如果把手機(jī)屏幕想象成一個(gè)舞臺(tái)，GUI 智能體就是臺(tái)下那個(gè) “被授權(quán)動(dòng)手” 的人：它能看懂屏幕上的按鈕、輸入框和彈窗，能按你的指令去點(diǎn)、去滑、去輸入。

問(wèn)題在于，這個(gè) “動(dòng)手的人” 并不總是聽你的，它也會(huì)聽屏幕上的 “旁白”。當(dāng)旁白以彈窗的形式出現(xiàn)，并且寫著 “點(diǎn)確認(rèn)即可完成任務(wù)”“點(diǎn)擊這里是正確答案” 時(shí)，智能體會(huì)在一瞬間被牽走注意力，手指落在攻擊者希望的位置。

往期工作中已經(jīng)把這種現(xiàn)象描述得足夠形象：環(huán)境里伸出一只 “鬼手”，劫持了你的任務(wù)流程，讓智能體把干擾當(dāng)作任務(wù)的一部分去執(zhí)行

• 往期鏈接：https://mp.weixin.qq.com/s/W4J9u4qgzuXogxOLspVIHg
• 論文題目：Caution for the Environment: Multimodal Agents are Susceptible to Environmental Distractions
• 論文地址：https://arxiv.org/pdf/2507.10610
• 代碼倉(cāng)庫(kù)：https://github.com/YANGTUOMAO/LaSM

本文關(guān)注的就是這只 “鬼手” 最常見也最危險(xiǎn)的形態(tài)：彈窗式環(huán)境注入攻擊。如圖 1 所示，與傳統(tǒng)提示詞注入不同，這類攻擊不需要篡改輸入文本，它只要把一個(gè)可渲染的視覺元素貼到屏幕上，甚至讓彈窗內(nèi)容與用戶指令在語(yǔ)義上 “看起來(lái)很一致”，就可以誘導(dǎo)模型將其當(dāng)作有效目標(biāo)，從而導(dǎo)致隱私泄露或系統(tǒng)誤操作。

已有研究將這種威脅系統(tǒng)化為環(huán)境干擾范式，并給出了彈窗、搜索、推薦、聊天等多種場(chǎng)景的評(píng)測(cè)框架，清楚地顯示多模態(tài)智能體會(huì)在 “環(huán)境噪聲” 里發(fā)生目標(biāo)漂移，進(jìn)而輸出被干擾的動(dòng)作序列。

圖 1 一個(gè)彈窗示例

面對(duì)彈窗，現(xiàn)有防御大體有兩條路。

第一條路是重訓(xùn)練，包括偏好優(yōu)化與強(qiáng)化式對(duì)齊，通過(guò)讓模型在訓(xùn)練時(shí)見過(guò)更多 “被彈窗騙過(guò)” 的負(fù)例來(lái)提升抗性。它有效，但代價(jià)高，部署門檻也高。

第二條路是提示詞級(jí)別的安全提醒，也就是在輸入里加一句 “請(qǐng)忽略屏幕彈窗”，或讓模型用思維鏈把風(fēng)險(xiǎn)過(guò)一遍。它輕量，但在攻擊彈窗內(nèi)容與任務(wù)語(yǔ)義高度一致的情形下會(huì)失效，因?yàn)槟Ｐ捅黄仍?“看起來(lái)很相關(guān)” 的彈窗語(yǔ)句與原始任務(wù)之間做選擇，結(jié)果往往是彈窗贏。

本文選擇了一條更 “像工程但其實(shí)更像機(jī)制” 的路：不改模型結(jié)構(gòu)、不加額外推理步驟、不重新訓(xùn)練，只在推理前對(duì)少數(shù)層的權(quán)重做一次性的放縮，使模型在決策關(guān)鍵階段把注意力重新對(duì)齊到任務(wù)相關(guān)區(qū)域

