Modelos que trabalham simultaneamente com imagens e texto aprenderam de forma impressionante: reconhecem objetos, respondem a perguntas sobre imagens e transferem conhecimento para novas tarefas. No entanto, por trás desse sucesso, muitas vezes se esconde uma fraqueza não óbvia: o modelo memoriza não as propriedades reais do objeto, mas detalhes associados que servem como "atalhos". O ajuste adversário de prompts é uma das formas de tornar os modelos mais robustos, mas também tem uma armadilha. Vamos analisar por que o modelo aprende o que não deve e como uma nova abordagem propõe separar características úteis das enganosas.
Por que o modelo aprende o que não deve
Quando um modelo visual-linguístico é ajustado com dados ruidosos ou exemplos adversários, parece lógico esperar que a robustez cresça de forma uniforme. Na prática, acontece o contrário: em classes já vistas, o modelo apresenta ótimos resultados, mas em classes novas, não vistas, quando surgem ataques adversários, a qualidade despenca rapidamente. Esse fenômeno é chamado de superajuste do generalização robusta.
A causa é que o modelo começa a se apoiar em características pseudo-robustas — conjuntos de padrões aleatórios que sobrevivem ao ataque, mas não refletem a essência do objeto. Por exemplo, o modelo pode memorizar a textura do fundo, sombras características ou ruído específico presente nos exemplos de treinamento. Essas características passam pela verificação de perturbações adversárias, mas não funcionam em dados novos. O modelo superajusta não o conteúdo, mas as pistas de atalho — e quanto mais longo o treinamento, maior a degradação em classes não vistas.
Como separar características: a ideia do ADAPT
Os autores da proposta partem de uma filosofia incomum: em vez de ensinar o modelo apenas as características necessárias, é preciso também ensiná-lo explicitamente o que não se deve aprender. Foi assim que surgiu o método ADAPT (Adversarial Disentangled Prompt Tuning).
A ideia-chave é usar dois tipos de prompts simultaneamente:
- Prompt alvo — responsável por fazer o modelo destacar características robustas e generalizáveis.
- Prompts-isca — um pool especial de prompts adicionais que deliberadamente "absorvem" os padrões pseudo-robustos.
Durante o treinamento, os prompts-isca competem entre si: cada um tenta capturar um tipo específico de atalhos aleatórios. E o prompt alvo é forçado a ser ortogonal às iscas no espaço de embeddings. Assim, as características robustas são separadas das enganosas: o que as iscas já "aprenderam", o prompt alvo não pode usar.
Mecânica dos prompts duplos
Na prática, isso se parece com uma divisão de trabalho. Os prompts-isca não são necessários para a previsão final — sua função é ser uma "lixeira" para distorções herdadas. O prompt alvo, por sua vez, é treinado sob uma restrição: seu vetor não deve coincidir com a direção das iscas. A ortogonalidade no espaço de embeddings significa que as características usadas pelas iscas não influenciam a decisão do prompt alvo. Como resultado, o modelo é forçado a buscar padrões mais profundos e causais.
Por que a separação funciona
A ortogonalidade não é apenas um recurso técnico, mas uma forma de dar uma garantia teórica. A análise do método mostra: uma função de perda especial limita a influência dos deslocamentos das características pseudo-robustas nas previsões para classes não vistas.
Em resumo: mesmo que as iscas coletem muita informação extra, essa informação não pode "vazar" para o prompt alvo. Consequentemente, os deslocamentos na distribuição dos dados, que ocorrem na transição de classes vistas para não vistas, afetam menos o erro do modelo. Essa abordagem proporciona um comportamento mais previsível em exemplos adversários e não sacrifica a robustez de algumas classes em detrimento de outras.
O que os experimentos mostraram
Testes práticos confirmam: o ADAPT melhora significativamente a robustez do prompt alvo em classes não vistas em comparação com métodos existentes de ajuste adversário. O modelo não apenas memoriza a proteção contra ataques específicos, mas forma características mais limpas que funcionam em material novo.
Claro, eliminar completamente os padrões falsos ainda não é possível — a tarefa de separar causalidade e correlação continua sendo uma das mais difíceis no aprendizado de máquina. Mas a abordagem "ensinar o que não se deve aprender" oferece uma orientação prática: às vezes, a melhor forma de ensinar um modelo é mostrar a ele o que ignorar.
A principal conclusão para profissionais: ao ajustar modelos visual-linguísticos, é importante observar não apenas o aumento da precisão nos dados de treinamento, mas também em quais características o modelo se apoia. Se adicionarmos "armadilhas" para padrões aleatórios ao processo de treinamento — por exemplo, por meio de prompts duplos com ortogonalidade — podemos obter não apenas um modelo mais confiável, mas também mais honesto.
