Modifier les couleurs de police peut détourner le raisonnement de l’IA

Une nouvelle étude révèle que la mise en forme ordinaire peut discrètement orienter le raisonnement de l’IA, la poussant à négliger des mots, à mal interpréter le sens et à parvenir à des conclusions différentes – sans modifier le texte lui‑même.

L’encodage culturel de la couleur chez les humains peut varier à travers le monde, mais les conceptions occidentales – c’est‑à‑dire, le rouge pour « danger », le vert pour « ok » – ont tendance à prédominer même dans les Vision Language Models (VLM) asiatiques, pour diverses raisons stratégiques et/ou fortuites.

Nous ne faisons pas différemment ; colorer les choses « mauvaises » avec des couleurs positives, et les choses « bonnes » avec des couleurs négatives, amène les humains à réagir différemment à ces éléments. Il en va de même pour la modification de la luminosité et du contraste.

Une nouvelle collaboration de recherche a étudié dans quelle mesure ce phénomène s’applique également aux modèles d’IA, révélant des indications préliminaires selon lesquelles les VLM peuvent être influencés par la manipulation de la couleur du texte, ainsi que par la modification du contraste et de la luminosité relatifs.

The authors state:

Nos expériences offrent une analyse systématique de la façon dont le style visuel de bas niveau du texte déforme les représentations sémantiques au sein de l’encodeur visuel d’un VLM. De plus, nous examinons comment ces déplacements dans l’espace latent se traduisent par des changements comportementaux dans les VLM de bout en bout, tant pour les tâches subjectives (analyse de sentiment) que objectives (question‑réponse).

Ces résultats montrent que le style visuel révèle une vulnérabilité critique, jusque‑là peu étudiée, des VLM, et nous discutons de ses implications pour la robustesse et la sécurité des pipelines VLM.

Depuis le site du nouveau projet, une illustration de la façon dont la couleur du texte seule peut modifier l’interprétation interne d’un mot par une IA. L’exemple montre le mot « bad » affiché dans différentes couleurs, le vert déplaçant sa représentation sémantique vers une interprétation plus positive, malgré le texte restant inchangé. Source

Couleur surprenante

À l’heure actuelle, pour les milliards d’entreprises et d’individus dont le trafic de recherche essentiel a été brutalement réduit par l’avènement des résumés d’IA dans les résultats de recherche, ainsi que par le passage aux LLM comme oracle de recherche, les surfaces d’attaque de ce type sont actuellement très attractives.

Parce que le flux constant de discussions humaines sur Reddit est essentiel pour maintenir les connaissances de l’IA à jour, cette plateforme sociale est devenue une cible privilégiée pour les entreprises et les particuliers souhaitant être intégrés dans les connaissances des LLM ; des guides ont déjà émergé sur la « manipulation » de Reddit comme méthode de substitution pour influencer les LLM.

Dans le même ordre d’idées, il existe l’ancienne astuce consistant à inclure du texte que seules les machines voient, afin de transmettre des instructions cachées et intéressées à un LLM, pour remporter un tournoi académique ou influencer les résultats d’examen.

Plus récemment, le magazine Time a commencé à placer des publicités dans une version « secrète » de son site visible uniquement aux robots d’exploration IA qui parcourent constamment les sites à la recherche de nouvelles données, permettant ainsi potentiellement aux annonceurs d’acheter une plus grande visibilité (ou une interprétation plus positive) dans les réponses de l’IA.

Par conséquent, toute nouvelle faiblesse des LLM/VLM, comme les réponses codées par couleur qui peuvent être « activées » pour manipuler les résultats, constitue une cible évidente pour un monde cherchant désespérément à reprendre le contrôle du récit médiatique face à l’IA de pointe.

Par exemple, une entreprise souhaitant construire une usine polluante susceptible de détériorer la qualité de l’eau locale pourrait ajouter un code couleur à son lexique de communication, dans les supports marketing ou les communiqués de presse, comme un détournement supplémentaire d’informations que la plupart qualifieraient de « négatives ».

L’utilisation stratégique du CSS et/ou de techniques SEO pourrait même dissimuler les manipulations de couleur aux lecteurs humains occasionnels, en diffusant des feuilles de style réservées à l’IA qui imposent des emphases colorées dans le texte invisibles aux humains, qui ne verront que du texte noir.

The authors of the new work state:

Ces sensibilités impliquent un risque de fiabilité et de sécurité pour les pipelines VLM qui ingèrent des documents ou des captures d’écran d’interface : un style bénin ou hostile peut orienter les décisions du modèle sans modifier le texte sous‑jacent.

