Hidden Ads: 視覚言語モデルにおける広告注入のための、行動トリガ型セマンティック・バックドア

要旨: ビジョン・ランゲージ・モデル（VLM）は、ユーザーが製品、食事、サービスに関するおすすめを求める消費者向けアプリケーションで、ますます幅広く導入されています。本稿では、ユーザーの推薦探索行動を悪用して不正な広告を注入する、新しいクラスのバックドア攻撃である「Hidden Ads（隠れ広告）」を提案します。ピクセルパッチや特別なトークンといった人工的なトリガーに依存する従来のパターン誘導型バックドアとは異なり、Hidden Ads は自然なユーザー行動に反応します。すなわち、ユーザーが関心のある意味内容（例：食べ物、車、動物）を含む画像をアップロードし、推薦探索に関する質問をすると、バックドア化されたモデルは正しく、有用な回答を返しつつ、攻撃者が指定したプロモーション用のスローガンを自然に末尾へ付加します。この設計によりモデルの有用性が保たれ、注入も自然な文面として生成されるため、消費者向けの推薦サービスへの実運用が現実的になります。
本稿では、Hidden Ads を系統的に評価するための多層の脅威フレームワークを提案します。そこでは、敵対者の能力レベルとして「ハードなプロンプトインジェクション」「ソフトなプロンプト最適化」「教師ありファインチューニング」の3段階を扱います。毒性データ生成パイプラインでは、教師となるVLMが生成するチェイン・オブ・ソートによる推論を用いて、複数の意味領域にわたって自然な「トリガー—スローガン」対応関係を作成します。3つのVLMアーキテクチャに対する実験により、Hidden Ads は、ほぼゼロの誤検知で高い注入有効性を達成しつつ、タスク精度を維持することが示されます。アブレーション研究により、この攻撃がデータ効率的であり、未知のデータセットへ効果的に転移し、複数の同時ドメイン—スローガンの組へとスケールすることが確認されます。防御策として、命令に基づくフィルタリングやクリーンなファインチューニングを評価したところ、いずれも有用性の大きな劣化を引き起こさずにバックドアを除去することに失敗することが分かりました。