La sicurezza del grounding visivo nei modelli visione-linguaggio

Abstract degli autori

I modelli visione-linguaggio (VLM) vengono sempre più spesso addestrati a generare output strutturati, come punti e riquadri di delimitazione, su cui possono agire interfacce, agenti e robot a valle. L’allineamento alla sicurezza di questo canale di output, però, non è stato analizzato sistematicamente. Studiamo la sicurezza del grounding visivo riadattando tre benchmark di sicurezza relativi al danno diretto (VLSU), ai pregiudizi sociali (BBQ-V) e alla sicurezza situazionale (Asimov-2.0) per ottenere 15.401 coppie abbinate di richieste dannose che differiscono solo per l’output richiesto: una risposta in testo libero (VQA) oppure un grounding (un punto o un riquadro di delimitazione). Su cinque VLM, i modelli che rifiutano una richiesta dannosa formulata come domanda spesso la soddisfano quando la stessa richiesta chiede un grounding: in media tra i modelli, il tasso di rifiuto delle richieste di grounding è inferiore a quello delle richieste VQA di 31-59 punti percentuali, a seconda dell’ambito, e i prompt di sistema orientati alla sicurezza non colmano questo divario. Proponiamo un approccio di fine-tuning che combina rifiuti formulati come grounding con dati di grounding relativi alle capacità e dati benigni ottenuti mediante autodistillazione per contrastare i rifiuti eccessivi. Per Qwen3-VL-8B e VisionReasoner-7B, l’approccio aumenta il tasso di rifiuto delle richieste di grounding di 77-95 punti percentuali su VLSU e BBQ-V e di 64-85 punti nel dominio Asimov-2.0, tenuto fuori dall’addestramento. Migliora inoltre il rifiuto delle richieste VQA, preserva la capacità di grounding e mantiene limitati i rifiuti eccessivi. L’analisi delle rappresentazioni mostra che il fine-tuning sposta le richieste dannose verso la direzione di rifiuto di ciascun modello, soprattutto nel caso del grounding, lasciando invece le richieste benigne vicine al riferimento innocuo.