Les mesures de protection pratiques comprennent la normalisation du texte rendu avant l’inférence, la vérification croisée des réponses basées sur l’image avec le texte extrait par OCR, et l’ajout de contrôles d’invariance de style aux suites d’évaluation.

Le nouveau travail s’intitule Seeing Red, Thinking Bad : Color Bias in Vision Language Models, et provient de cinq chercheurs du National Institute of Advanced Industrial Science and Technology (AIST) du Japon, de l’Université de Tsukuba, de l’Université de Technologie de Nuremberg et de l’Université d’Oxford. L’initiative est accompagnée d’un dépôt GitHub et d’un site de projet.

Méthode

Pour déterminer dans quelle mesure la présentation visuelle seule pouvait influencer les modèles, les chercheurs ont développé les « Stealth Visual Prompts » – des modifications d’apparence ordinaire du formatage du texte, qui ne contiennent aucune instruction explicite pour l’IA.

Cela peut être aussi simple que de changer la couleur des mots positifs ou négatifs, ou de faire ressortir une réponse erronée plus clairement que la bonne, tout en laissant le libellé réel intact.

Des textes différents ont été générés pour chaque tâche, les tests de sentiment utilisant des modèles neutres remplis de mots positifs et négatifs, tandis que les tests de Visual Question Answering (VQA) s’appuyaient sur des paires question‑contexte provenant de SQuAD :

Exemples de questions destinées aux machines provenant du jeu de données SQuAD utilisé pour le nouveau travail. Source

La collection soigneusement sélectionnée ainsi obtenue a été intitulée le VQA Stealth Set.

Le texte a été rendu sur une toile standardisée de 800 × 600 px, avec une mise en page fixe, afin que seule la stylisation visuelle ciblée soit modifiée. La couleur et le contraste ont été manipulés indépendamment, les tests de couleur évaluant les associations sémantiques apprises, et les tests de contraste évaluant la saillance visuelle.

Des mots sélectionnés ont été recolorés, et des passages entiers rendus à contraste réduit ; ou, dans le cadre du Concours de Saillance, les réponses incorrectes ont été rendues visuellement plus proéminentes que les réponses correctes.

Tout changement résultant dans les réponses du modèle pourrait donc être attribué uniquement au style visuel plutôt qu’à des modifications du texte sous‑jacent.

Données et tests

Trois ensembles de tests distincts ont été créés pour représenter différentes manières dont les VLM traitent le texte présenté sous forme d’images :

Illustration des trois conceptions de tests visuels. Les exemples montrent les stimuli utilisés pour tester si la présentation visuelle seule peut influencer le raisonnement du modèle : (a) texte à sentiment mixte avec des mots sélectionnés recolorés pour tester le biais de couleur ; (b) un passage plus long séparant le langage positif et négatif afin d’évaluer si la structure du document modifie l’effet ; et (c), un exemple de visual question answering où une réponse leurre incorrecte mais sémantiquement similaire (« twenty miles ») est rendue plus visuellement proéminente grâce à un contraste plus élevé.”Source

Le Short-sentence Sentiment Set teste le biais de couleur au niveau des mots en utilisant 100 courtes phrases générées à partir de modèles neutres contenant des mots positifs ou négatifs. Chaque phrase a été rendue en 37 versions visuelles, comprenant une base texte noir plus des combinaisons de six couleurs (rouge, vert, bleu, jaune, cyan et magenta), à trois niveaux d’intensité.

Le Long-sentence Sentiment Set utilisait des passages plus longs, dans lesquels le langage positif et négatif était séparé en différentes parties du texte. L’objectif était de déterminer si la structure plus large du document et les effets positionnels, tels que la primauté ou la récence (biais liés à la position, où l’information apparaissant plus tôt ou plus tard dans un document peut recevoir un poids plus important), l’emporteraient sur tout biais induit par la couleur. Les mêmes 37 conditions de couleur ont été appliquées.

Dans le VQA Stealth Set, les questions et leur contexte associé ont été rendus sous forme d’images, après quoi deux conditions basées sur le contraste ont été testées : dans Global Contrast, la lisibilité de l’ensemble du document a été réduite en le rendant à des niveaux de contraste progressivement plus faibles ; et dans Saliency Competition, soit la réponse correcte, soit un mot leurre sémantiquement similaire (sélectionné à l’aide de la similarité CLIP) a été rendu en fort contraste, tandis que le texte restant était estompé – permettant à l’accent visuel de rivaliser avec les preuves du texte.

Métriques

Chaque exemple a été classé comme POSITIF, NEUTRE ou NÉGATIF. Les classifications obtenues ont ensuite été comparées à une référence tout‑noir (texte noir sur fond blanc) afin de déterminer dans quelle mesure la couleur seule déplaçait les prédictions vers des résultats plus positifs ou plus négatifs.

