arXiv cs.AI· Boyuan Chen, Yehia Dawoud, Hailemariam Mersha, Minghao Shao, Siddharth Garg, Ramesh Karri, Muhammad Shafique·· 10 天前AI 评分27
图像哪一属性承载了越狱？图像到文本越狱的受控剖析
Which Image Property Carries the Jailbreak? A Controlled Dissection of Image-to-Text Jailbreaks
AI 导读
研究在 313 条 StrongREJECT 提示切片上，用五种多模态模型（附录另测 InternVL3.5-8B）剖析四类已发表攻击的图像侧因素。逐 tile 熵与 JPEG 大小无法可靠区分攻击 tile 与同尺寸良性干扰图；修正后的区域数量测试未发现可检测效应。在 Qwen3-VL-8B 上，移除查询相关性的 E4 操纵使 ASR 下降约 0.12，支持将效果有限归因于相关性操纵。
正文 · AI 翻译
摘要：图像到文本的越狱将有害意图置于文本、图像内容或二者之间的关系中。我们在 313 条提示的 StrongREJECT 切片上，使用五个多模态模型并额外在附录中对 InternVL3.5-8B 进行评估，考察了四个已发表攻击家族中的图像侧因素。有害指令在各条件下保持不变；基线矩阵对每条提示使用一次抽样，配对消融使用三次抽样并由自动化评分标准评判。一个单独的有害查询，无论是否附带一张良性的无关图像，在大多数受害模型上产生的攻击成功率都很低，而攻击图像则显著提高该成功率。第一，逐图块熵和 JPEG 大小无法可靠地将攻击图块与大小匹配的良性干扰图块区分开，这限制了仅基于密度的筛查。第二，早期的图块数量阶梯受到载荷可见性的混淆。一项修正后的区域数量测试未发现可检测的效应，因此图块数量结构的作用仍未解决。第三，在 Qwen3-VL-8B 上，移除查询特定相关性的 E4 操纵使 ASR 降低约 0.12。这支持将归因有界地归于相关性操纵，尽管图文一致性仍未测量。一项类别内对照在重叠刺激上复现了该方向。五项测试通过了全局统计校正，但只有 E4 支持归因于一个被测量的描述符；类别内结果是一项稳健性检验，而非单独的归因。这些结论仍以评分标准评判为前提。
| Subjects: | 密码学与安全（cs.CR）；人工智能（cs.AI）；机器学习（cs.LG） |
| 引用为： | arXiv:2610.07009 [cs.CR] |
| （或使用 arXiv:2610.07009v1 [cs.CR] 引用此版本） | |
| https://doi.org/10.48550/arXiv.2610.07009 由 DataCite 颁发的 arXiv DOI（待注册） |
提交历史
来自：Boyuan Chen [查看电子邮件]
[v1]
2026年10月4日星期日 13:23:31 UTC（1,022 KB）
来源：arXiv cs.AI · arxiv.org