Un gruppo di ricerca ha messo a nudo una vulnerabilità tanto sottile quanto devastante nei modelli linguistici multimodali (MLLM). Non serve più solo un prompt testuale ingannevole o un’immagine manipolata nel contenuto: anche lo stile visivo di un’immagine può funzionare come una chiave per scardinare i meccanismi di allineamento progettati per tenere a freno i modelli.

L’intuizione, descritta in un paper accompagnato dal rilascio del codice open source, ribalta l’attenzione dal cosa viene mostrato al come viene mostrato. I ricercatori hanno osservato una «incongruenza stilistica»: i MLLM sono sorprendentemente robusti nel comprendere il significato di un’immagine indipendentemente dal suo apparato grafico, ma la loro capacità di rifiutare richieste dannose si sgretola quando lo stesso contenuto visivo presenta trigger stilistici specifici. In pratica, le difese si accorgono dell’elefante nella stanza solo se dipinto in modo convenzionale; se ridisegnato con una certa texture o palette, diventano cieche.

Per sfruttare questo varco, gli autori hanno sviluppato ASO (Adversarial Style Optimization), un modulo plug-and-play che amplifica gli attacchi visivi esistenti. ASO esegue il fine-tuning di un modello di image-editing per sovrapporre una modifica stilistica ottimizzata su un’immagine avversaria di partenza, usando un agente GRPO (Group Relative Policy Optimization) guidato da una funzione di ricompensa a livelli. Il sistema combina un segnale basato sui logit per rilevare i rifiuti espliciti da parte del modello e una valutazione semantica ad alta fedeltà affidata a un modello giudice potente. Il risultato è un incremento significativo dell’Attack Success Rate dei migliori attacchi state-of-the-art, confermando che i bias stilistici rappresentano un vettore scalabile e inquietante per il red-teaming dei sistemi multimodali.

Per chi gestisce deployment on-premise di modelli linguistici, questa scoperta ha implicazioni che vanno oltre il laboratorio. Chi archivia e processa dati sensibili internamente lo fa spesso per mantenere la sovranità dei dati e la conformità normativa, ma confida implicitamente che le barriere di sicurezza integrate – l’allineamento, i filtri – funzionino in ogni condizione. Il paper dimostra che quelle barriere possono essere aggirate con una trasformazione stilistica che non richiede competenze di nicchia: bastano strumenti di editing grafico e una pipeline di ottimizzazione automatica.

La questione si fa strutturale: le tecniche di allineamento attuali sono state addestrate su distribuzioni di immagini che presumibilmente riflettono il mondo reale, ma un attaccante può deliberatamente spingersi fuori da quella distribuzione. Nei contesti on-premise, dove il modello gira su hardware sotto il controllo dell’organizzazione, la responsabilità di testare queste vulnerabilità ricade interamente sull’impresa. Non ci si può limitare a fidarsi dei report di sicurezza del vendor; occorre un red-teaming continuo che includa perturbazioni stilistiche e copra l’intero ciclo di vita del modello.

Il fatto che il codice sia pubblico cambia gli equilibri. Da un lato, i team di sicurezza hanno ora a disposizione uno strumento in più per valutare la robustezza dei propri modelli in scenari critici. Dall’altro, alza l’asticella per gli sviluppatori di MLLM, che dovranno integrare meccanismi di difesa capaci di riconoscere non solo l’intento malevolo del contenuto, ma anche la forma con cui viene presentato. Su AI-RADAR, dove analizziamo regolarmente i trade-off del deployment locale, restano aperti interrogativi su come conciliare l’overhead computazionale di difese aggiuntive con le risorse tipiche di un ambiente on-premise, e se servano acceleratori hardware dedicati anche solo per le fasi di validazione continua della sicurezza.