Les expériences VQA ont été évaluées via le score F1 au niveau des tokens, où les réponses prédites ont été comparées aux réponses de référence acceptées.

Le Induced Error Rate (IER), une métrique nouvelle, a été introduite spécifiquement pour le test Saliency Competition, et visait à mesurer la fréquence à laquelle une réponse leurre mise en évidence visuellement était sélectionnée (au lieu de la réponse correcte), lorsque la visibilité du texte était réduite.

De plus, un sondage de représentation CLIP a été utilisé pour mesurer comment les changements de couleur modifiaient la représentation sémantique d’un mot au sein de l’espace d’incorporation de CLIP.

En outre, un proxy de reconnaissance optique de caractères (OCR) basé sur les VLM a été utilisé pour évaluer la fiabilité de la lecture de mots individuels à des niveaux de contraste progressivement plus faibles, permettant d’estimer le point où le texte rendu devient effectivement illisible.

L’évaluation a été réalisée à l’aide de quatre VLM open source : LLaVA-v1.6-Mistral-7B ; LLaVA-v1.6-Vicuna-7B ; Qwen2-VL-7B-Instruct ; et IDEFICS2-8B. Les auteurs soulignent que les modèles open source ont été choisis afin de garantir que les expériences puissent être reproduites avec des invites, des paramètres de rendu et un décodage déterministes fixes.

Résultats

Les auteurs ont d’abord évalué les invites de couleur sur le Short‑Sentence Sentiment Set, en exploitant le biais de couleur au niveau des mots, où les mots porteurs de sentiment étaient intercalés :

Résultats de test montrant les plus grands déplacements de sentiment causés par le formatage couleur sur quatre Vision Language Models. Les valeurs sont mesurées par rapport à la référence tout‑noir, les colonnes positive et négative montrant le plus grand mouvement dans chaque direction, tandis que la plage résume la susceptibilité globale de chaque modèle au biais induit par la couleur.

Qwen2-VL-7B montre son plus grand biais positif lorsque les mots positifs sont colorés en vert/bleu (jusqu’à +0.42), et son plus grand biais négatif lorsque les mots négatifs sont colorés en rouge (jusqu’à -0.48).

La susceptibilité globale diffère sensiblement selon le modèle : Qwen2-VL-7B présente la plus grande plage totale (0,90), suivi de IDEFICS2-8B (0,52), tandis que les variantes LLaVA affichent des plages beaucoup plus petites (0,04–0,12), indiquant une sensibilité comparativement plus faible au stylisme couleur au niveau des mots dans ce contexte.

Nous observons un spectre clair de susceptibilité : Qwen2-VL-7B présente les plus grands déplacements induits par la couleur, tandis que les variantes LLaVA sont relativement robustes.

D’autres résultats ci‑dessous montrent que l’effet de la couleur est loin d’être uniforme : Qwen2-VL-7B s’est avéré le plus sensible, le texte vert et bleu poussant constamment le sentiment vers des jugements plus positifs lorsque les mots positifs étaient mis en évidence, tandis que le texte rouge orientait les prédictions vers une direction plus négative lorsque les mots négatifs étaient mis en évidence :

Résultats de test comparant les déplacements de sentiment induits par la couleur sur quatre Vision Language Models. Les graphiques montrent comment les différentes couleurs de texte ont modifié les prédictions de sentiment par rapport à une référence tout‑noir, l’axe vertical indiquant l’ampleur et la direction de chaque déplacement. Qwen2-VL-7B a montré la sensibilité couleur la plus forte, tandis que les deux modèles LLaVA sont restés relativement stables.

Une intensité de couleur plus forte a généralement amplifié ces effets, rapporte l’article : IDEFICS2-8B a affiché un schéma similaire, bien que dans une moindre mesure, tandis que les deux variantes LLaVA sont restées proches de leur référence pour la plupart des couleurs et intensités, indiquant une résistance bien plus grande à la manipulation basée sur la couleur.

Les chercheurs ont ensuite testé des passages plus longs en séparant le langage positif et négatif en deux moitiés du Long‑sentence Sentiment Set, permettant de mesurer la structure du document parallèlement au biais couleur. Les expériences ont déterminé si chaque modèle s’appuyait davantage sur le début (primauté) ou la fin (récence) d’un passage.

