Дальше предполагается более логичный вариант – использовать при наличии такового механизм форварда писем. Но чтобы все было не так уж совсем просто и логично, инъекцию делают мультимодальной – используя в качестве целевой модели LLaVA вставляют ее в картинку, используя FGSM (a name I haven’t heard in a long time). Для этих целей используются картинки с червями (хехе, ну вы поняли😬). Потом авторы создают на LLaVA какое-то совсем уж ленивое приложение, которое в ответ на картинку и текст должно вывести spam, reply или forward, атакуют сами же этот нехитрый спам-детектор и засовывают свою FGSM-инъекцию в картинку MAGA-2024 (а вы думаете, я тут про Трампа и бабушку зря пишу?). В итоге это приложение действительно решает, что эти картинки надо форвардить и само выбирает по истории сообщений, переданной в контекст, кому именно.