Ændring af skrifttypefarver kan kapre AI‑resonering

En ny undersøgelse viser, at almindelig formatering stille og roligt kan styre AI‑resonering, så den overser ord, misfortolker betydning og når andre konklusioner – uden at selve teksten ændres.

Mens menneskers kulturelle kodning af farver kan variere rundt om i verden, dominerer de vestlige forestillinger – f.eks. rød for ‘fare’, grøn for ‘ok’ – også i asiatiske Vision Language Models (VLMs) af forskellige strategiske og/eller tilfældige årsager.

Vi er ikke anderledes; at farve ‘dårlige’ ting i positive farver og ‘gode’ ting i negative farver får mennesker til at reagere anderledes på dem. Det samme gælder for at ændre lysstyrken og kontrasten.

Et nyt forskningssamarbejde har undersøgt, i hvilket omfang dette også gælder for AI‑modeller, og har afdækket foreløbige tegn på, at VLMs kan påvirkes ved at manipulere tekstens farve samt ændre relativ kontrast og lysstyrke.

‘Vores eksperimenter giver en systematisk analyse af, hvordan lavniveau visuel formatering af tekst forvrænger de semantiske repræsentationer i en VLM’s vision‑encoder. Derudover undersøger vi, hvordan disse latente rum‑skift manifesterer sig som adfærdsmæssige ændringer i end‑to‑end VLMs på både subjektive (sentimentanalyse) og objektive (spørgsmål‑svar) opgaver.’

‘Disse resultater viser, at visuel formatering afslører en kritisk, hidtil uudforsket sårbarhed i VLMs, og vi diskuterer dens implikationer for robustheden og sikkerheden i VLM‑pipelines.’

Fra det nye arbejdes projektside, en illustration af hvordan tekstfarve alene kan ændre en AI’s interne fortolkning af et ord. Eksemplet viser ordet ‘bad’ gengivet i forskellige farver, hvor grøn forskyder den semantiske repræsentation mod en mere positiv fortolkning, på trods af at teksten selv forbliver uændret. Kilde

Farv mig overrasket

I øjeblikket er de milliarder af virksomheder og enkeltpersoner, hvis vitale søgetrafik er blevet brutalt reduceret af fremkomsten af AI‑sammendrag i søgeresultater, samt overgangen til LLM som søge‑orakel, meget tiltrukket af sådanne angrebsoverflader.

Fordi Reditts konstante summen af menneskelig diskussion er afgørende for at holde AI’s viden opdateret, er den sociale medieplatform blevet et primært mål for virksomheder og enkeltpersoner, der ønsker at blive inkluderet i LLM‑viden; guider er allerede dukket op om ‘gaming’ Reddit som en proxy‑metode til at påvirke LLMs.

På samme måde findes den gamle trick med at inkludere tekst, som kun maskiner ser, så man kan sende skjulte, selvbetjente instruktioner til en LLM, for at vinde en akademisk turnering eller påvirke eksamensresultater.

For nylig begyndte Time Magazine at placere annoncer i en ‘hemmelig’ version af sit site, som kun er synlig for AI‑web‑crawlere der konstant gennemsøger sider for nye data, hvilket potentielt gør det muligt for annoncører at købe sig til større synlighed (eller en mere positiv vinkel) i AI‑svar.

Derfor er enhver ny LLM/VLM‑svaghed, såsom farvekodede svar, der kan ‘skiftes’ for at manipulere resultater, et indlysende mål for en verden, der desperat forsøger at genvinde kontrollen over medie‑narrativet fra frontier‑AI.

For eksempel kan en virksomhed, der ønsker at bygge en forurenende fabrik, som sandsynligvis vil forringe den lokale vandkvalitet, tilføje farvekodning til sit spin‑lexikon i markedsføringsmaterialer eller pressemeddelelser som en ekstra afledning af nyheder, som de fleste ville betragte som ‘negative’.

Strategisk brug af CSS og/eller SEO‑teknikker kan endda skjule farvemanipulationerne for almindelige læsere ved at levere AI‑kun stilark, der pålægger farvefremhævninger i teksten, som er skjult for mennesker, som kun ser sort tekst.

‘Disse følsomheder indebærer en pålideligheds‑ og sikkerhedsrisiko for VLM‑pipelines, der indlæser dokumenter eller UI‑skærmbilleder: godartet eller ondsindet formatering kan styre modelbeslutninger uden at ændre den underliggende tekst.’

‘Praktiske sikkerhedsforanstaltninger omfatter normalisering af gengivet tekst før inferens, krydstjek af billedbaserede svar med OCR‑ekstraheret tekst, samt tilføjelse af stil‑invarians‑kontroller til evalueringspakker.’