這個(gè)方法被稱為LaSM，即 Layer-wise Scaling Mechanism。它看起來(lái)很簡(jiǎn)單，核心動(dòng)作只有一個(gè)：把某些層的 Attention 與 MLP 權(quán)重同時(shí)乘上一個(gè)系數(shù) α，使這些層的表征在前向傳播中被 “適度放大”。但它之所以有效，是因?yàn)楸疚南然卮鹆艘粋€(gè)更底層的問(wèn)題：彈窗出現(xiàn)時(shí)，模型的注意力是在哪些層開始 “走神” 的。

為了把 “走神” 變成可量化的證據(jù)，本文借鑒訓(xùn)練無(wú)關(guān)的可視化方法，生成各層的相對(duì)注意力熱力圖。一個(gè)直觀現(xiàn)象是同一張屏幕在不同層會(huì)被看成完全不同的東西：淺層更像在掃視布局，中層開始建立語(yǔ)義對(duì)應(yīng)，深層逐漸把視線收斂到會(huì)影響最終動(dòng)作的那幾個(gè)候選按鈕。

本文將兩個(gè)代表性區(qū)域固定下來(lái)，一個(gè)是關(guān)閉彈窗的

，另一個(gè)是彈窗里誘導(dǎo)點(diǎn)擊的

。在每一層，本文從目標(biāo)像素附近截取一個(gè)局部 patch，把這個(gè) patch 的注意力值展平成向量，然后用余弦相似度來(lái)比較不同樣本對(duì)同一區(qū)域的關(guān)注是否一致。形式化地說(shuō)，局部向量為:

而兩次注意力模式的相似度為:

關(guān)鍵不是相似度本身，而是 “正確輸出” 和 “錯(cuò)誤輸出” 在層間的分化軌跡。本文構(gòu)造了兩類樣本集：一種是模型能正確選擇

的集合，另一種是模型會(huì)被誘導(dǎo)去點(diǎn)

或其他無(wú)關(guān)元素的集合。

圖 2 的結(jié)果顯示，在淺層階段，正確與錯(cuò)誤樣本的注意力模式幾乎沒有差別，它們都像是在 “看熱鬧”。差異從更深的語(yǔ)義層開始出現(xiàn)，并且在一段中層區(qū)間內(nèi)變得最明顯。換句話說(shuō)，模型不是一上來(lái)就被彈窗騙了，而是在走到 “需要把視覺細(xì)節(jié)與任務(wù)意圖綁定” 的那幾層時(shí)，注意力逐漸被彈窗的誘導(dǎo)元素拽偏了。這就是本文提出 “安全關(guān)鍵層” 的經(jīng)驗(yàn)依據(jù)。

圖 2 各層關(guān)鍵區(qū)域注意力余弦線相似度

有了關(guān)鍵層，下一步就是干預(yù)。本文先嘗試了一個(gè)看似合理但實(shí)際會(huì)翻車的方案：直接把深層中差異最大的那幾層統(tǒng)一放大。實(shí)驗(yàn)發(fā)現(xiàn)，這種 “粗暴放大” 不僅沒有提升防御，反而會(huì)破壞模型原本的層級(jí)平衡，使得模型在高層語(yǔ)義聚合階段出現(xiàn)不穩(wěn)定。

于是本文設(shè)計(jì)了更穩(wěn)妥的 layer range narrowing 過(guò)程：先從全層放縮開始，觀察正確率隨層邊界變化的走勢(shì)，逐步收縮出一個(gè)能提升正確輸出比例的層區(qū)間。它的本質(zhì)是一種訓(xùn)練無(wú)關(guān)的結(jié)構(gòu)搜索，目標(biāo)是把放縮施加在 “既能改變決策，又不破壞全局語(yǔ)義” 的那段中層語(yǔ)義區(qū)間。如圖這兩種定位策略導(dǎo)致了顯著防御效果的差異。

圖 3 逐層放縮策略

效果是否真有這么 “補(bǔ)丁級(jí)別” 的好用，實(shí)驗(yàn)數(shù)據(jù)給出了非常清楚的回答。本文在 12 種彈窗變體上構(gòu)建了 2,400 張受擾截圖，這些變體同時(shí)覆蓋彈窗大小、文字語(yǔ)義相關(guān)性以及字體顯著性。評(píng)價(jià)指標(biāo)使用 DSR，即模型是否選擇關(guān)閉彈窗作為防御成功。

