Mudar as Cores das Fontes Pode Sequestrar o Raciocínio da IA

Um novo estudo revela que a formatação comum pode direcionar silenciosamente o raciocínio da IA, fazendo-a ignorar palavras, interpretar erroneamente o sentido e chegar a conclusões diferentes – sem alterar o texto em si.

A codificação cultural humana da cor pode variar ao redor do mundo, mas as concepções ocidentais – ou seja, vermelho para ‘perigo’, verde para ‘ok’ – tendem a predominar mesmo em Modelos de Linguagem Visual (VLMs) asiáticos, por vários motivos estratégicos e/ou circunstanciais.

Não somos diferentes; colorir coisas ‘ruins’ com cores positivas e coisas ‘boas’ com cores negativas, faz os humanos reagirem de forma distinta a esses itens. O mesmo ocorre ao alterar o brilho e o contraste.

Uma nova colaboração de pesquisa investigou até que ponto isso também se aplica a modelos de IA, revelando indicações preliminares de que VLMs podem ser influenciados pela manipulação da cor do texto, bem como pela alteração do contraste e brilho relativos.

‘Nossos experimentos fornecem uma análise sistemática de como a estilização visual de baixo nível do texto distorce as representações semânticas dentro do codificador visual de um VLM. Além disso, examinamos como essas mudanças no espaço latente se manifestam como alterações comportamentais em VLMs de ponta a ponta em tarefas tanto subjetivas (análise de sentimento) quanto objetivas (resposta a perguntas).’

‘Esses resultados demonstram que a estilização visual expõe uma vulnerabilidade crítica, ainda pouco explorada, nos VLMs, e discutimos suas implicações para a robustez e segurança dos pipelines de VLM.’

Do site do novo trabalho, uma ilustração de como a cor do texto sozinha pode alterar a interpretação interna de uma IA sobre uma palavra. O exemplo mostra a palavra ‘bad’ renderizada em diferentes cores, com o verde deslocando sua representação semântica para uma interpretação mais positiva, apesar de o texto permanecer inalterado.Source

Surpreenda-me com Cores

No momento, para os bilhões de empresas e indivíduos cujo tráfego de busca vital foi bruscamente reduzido pela chegada de sinopses de IA nos resultados de busca, bem como pela mudança para LLM como oráculo de busca, superfícies de ataque dessa natureza são atualmente muito atraentes.

Como o constante burburinho de discussões humanas no Reddit é vital para manter o conhecimento da IA atualizado, essa plataforma de mídia social tornou‑se um alvo principal para empresas e indivíduos que desejam ser incluídos no conhecimento dos LLMs; guias já surgiram sobre ‘jogar’ o Reddit como método proxy de influenciar LLMs.

Numa linha similar, existe o antigo truque de incluir texto que apenas máquinas verão, de modo que você possa passar instruções ocultas e egoístas a um LLM, para vencer um torneio acadêmico, ou influenciar resultados de exames.

Mais recentemente, a revista Time começou a inserir anúncios em uma versão ‘secreta’ de seu site visível apenas para os rastreadores da web de IA que constantemente vasculham sites em busca de novos dados, potencialmente permitindo que anunciantes comprem maior destaque (ou uma abordagem mais positiva) nas respostas da IA.

Portanto, qualquer nova vulnerabilidade de LLM/VLM, como respostas codificadas por cores que podem ser ‘alternadas’ para manipular resultados, é um alvo óbvio para um mundo que tenta desesperadamente retomar o controle da narrativa midiática dos modelos de IA de ponta.

Por exemplo, uma empresa que pretende construir uma fábrica poluente, capaz de reduzir a qualidade da água local, poderia acrescentar codificação por cores ao seu vocabulário de spin, em materiais de marketing ou comunicados de imprensa, como uma forma adicional de desviar notícias que a maioria consideraria ‘negativas’.

O uso estratégico de CSS e/ou técnicas de SEO poderia até esconder as manipulações de cor dos leitores humanos casuais, ao servir folhas de estilo apenas para IA que impõem ênfases de cor no texto que ficam ocultas aos humanos, que verão apenas texto preto.

‘Essas sensibilidades implicam um risco de confiabilidade e segurança para pipelines de VLM que ingerem documentos ou capturas de tela de UI: estilizações benignas ou adversariais podem direcionar decisões do modelo sem alterar o texto subjacente.’