Det nye arbejde har titlen Seeing Red, Thinking Bad: Color Bias in Vision Language Models, og kommer fra fem forskere fra Japans National Institute of Advanced Industrial Science and Technology (AIST), University of Tsukuba, University of Technology Nuremberg og University of Oxford. Initiativet leveres med et GitHub‑repository og en projektside.

Metode

For at finde ud af, hvor meget visuel præsentation alene kan påvirke modellerne, udviklede forskerne ‘Stealth Visual Prompts’ – tilsyneladende almindelige ændringer i tekstformatering, der ikke indeholder nogen eksplicit instruktion til AI.

Dette kan være så enkelt som at ændre farven på positive eller negative ord, eller at få et forkert svar til at skille sig tydeligere ud end det korrekte, mens selve formuleringen forbliver uændret.

Forskellig tekst blev genereret for hver opgave, hvor sentimenttestene brugte neutrale skabeloner udfyldt med positive og negative ord, mens Visual Question Answering (VQA)-testene benyttede spørgsmål‑kontekst‑par fra SQuAD:

Eksempler på maskin‑rettede spørgsmål fra SQuAD‑datasættet, der blev brugt til det nye arbejde. Kilde

Den resulterende kuraterede samling blev kaldt VQA Stealth Set.

Tekst blev gengivet på et standardiseret 800x600px‑lærred med et fast layout, så kun den målrettede visuelle formatering blev ændret. Farve og kontrast blev manipuleret uafhængigt, hvor farvetestning undersøgte lærte semantiske associationer, og kontrasttestning undersøgte visuel saliens.

Udvalgte ord blev omfarvet, og hele afsnit gengivet med lavere kontrast; eller, i Saliency Competition‑indstillingen, blev forkerte svar gjort visuelt mere fremtrædende end de korrekte.

Enhver resulterende ændring i modellens svar kan derfor kun tilskrives visuel formatering frem for ændringer i den underliggende tekst.

Data og tests

Tre forskellige test‑sæt blev oprettet for at repræsentere forskellige måder, hvorpå VLMs behandler tekst præsenteret som billeder:

Illustration af de tre visuelle testdesigns. Eksemplerne viser de stimuli, der blev brugt til at teste, om visuel præsentation alene kan påvirke modellens resonering: (a) blandet‑sentiment‑tekst med udvalgte ord omfarvet for at teste farvebias; (b) et længere afsnit, der adskiller positivt og negativt sprog for at vurdere, om dokumentstruktur ændrer effekten; og (c) et visual question answering‑eksempel, hvor et forkert men semantisk lignende lokkespørgsmål (‘twenty miles’) gøres mere visuelt fremtrædende gennem højere kontrast. Kilde

Short‑sentence Sentiment Set tester ord‑niveau farvebias ved hjælp af 100 korte sætninger genereret fra neutrale skabeloner, der indeholder positive eller negative ord. Hver sætning blev gengivet i 37 visuelle versioner, bestående af en sort‑tekst baseline plus kombinationer af seks farver (rød, grøn, blå, gul, cyan og magenta) på tre intensitetsniveauer.

Long‑sentence Sentiment Set brugte længere afsnit, hvor positivt og negativt sprog blev adskilt i forskellige dele af teksten. Dette var beregnet til at fastslå, om bredere dokumentstruktur og positions‑effekter, såsom primacy eller recency (positions‑baserede bias, hvor information, der fremkommer tidligere eller senere i et dokument, kan få større vægt), ville opveje enhver farveinduceret bias. De samme 37 farvebetingelser blev anvendt.

I VQA Stealth Set blev spørgsmål og deres tilhørende kontekst gengivet som billeder, hvorefter to kontrast‑baserede betingelser blev testet: i Global Contrast blev læsbarheden af hele dokumentet reduceret ved at gengive det med gradvist lavere kontrastniveauer; og i Saliency Competition blev enten det korrekte svar eller et semantisk lignende lokkespørgsmål (udvalgt ved hjælp af CLIP‑similaritet) gengivet i høj kontrast, mens den resterende tekst blev udtonet – så den visuelle fremhævning kunne konkurrere med beviserne i teksten.

Målinger

Hvert eksempel blev klassificeret som POSITIVE, NEUTRAL eller NEGATIVE. De resulterende klassifikationer blev derefter sammenlignet med en sort‑baseline (sort tekst på hvid baggrund) for at bestemme, i hvilket omfang farve alene skiftede forudsigelserne mod mere positive eller mere negative resultater.