表 1 給出了兩種主干模型在多種防御基線下的對(duì)比，最直觀的結(jié)論是 LaSM 幾乎對(duì)所有基線都能帶來(lái)顯著提升。作為一種后處理（post-hoc）的插件組件，LaSM 不需要重新訓(xùn)練或修改模型架構(gòu)，和基線方法可以無(wú)縫銜接。以 Qwen2-VL-7B 為例，無(wú)防御（No defense， ND）的基座模型在 overlay 與 inductive 兩類攻擊下的平均 DSR 分別只有 18.9% 與 14.8%，和 LaSM 結(jié)合使用后分別提升到 66.4% 與 68.3%。當(dāng)把 LaSM 與思維鏈安全提示詞組合時(shí)，在相同數(shù)據(jù)集上 DSR 可以接近 100%。在 LLaVA-v1.6-Vicuna-13B 上，LaSM 同樣表現(xiàn)穩(wěn)定，在多個(gè)設(shè)置下達(dá)到接近或達(dá)到滿分。

表 1 論文實(shí)驗(yàn)結(jié)果

本文并沒有止步于 “DSR 數(shù)值變高” 這一層，而是繼續(xù)追問(wèn)：模型到底是怎么被拉回來(lái)的。一個(gè)關(guān)鍵證據(jù)來(lái)自注意力響應(yīng)曲線。本文定義了 AttnMean (l)，即第 l 層熱力圖上目標(biāo)區(qū)域的平均注意力強(qiáng)度，

如圖 4 所示，當(dāng)對(duì) “正確層區(qū)間” 進(jìn)行放縮時(shí)，中層語(yǔ)義階段的注意力會(huì)明顯抬升，并且在深層的最終決策熱力圖中，模型的關(guān)注點(diǎn)更集中地落在

附近。相反，如果對(duì) “錯(cuò)誤層區(qū)間” 放縮，注意力會(huì)出現(xiàn)擴(kuò)散，甚至發(fā)生明顯的 “注意力漂移”。這個(gè)現(xiàn)象解釋了為什么 LaSM 必須 “選對(duì)層”，也解釋了為什么它不是一個(gè)把所有層都變大就能解決的問(wèn)題。

圖 4 平均注意力分?jǐn)?shù)對(duì)比

LaSM 還有兩個(gè)容易被忽略但對(duì)落地很關(guān)鍵的結(jié)論。

第一個(gè)結(jié)論是組件必須聯(lián)合放縮。本文做了消融實(shí)驗(yàn)，結(jié)果顯示：只放縮注意力權(quán)重，準(zhǔn)確率甚至比無(wú)防御更低，只放縮 MLP 也同樣崩壞，只有 Attention 與 MLP 同時(shí)放縮，防御才會(huì)上來(lái)。表 2 消融實(shí)驗(yàn)的結(jié)果顯示，在同一設(shè)置下，聯(lián)合放縮得到 84.80% 的 DSR，而僅放縮注意力與僅放縮 MLP 分別只有 0.95% 與 0.47%。這說(shuō)明彈窗攻擊并不是單純 “注意力被吸走” 這么簡(jiǎn)單，非線性表征的門控與放大同樣在決定最終動(dòng)作。

第二個(gè)結(jié)論是 α 不是越大越好。本文在 [0.9,1.3] 區(qū)間按步長(zhǎng)掃描，發(fā)現(xiàn)有效范圍通常貼近 1，并且不同模型的最優(yōu)點(diǎn)并不一致。以 Qwen2-VL-7B 為例，α=1.10 時(shí) DSR 達(dá)到峰值 94.79%，但當(dāng) α 偏離到 1.30 甚至更大時(shí)，性能會(huì)快速下滑，輸出也會(huì)出現(xiàn)語(yǔ)義扭曲。附錄里甚至展示了極端 α 下模型輸出變得 “語(yǔ)無(wú)倫次” 或 “過(guò)度保守反復(fù)點(diǎn)擊關(guān)閉” 的失敗模式，這些例子讓 “系數(shù)敏感性” 變得非常直觀。

表 2 消融實(shí)驗(yàn)