La structure du document l’emportait souvent sur les indices de couleur : Qwen2-VL-7B et LLaVA-Mistral-7B privilégiaient la seconde moitié du texte, tandis que IDEFICS2-8B et LLaVA-Vicuna-7B s’appuyaient plus souvent sur la première :

Résultats de test montrant comment les quatre Vision Language Models se sont appuyés sur la position du document lors de l’analyse de passages plus longs. « Stratégie positionnelle » indique si les prédictions suivaient la première moitié (primauté) ou la seconde moitié (récence) du texte ; « Adhérence » montre à quel point cette stratégie était suivie de façon cohérente ; et « Plage de biais couleur » mesure l’influence résiduelle de la couleur du texte dans ces conditions structurées.

La couleur affectait encore certains modèles, notamment IDEFICS2-8B, mais était moins influente dans le texte structuré.

Pour comprendre pourquoi les changements de couleur pouvaient modifier le sentiment sans altérer les mots eux‑mêmes, les chercheurs ont examiné comment la couleur affectait les représentations visuelles internes des modèles à l’aide d’une analyse de projection sémantique CLIP. Comme le montre ci‑dessous, modifier la teinte d’un mot déplaçait systématiquement sa représentation sémantique sur plusieurs dimensions conceptuelles :

Résultats de test montrant comment la couleur du texte a modifié la représentation sémantique interne de six mots. Les graphiques suivent les mots « warm », « cold », « safe », « dangerous », « good » et « bad » sur les axes sécurité, valence, température et émotion, démontrant que le simple changement de couleur déplaçait systématiquement leurs représentations internes, même si le texte lui‑même restait inchangé.

Les plus grands changements sont apparus sur l’axe « good » versus « bad ». Comme démontré ci‑dessus, changer simplement un mot du noir au vert tendait à déplacer son sens interne vers une direction plus positive, tandis que le bleu le poussait dans le sens inverse – même si le mot lui‑même ne changeait jamais. Des déplacements plus petits mais constants sont également apparus pour l’émotion, la sécurité et la température.

CLIP a été utilisé uniquement pour examiner ces représentations internes, et non pour expliquer exactement le fonctionnement de chaque Vision Language Model. Néanmoins, le même schéma observé dans CLIP correspondait étroitement aux changements de sentiment induits par la couleur observés dans les expériences antérieures.

Les chercheurs ont ensuite étudié si la modification du contraste du texte, plutôt que de la couleur, pouvait également tromper les Vision Language Models lors du Visual Question Answering (VQA). Une réponse « leurre » plausible mais incorrecte a été mise en évidence tandis que le texte environnant était estompé :

Résultats de test comparant les performances du Visual Question Answering sous trois conditions de saillance du texte. Les résultats sont moyennés sur six niveaux de gris à faible contraste, et la seule différence entre les colonnes est que aucun texte, la réponse correcte ou la réponse leurre était rendu en noir à fort contraste. Mettre en évidence la réponse correcte augmentait systématiquement les scores F1, tandis que mettre en évidence le leurre les réduisait.

Les résultats ci‑dessus indiquent que mettre en évidence la réponse correcte améliore la précision, tandis que souligner le leurre la réduit. Cet effet a ensuite été mesuré via le IER sus‑mentionné :

Résultats de test montrant la fréquence à laquelle chaque Vision Language Model sélectionnait une réponse visuellement proéminente mais incorrecte. Les colonnes affichent six niveaux de gris à faible contraste appliqués au texte environnant dans la condition « Decoy Salient », des valeurs plus élevées indiquant une visibilité moindre. À mesure que le texte environnant devenait plus difficile à lire, les taux d’erreur induits augmentaient généralement, tandis que Qwen2-VL-7B restait constamment plus résistant que les autres modèles.

Conclusion

Il sera intéressant de voir si cette particularité sera exploitée, d’autant plus qu’il serait fascinant d’observer comment la « désorientation couleur » pourrait être injectée sans devenir évidente pour les lecteurs humains.

Bien que les robots d’exploration web d’IA qui rendent réellement les pages puissent recevoir un CSS « alternatif » modifiant les couleurs dans des parties sélectionnées du texte, beaucoup dépend de la finesse du scraper ; si le scraper se contente d’extraire le HTML à la recherche de code (HTML) et de texte (contenu de la page), il peut ignorer le CSS et ne jamais connaître la coloration. Cependant, le scraper gourmand est susceptible de vouloir également un nouveau CSS, permettant le rendu et le recolorage.

Alternativement, des livres ou des magazines contenant du texte recoloré sélectivement pourraient être téléchargés vers des dépôts fiables tels que The Internet Archive (une cible très populaire), même en se faisant passer pour des numérisations d’œuvres anciennes. Il existe de nombreuses voies d’injection dans les pratiques actuelles, et pas seulement pour cette approche nouvelle et particulièrement colorée.

Première publication le lundi 17 août 2026