VQA‑eksperimenterne blev evalueret via token‑niveau F1‑score, hvor de forudsagte svar blev sammenlignet med de accepterede sand‑svar.

Induced Error Rate (IER), en ny måling, blev introduceret specifikt til Saliency Competition‑testen og var beregnet til at måle, hvor ofte et visuelt fremhævet lokkespørgsmål blev valgt (i stedet for det korrekte svar), når tekstens synlighed var reduceret.

Derudover blev en CLIP‑repræsentationsprobe anvendt til at måle, hvordan farveændringer ændrede et ords semantiske repræsentation inden for CLIPs indlejringsrum.

Endvidere blev en VLM‑baseret Optisk Tegngenkendelse (OCR)‑proxy brugt til at vurdere, hvor pålideligt enkelte ord kunne læses ved gradvist lavere kontrastniveauer, så man kunne estimere det punkt, hvor gengivet tekst blev effektivt ulæselig.

Evalueringen blev udført ved hjælp af fire open‑source VLMs: LLaVA-v1.6-Mistral-7B; LLaVA-v1.6-Vicuna-7B; Qwen2-VL-7B-Instruct; og IDEFICS2-8B. Forfatterne understreger, at open‑source‑modeller blev valgt for at sikre, at eksperimenterne kunne reproduceres under faste prompts, gengivelsesindstillinger og deterministisk dekodning.

Resultater

Forfatterne evaluerede først farve‑prompter på Short‑Sentence Sentiment Set, udnyttende ord‑niveau farvebias, hvor sentiment‑bærende ord blev indsprøjtet:

Testresultater, der viser de største sentiment‑skift forårsaget af farveformatering på tværs af fire Vision Language Models. Værdierne måles i forhold til den sort‑baseline, med positive og negative kolonner, der viser den største bevægelse i hver retning, mens intervallet opsummerer hver models samlede modtagelighed for farveinduceret bias.

‘Qwen2-VL-7B viser sin største positive bias, når positive ord farves grøn/blå (op til +0.42), og sin største negative bias, når negative ord farves rød (ned til -0.48).’

‘Den samlede modtagelighed varierer betydeligt mellem modeller: Qwen2-VL-7B viser den største totale rækkevidde (0.90), efterfulgt af IDEFICS2-8B (0.52), mens LLaVA‑varianterne udviser meget mindre intervaller (0.04–0.12), hvilket indikerer en relativt svagere følsomhed over for ord‑niveau farveformatering i denne indstilling.’

‘Vi observerer et tydeligt spektrum af modtagelighed: Qwen2-VL-7B udviser de største farveinducerede skift, mens LLaVA‑varianterne er relativt robuste.’

Yderligere resultater nedenfor viser, at farveeffekten langt fra er ensartet: Qwen2-VL-7B viste sig som den mest modtagelige, hvor grøn og blå tekst konsekvent skubbede sentimentet mod mere positive vurderinger, når positive ord blev fremhævet, mens rød tekst skubbede forudsigelserne i en mere negativ retning, når negative ord blev fremhævet:

Testresultater, der sammenligner farveinducerede sentiment‑skift på tværs af fire Vision Language Models. Graferne viser, hvordan forskellige tekstfarver ændrede sentiment‑forudsigelser i forhold til en sort‑baseline, hvor den lodrette akse angiver størrelsen og retningen af hvert skift. Qwen2-VL-7B viste den stærkeste farvesensitivitet, mens begge LLaVA‑modeller forblev relativt stabile.

Stærkere farveintensitet forstærkede generelt disse effekter, rapporterer artiklen: IDEFICS2-8B viste et lignende mønster, dog i mindre grad, mens begge LLaVA‑varianter forblev tæt på deres baseline på tværs af de fleste farver og intensiteter, hvilket indikerer en langt større modstand mod farvebaseret manipulation.

Forskerne testede derefter længere afsnit ved at adskille positivt og negativt sprog i de to halvdele af Long‑sentence Sentiment Set, så dokumentstruktur kunne måles sammen med farvebias. Eksperimenterne fastslog, om hver model i højere grad stolede på begyndelsen (primacy) eller slutningen (recency) af et afsnit.

Dokumentstruktur vejede ofte tungere end farve‑indikationer: Qwen2-VL-7B og LLaVA-Mistral-7B foretrak den anden halvdel af teksten, mens IDEFICS2-8B og LLaVA-Vicuna-7B hyppigere stolede på den første:

Testresultater, der viser, hvordan fire Vision Language Models stolede på dokumentposition ved analyse af længere afsnit. ‘Positional Strategy’ angiver, om forudsigelserne fulgte den første halvdel (primacy) eller den anden halvdel (recency) af teksten; ‘Adherence’ viser, hvor konsistent den strategi blev fulgt; og ‘Color Bias Range’ måler den resterende indflydelse af tekstfarve under disse strukturerede betingelser.

