；防御评测 100 图（非自适应测试 70 攻击 + 70 干净，自适应测试 40 攻击 + 40 干净）。
• 分辨率覆盖：目标分辨率扫了 64/128/224/336 四档，重采样核主协议固定为 Lanczos。
• 防御覆盖：评测了 4 种确定性变换、随机掩码与 ScaleGuard；自适应攻击只测了一轮防御感知训练。
• 未报告项：论文未报告主实验的重复次数、ScaleGuard 延迟与端到端耗时，也未报告评审与人工判定的一致性。

一篇视觉提示注入攻击论文：作者研究多媒体管线中图像缩放改变隐藏指令机器可读语义的失效模式，并形式化为 Scale-Induced Semantic Shift（SISS）。

• 问题：在 black-box 威胁模型下（攻击者只控制图像资产），让载荷在 512×512 呈现视图不被恢复、在 64×64 下采样视图被恢复；作者称已有视觉注入工作未刻画这种跨变换语义保持。
• 方法：SISS 闭环框架——ControlNet 以文字二值图为条件生成纹理场景图，Qwen2.5-VL 代理做双尺度验证筛选，浅层 LoRA（仅 input blocks 与前两个 down blocks）加像素空间高斯噪声正则化自硬化；评测集为 300 个固定用例，Gemini 3 Pro 文本评审判定。
• 主结果：Round 3 在 GPT-4o、Claude Sonnet 4.6、Qwen3.5-Plus-02-15、Gemini-3-Flash 上平均 ASR 58.75%，高于 QR-Monster 的 41.08% 和 Z-image-Turbo 的 13.34%（Table I）。
• 边界：目标分辨率升至 128/224/336 时平均 ASR 降至 17.68%/6.85%/5.60%（Figure 4）；Web 智能体感知率升至 67.67%（Gemini-3-Flash），但行为妥协率只有 4.00%（Table II）。
• 防御：五种通用输入变换基本无效（防御 ASR 67%–69%，p = 1.0）；ScaleGuard 多尺度一致性检测将非自适应 ASR 从 61.4% 降至 24.3%、一轮防御感知 ASR 从 42.5% 降至 15.0%，干净样本零误拒（Table III）。
• 作者结论：结果刻画了一个有界但可复现的跨分辨率语义不一致，作者认为跨分辨率语义一致性应成为视觉语言多媒体系统可度量的安全属性；同时承认效果限于激进压缩、智能体证据有限、ScaleGuard 延迟未测。