跳转至

针对深度 OCR 系统的对抗性攻击

文章背景与核心概要

本文探讨了 Deep-OCR（DeepSeek-OCR）系统的安全漏洞。该系统利用视觉模态作为光学压缩媒介，实现了长上下文的 OCR 识别。随着此类生成式视觉语言模型在文档处理中的广泛应用，其复杂性也带来了新的安全风险。

研究团队提出了首个针对生成式 OCR 视觉语言模型的纯黑盒对抗攻击方法。该方法无需获取梯度、Logits 或模型内部参数，仅通过查询解码后的文本输出即可实施。通过将攻击建模为零阶优化问题，并结合序列相似度损失与随机方向有限差分梯度估计方案，该方法能够生成难以察觉的扰动，从而实现非定向和定向攻击。实验结果揭示了该解码器在重复、截断和提示词泄露等方面的严重脆弱性。

摘要

Deep-OCR（DeepSeek-OCR）通过将视觉模态视为光学压缩媒介，实现了低 Token 成本下的长上下文 OCR 识别，推动了文档识别技术的发展。然而，其复杂性的增加可能引入新的安全漏洞。在本文中，我们提出了据我们所知首个针对生成式 OCR 视觉语言模型的纯黑盒对抗攻击，该攻击仅需查询解码后的字符串，无需获取梯度、Logits 或模型内部信息。

Deep-OCR (DeepSeek-OCR) advances document recognition by treating the visual modality as an optical compression medium, enabling long-context OCR at low token cost. However, its increased complexity may introduce new security vulnerabilities. In this paper, we present, to the best of our knowledge, the first pure black-box adversarial attack against a generative OCR vision-language model, where only the decoded string can be queried and no gradients, logits, or model internals are available.

我们将攻击重构为一个零阶优化问题，该问题由直接定义在字符串输出上的有界标量损失（通过序列相似度计算）驱动，并使用查询成本与图像维度无关的随机方向有限差分方案来估计梯度。通过结合 Adam 更新与 \(\ell_\infty\) 投影，我们能够为非定向和定向目标生成难以察觉的扰动。针对 Deep-OCR 的初步实验验证了该纯字符串攻击及评估流程的有效性，并揭示了严重的解码器定性故障，包括重复、截断和提示词泄露。实验还表明，受控的定向重写比非定向降级要困难得多；在预注册评估完成之前，我们暂不对定向攻击的成功率下定论。

We recast the attack as a zeroth-order optimization problem driven by a bounded scalar loss defined directly on the string output via sequence similarity, and estimate the gradient with a random-direction finite-difference scheme whose query cost is independent of the image dimension. An Adam update with \(\ell_\infty\) projection yields imperceptible perturbations for both untargeted and targeted objectives. Pilot experiments on Deep-OCR validate the string-only attack and evaluation pipeline and expose severe qualitative decoder failures, including repetition, truncation, and prompt leakage. They also show that controlled targeted rewriting remains substantially harder than untargeted degradation; we avoid claiming targeted success until the pre-registered evaluation is complete.

元数据与出版详情

  • arXiv 标识符： arXiv:2608.07636 [cs.CR]
  • 学科分类： 密码学与安全 (cs.CR)；人工智能 (cs.AI)；计算机视觉与模式识别 (cs.CV)
  • 提交日期： 2026年8月7日
  • DOI： 10.48550/arXiv.2608.07636
  • arXiv Identifier: arXiv:2608.07636 [cs.CR]
  • Subject Categories: Cryptography and Security (cs.CR); Artificial Intelligence (cs.AI); Computer Vision and Pattern Recognition (cs.CV)
  • Submission Date: August 7, 2026
  • DOI: 10.48550/arXiv.2608.07636

作者

  • Wenbo Sun
  • Hongzong Li
  • Yanyun Wang
  • Jiahao Ma
  • Shuxin Zhuang
  • Rong Feng
  • Shiqin Tang
  • Zi Liang

Authors

  • Wenbo Sun
  • Hongzong Li
  • Yanyun Wang
  • Jiahao Ma
  • Shuxin Zhuang
  • Rong Feng
  • Shiqin Tang
  • Zi Liang

全文及资源链接