Farve påvirkede stadig nogle modeller, især IDEFICS2-8B, men blev mindre indflydelsesrig i struktureret tekst.

For at forstå, hvorfor farveændringer kunne ændre sentiment uden at ændre selve ordene, undersøgte forskerne, hvordan farve påvirkede modellernes interne visuelle repræsentationer ved hjælp af en CLIP‑semantisk projektionanalyse. Som vist nedenfor, flyttede en ændring af et ords nuance konsekvent dets semantiske repræsentation på tværs af flere konceptuelle dimensioner:

Testresultater, der viser, hvordan tekstfarve ændrede den interne semantiske repræsentation af seks ord. Graferne følger ordene ‘warm’, ‘cold’, ‘safe’, ‘dangerous’, ‘good’ og ‘bad’ på akserne sikkerhed, valens, temperatur og emotion, hvilket demonstrerer, at ændring af farve alene systematisk flyttede deres interne repræsentationer, selvom teksten selv forblev uændret.

De største ændringer fremkom på ‘good’ versus ‘bad’‑aksen. Som demonstreret ovenfor, har en simpel ændring af et ord fra sort til grøn en tendens til at flytte dets interne betydning i en mere positiv retning, mens blå har tendens til at flytte den den anden vej – selvom ordet selv aldrig ændres. Mindre, men konsistente skift forekom også for emotion, sikkerhed og temperatur.

CLIP blev kun brugt til at undersøge disse interne repræsentationer, ikke til at forklare præcis, hvordan hver Vision Language Model fungerer. Alligevel matchede det samme mønster, der ses i CLIP, tæt de farvedrevne sentiment‑ændringer, der blev observeret i de tidligere eksperimenter.

Forskerne undersøgte derefter, om ændring af tekstkontrast i stedet for farve også kunne vildlede Vision Language Models under Visual Question Answering (VQA). Et plausibelt men forkert ‘decoy’-svar blev fremhævet, mens den omgivende tekst blev udtonet:

Testresultater, der sammenligner Visual Question Answering‑præstation under tre tekst‑saliencibetingelser. Resultaterne er gennemsnitlige over seks lav‑kontrast gråtoneniveauer, og den eneste forskel mellem kolonnerne er, om ingen tekst, det korrekte svar eller decoy‑svaret blev gengivet i høj‑kontrast sort. Fremhævning af det korrekte svar øgede konsekvent F1‑score, mens fremhævning af decoy‑svaret reducerede dem.

Resultaterne ovenfor indikerer, at fremhævning af det korrekte svar forbedrede nøjagtigheden, mens fremhævning af decoy‑svaret reducerede den. Denne effekt blev derefter målt via den førnævnte IER:

Testresultater, der viser, hvor ofte hver Vision Language Model valgte et visuelt fremtrædende men forkert svar. Kolonnerne viser seks lav‑kontrast gråtoneniveauer anvendt på den omgivende tekst i ‘Decoy Salient’-betingelsen, hvor højere værdier indikerer lavere synlighed. Efterhånden som den omgivende tekst blev sværere at læse, steg de inducerede fejlrater generelt, mens Qwen2-VL-7B forblev konsekvent mere modstandsdygtig end de andre modeller.

Konklusion

Det bliver interessant at se, om denne specifikke nuance vil blive udnyttet, især fordi det også vil være interessant at se, hvordan ‘farve‑misdirection’ kan injiceres uden at blive åbenlys for menneskelige læsere.

Selvom AI‑web‑scrapere, der faktisk gengiver sider, kan få leveret ‘alternativ’ CSS, som ændrer farverne i udvalgte dele af teksten, afhænger meget af scraperens skarphed; hvis scraperen blot udtrækker HTML for at lede efter kode (HTML) og tekst (sideindhold), kan den ignorere CSS og aldrig opdage farvningen. Den grådige scraper vil dog sandsynligvis også ønske ny CSS, hvilket muliggør gengivelse og omfarvning.

Alternativt kan bøger eller magasiner med selektivt omfarvet tekst uploades til betroede arkiver som The Internet Archive (et meget populært mål), selvom de udgiver sig for at være scanninger af ældre værker. Der findes mange injektionsveje under nuværende praksis, og ikke kun for denne nye og særligt farverige tilgang.

Først offentliggjort mandag den 17. august 2026