更重要的是，本文沒有把視角限制在單步的 “點(diǎn)哪個(gè)按鈕” 上。因?yàn)樵谡鎸?shí)手機(jī)任務(wù)里，彈窗不是孤立出現(xiàn)的，它往往插在一個(gè)長(zhǎng)流程的中間。為此，本文基于 AndroidControl 構(gòu)建了一個(gè)更接近真實(shí)部署的評(píng)測(cè)集。它先篩出模型本來(lái)就能完整跑通的 224 個(gè) episode，然后在每個(gè) episode 的隨機(jī)一步插入合成彈窗，再追加一張干凈截圖來(lái)模擬 “關(guān)掉彈窗繼續(xù)任務(wù)” 的合理行為。最終數(shù)據(jù)集包含 911 張圖像，覆蓋正常與攻擊兩種狀態(tài)。

結(jié)果表明，LaSM 在幾乎不犧牲正常能力的情況下，顯著提升了完整任務(wù)成功率。表 3 顯示，在 OS-Atlas-7B-Pro 上，LaSM 的 Type 準(zhǔn)確率為 94.4%，與無(wú)防御的 97.26% 相比僅有輕微下降；Grounding 準(zhǔn)確率為 76.05%，與無(wú)防御的 75.24% 基本持平；而最關(guān)鍵的 TSR 從 18.75% 提升到 30.36%，相對(duì)提升 61.92%。這組數(shù)據(jù)回答了一個(gè)部署方最關(guān)心的問(wèn)題：防御補(bǔ)丁是否會(huì)讓正常任務(wù)變鈍。本文給出的答案是影響很小，但換來(lái)的魯棒性提升很實(shí)在。

表 3 真實(shí)手機(jī)任務(wù)防御效果和影響

附錄里還有兩個(gè) “異常發(fā)現(xiàn)”。第一類失敗是極簡(jiǎn)界面上的主導(dǎo)彈窗。當(dāng)屏幕幾乎沒有其他信息時(shí)，彈窗會(huì)成為視覺上唯一的錨點(diǎn)，模型更容易把它當(dāng)作任務(wù)核心去執(zhí)行。第二類失敗是輸入文字時(shí)對(duì)彈窗視而不見。模型一旦進(jìn)入 TYPE 模式，鍵盤布局會(huì)形成一種強(qiáng)特征，使得它傾向于沿著既定輸入路徑繼續(xù)完成輸入，而忽略了新出現(xiàn)的彈窗。本文推測(cè)這是某種 “模式捷徑”，與近期關(guān)于 GUI 智能體記憶化與捷徑化的分析相吻合。作者想通過(guò)這些失敗模式的展示，進(jìn)一步把防御方法從 “實(shí)驗(yàn)室平均指標(biāo)” 推向 “真實(shí)世界魯棒性”，告訴其他研究者哪里仍然需要額外的策略協(xié)同。

圖 5 防御失敗案例展示

如果要用一句話概括本文的貢獻(xiàn)，那么它并不是又提出一個(gè) “更強(qiáng)的提醒提示詞”，也不是再收集一批數(shù)據(jù)去重訓(xùn)練，而是從注意力漂移的層間規(guī)律出發(fā)，找到一段安全關(guān)鍵層區(qū)間，并用一個(gè)訓(xùn)練無(wú)關(guān)的權(quán)重放縮補(bǔ)丁，把 GUI 智能體的注意力從彈窗的 “鬼手” 里抽回來(lái)。彈窗仍然會(huì)出現(xiàn)，誘導(dǎo)文本仍然會(huì)寫得像任務(wù)的一部分，但當(dāng)關(guān)鍵層的表征不再被輕易拽偏時(shí)，智能體至少不必把 “看見” 誤當(dāng)成 “該做”。這或許是讓多模態(tài)智能體真正走向可部署的重要一步。

本文第一作者閆子赫，為上海交通大學(xué)網(wǎng)絡(luò)空間安全專業(yè)二年級(jí)博士研究生，主要研究方向?yàn)槎嗄B(tài)智能體安全與多模態(tài)智能體可解釋性，導(dǎo)師是張倬勝助理教授。