‘Medidas de proteção práticas incluem normalizar o texto renderizado antes da inferência, cruzar respostas baseadas em imagem com texto extraído por OCR e adicionar verificações de invariância de estilo aos conjuntos de avaliação.’

O novo trabalho tem o título Seeing Red, Thinking Bad: Color Bias in Vision Language Models, e foi realizado por cinco pesquisadores do Instituto Nacional de Ciência e Tecnologia Avançada da Indústria (AIST) do Japão, da Universidade de Tsukuba, da Universidade de Tecnologia de Nuremberg e da Universidade de Oxford. A iniciativa inclui um repositório no GitHub e um site do projeto.

Método

Para descobrir até que ponto a apresentação visual por si só poderia influenciar os modelos, os pesquisadores desenvolveram os ‘Promptes Visuais Discretos’ – alterações de formatação de texto que parecem comuns, mas que não carregam instruções explícitas para a IA.

Isso pode ser tão simples quanto mudar a cor de palavras positivas ou negativas, ou fazer com que uma resposta errada se destaque mais claramente que a correta, mantendo a redação real intacta.

Textos diferentes foram gerados para cada tarefa, com os testes de sentimento usando modelos neutros preenchidos com palavras positivas e negativas, enquanto os testes de Visual Question Answering (VQA) utilizaram pares de pergunta‑contexto do SQuAD:

Exemplos de perguntas voltadas para máquinas do conjunto de dados SQuAD usados no novo trabalho. Source

A coleção curada resultante foi intitulada VQA Stealth Set.

O texto foi renderizado em uma tela padronizada de 800x600px, com layout fixo, de modo que apenas a estilização visual alvo fosse alterada. Cor e contraste foram manipulados independentemente, com o teste de cor avaliando associações semânticas aprendidas e o teste de contraste avaliando a saliência visual.

Palavras selecionadas foram recoloridas e trechos inteiros renderizados com contraste menor; ou, no cenário de Saliency Competition, respostas incorretas foram tornadas visualmente mais proeminentes que as corretas.

Qualquer mudança resultante nas respostas do modelo poderia, portanto, ser atribuída exclusivamente à estilização visual, e não a alterações no texto subjacente.

Dados e Testes

Três conjuntos de teste distintos foram criados para representar diferentes maneiras pelas quais VLMs processam texto apresentado como imagens:

Ilustração dos três designs de teste visual. Os exemplos mostram os estímulos usados para testar se a apresentação visual por si só pode influenciar o raciocínio do modelo: (a) texto de sentimento misto com palavras selecionadas recoloridas para testar viés de cor; (b) um trecho mais longo separando linguagem positiva e negativa para avaliar se a estrutura do documento altera o efeito; e (c), um exemplo de Visual Question Answering em que uma resposta decoy incorreta, porém semanticamente similar (‘twenty miles’) é feita mais visualmente proeminente através de maior contraste.Source

O Short-sentence Sentiment Set testa o viés de cor em nível de palavra usando 100 frases curtas geradas a partir de modelos neutros que contêm palavras positivas ou negativas. Cada frase foi renderizada em 37 versões visuais, compreendendo um baseline de texto preto mais combinações de seis cores (vermelho, verde, azul, amarelo, ciano e magenta), em três níveis de intensidade.

O Long-sentence Sentiment Set utilizou trechos mais longos, nos quais a linguagem positiva e negativa foi separada em diferentes partes do texto. Isso visava determinar se a estrutura mais ampla do documento e efeitos posicionais, como primazia ou recência (viéses baseados em posição, nos quais informações que aparecem mais cedo ou mais tarde em um documento podem receber peso maior), superariam qualquer viés induzido por cor. As mesmas 37 condições de cor foram aplicadas.

No VQA Stealth Set, perguntas e seus contextos associados foram renderizados como imagens, após o que duas condições baseadas em contraste foram testadas: em Global Contrast, a legibilidade de todo o documento foi reduzida ao renderizá-lo em níveis de contraste progressivamente menores; e em Saliency Competition, ou a resposta correta, ou uma palavra decoy semanticamente similar (selecionada usando similaridade CLIP) foi renderizada em alto contraste, enquanto o texto restante foi esmaecido – permitindo que a ênfase visual competisse com as evidências no texto.

Métricas

Cada exemplo foi classificado como POSITIVO, NEUTRAL ou NEGATIVO. As classificações resultantes foram então comparadas com um baseline totalmente preto (texto preto sobre fundo branco) para determinar em que medida a cor sozinha deslocou as previsões para resultados mais positivos ou mais negativos.

Os experimentos de VQA foram avaliados via pontuação F1 ao nível de token, onde respostas previstas foram comparadas com as respostas de referência aceitas.

Induced Error Rate (IER), uma métrica nova, foi introduzida especificamente para o teste Saliency Competition, e destinava‑se a medir com que frequência uma resposta decoy visualmente destacada era selecionada (em vez da resposta correta), quando a visibilidade do texto era reduzida.

Adicionalmente, uma sondagem de representação CLIP foi usada para medir como mudanças de cor alteraram a representação semântica de uma palavra dentro do espaço de incorporação do CLIP.

Além disso, um proxy de Reconhecimento Óptico de Caracteres (OCR) baseado em VLM foi usado para avaliar quão confiavelmente palavras individuais poderiam ser lidas em níveis de contraste progressivamente menores, permitindo estimar o ponto em que o texto renderizado se tornava efetivamente ilegível.

A avaliação foi realizada usando quatro VLMs de código aberto: LLaVA-v1.6-Mistral-7B; LLaVA-v1.6-Vicuna-7B; Qwen2-VL-7B-Instruct; e IDEFICS2-8B. Os autores enfatizam que os modelos de código aberto foram selecionados para garantir que os experimentos pudessem ser reproduzidos sob prompts fixos, configurações de renderização e decodificação determinística.

Resultados

Os autores inicialmente avaliaram prompts de cor no Short-Sentence Sentiment Set, aproveitando o viés de cor em nível de palavra, onde palavras portadoras de sentimento foram intercaladas:

Resultados de teste mostrando os maiores deslocamentos de sentimento causados pela formatação de cor em quatro Vision Language Models. Os valores são medidos em relação ao baseline totalmente preto, com colunas positiva e negativa mostrando o maior movimento em cada direção, enquanto a faixa resume a suscetibilidade geral de cada modelo ao viés induzido por cor.

‘Qwen2-VL-7B apresenta seu maior viés positivo quando palavras positivas são coloridas de verde/azul (até +0.42), e seu maior viés negativo quando palavras negativas são coloridas de vermelho (até -0.48).’

‘A suscetibilidade geral difere substancialmente entre os modelos: Qwen2-VL-7B apresenta a maior Faixa Total (0.90), seguida por IDEFICS2-8B (0.52), enquanto as variantes LLaVA exibem faixas muito menores (0.04–0.12), indicando sensibilidade comparativamente mais fraca ao estilo de cor em nível de palavra neste cenário.’

‘Observamos um espectro claro de suscetibilidade: Qwen2-VL-7B apresenta os maiores deslocamentos induzidos por cor, enquanto as variantes LLaVA são comparativamente robustas.’

Resultados adicionais abaixo mostram que o efeito da cor está longe de ser uniforme: Qwen2-VL-7B provou ser o mais suscetível, com texto verde e azul consistentemente empurrando o sentimento para julgamentos mais positivos quando palavras positivas foram destacadas, enquanto texto vermelho empurrou as previsões para uma direção mais negativa quando palavras negativas foram destacadas:

Resultados de teste comparando deslocamentos de sentimento induzidos por cor em quatro Vision Language Models. Os gráficos mostram como diferentes cores de texto mudaram as previsões de sentimento em relação a um baseline totalmente preto, com o eixo vertical indicando o tamanho e a direção de cada deslocamento. Qwen2-VL-7B mostrou a maior sensibilidade à cor, enquanto ambos os modelos LLaVA permaneceram comparativamente estáveis.

Intensidades de cor mais fortes geralmente amplificaram esses efeitos, relata o artigo: IDEFICS2-8B exibiu padrão semelhante, embora em menor grau, enquanto ambas as variantes LLaVA permaneceram próximas ao seu baseline na maioria das cores e intensidades, indicando resistência muito maior à manipulação baseada em cor.

Os pesquisadores então testaram trechos mais longos separando a linguagem positiva e negativa em diferentes metades do Long-sentence Sentiment Set, permitindo medir a estrutura do documento juntamente com o viés de cor. Os experimentos determinaram se cada modelo dependia mais do início (primazia) ou do fim (recência) de um trecho.

A estrutura do documento frequentemente superava os indícios de cor: Qwen2-VL-7B e LLaVA-Mistral-7B favoreceram a segunda metade do texto, enquanto IDEFICS2-8B e LLaVA-Vicuna-7B confiaram mais na primeira:

Resultados de teste mostrando como quatro Vision Language Models dependeram da posição do documento ao analisar trechos mais longos. ‘Estratégia Posicional’ indica se as previsões seguiram a primeira metade (primazia) ou a segunda metade (recência) do texto; ‘Aderência’ mostra quão consistentemente essa estratégia foi seguida; e ‘Faixa de Viés de Cor’ mede a influência remanescente da cor do texto sob essas condições estruturadas.

A cor ainda afetou alguns modelos, particularmente IDEFICS2-8B, mas tornou‑se menos influente em texto estruturado.

Para entender por que mudanças de cor poderiam alterar o sentimento sem mudar as palavras, os pesquisadores examinaram como a cor afetou as representações visuais internas dos modelos usando uma análise de projeção semântica CLIP. Como mostrado abaixo, mudar a tonalidade de uma palavra deslocou consistentemente sua representação semântica ao longo de várias dimensões conceituais:

Resultados de teste mostrando como a cor do texto alterou a representação semântica interna de seis palavras. Os gráficos acompanham as palavras ‘warm’, ‘cold’, ‘safe’, ‘dangerous’, ‘good’ e ‘bad’ nos eixos de segurança, valência, temperatura e emoção, demonstrando que mudar apenas a cor deslocou sistematicamente suas representações internas, embora o texto permanecesse inalterado.

As maiores mudanças apareceram no eixo ‘good’ versus ‘bad’. Como demonstrado acima, simplesmente mudar uma palavra de preto para verde tendia a mover seu significado interno para uma direção mais positiva, enquanto azul tendia a movê‑lo na direção oposta – mesmo que a palavra em si nunca mudasse. Mudanças menores, porém consistentes, também apareceram para emotion, safety e temperature.

O CLIP foi usado apenas para examinar essas representações internas, não para explicar exatamente como cada Vision Language Model funciona. Mesmo assim, o mesmo padrão observado dentro do CLIP correspondeu de perto às mudanças de sentimento induzidas por cor observadas nos experimentos anteriores.

Os pesquisadores então investigaram se mudar o contraste do texto, em vez da cor, também poderia enganar Vision Language Models durante Visual Question Answering (VQA). Uma resposta ‘decoy’ plausível porém incorreta foi destacada enquanto o texto circundante foi esmaecido:

Resultados de teste comparando o desempenho de Visual Question Answering sob três condições de saliência de texto. Os resultados são a média de seis níveis de cinza de baixo contraste, e a única diferença entre as colunas é se nenhum texto, a resposta correta ou a resposta decoy foi renderizada em preto de alto contraste. Destacar a resposta correta aumentou consistentemente as pontuações F1, enquanto destacar a decoy as reduziu.

Os resultados acima indicam que destacar a resposta correta melhorou a precisão, enquanto enfatizar a decoy a reduziu. Esse efeito foi então medido via o IER mencionado anteriormente:

Resultados de teste mostrando com que frequência cada Vision Language Model selecionou uma resposta visualmente proeminente, porém incorreta. As colunas mostram seis níveis de cinza de baixo contraste aplicados ao texto circundante na condição ‘Decoy Salient’, com valores mais altos indicando menor visibilidade. À medida que o texto ao redor se tornou mais difícil de ler, as taxas de erro induzido geralmente aumentaram, enquanto Qwen2-VL-7B permaneceu consistentemente mais resistente que os outros modelos.

Conclusão

Será interessante observar se essa particularidade será explorada, sobretudo porque seria intrigante ver como a ‘desorientação por cor’ poderia ser inserida sem se tornar óbvia para leitores humanos.

Embora raspadores da web de IA que realmente renderizam páginas possam receber CSS ‘alternativo’ que altere as cores em partes selecionadas do texto, muito depende da acuidade do raspador; se o raspador simplesmente extrair o HTML em busca de código (HTML) e texto (conteúdo da página), pode ignorar o CSS e nunca perceber a coloração. Contudo, o raspador ávido provavelmente desejará também novo CSS, permitindo renderização e recoloração.

Alternativamente, livros ou revistas com texto recolorizado seletivamente poderiam ser enviados a repositórios confiáveis como o Internet Archive (um alvo muito popular), até mesmo se passando por digitalizações de obras antigas. Existem muitas vias de injeção nas práticas atuais, e não apenas para essa nova e particularmente colorida abordagem.

Primeira publicação segunda‑feira, 17 de agosto de 2026