Beyond Visual Safety: Jailbreaking Multimodal Large Language Models to Generate Harmful Images with Semantically Irrelevant Inputs

BVS要探测的是MLLM在图文输入下生成有害图像时的视觉安全边界。

• 场景： 作者称MLLM的攻击面因多模态而扩大，安全机制同时覆盖文本与视觉中的有害语义。既有图文对方法多诱导有害文本，单文本诱导有害图像又只依赖一个模态。
• 现有不足： 作者称文本越狱常忽视底层安全机制。乱序输入与大语义距离干扰对文本生成过滤有效，对视觉内容生成的审查是否同样有效，作者称为尚未充分探索。
• 本文提出： 作者在摘要中称BVS是新颖的图文对越狱框架，用中和视觉拼接与诱导重组把恶意意图和原始输入解开，再诱导MLLM生成有害图像，并建立视觉安全基准。
• 威胁模型：
  • 目标： 诱导MLLM生成有害图像。成功指模型输出图像，且该图像被判为禁止。
  • 能力： 攻击者提交恶意提示词、文生图得到的图像，以及拼接后的复合图和中文诱导提示词。论文未描述对权重或内部状态的访问。
  • 知识： 论文未使用white-box、black-box或no-box。实验通过向已部署模型提交图文对进行。
  • 受害系统： 能按图文输入生成图像的MLLM。实验对象与版本见第4问。

按引言和第2节，相关工作集中在文本越狱、图文诱导有害文本，以及单模态有害图像生成。

文本模态越狱

• 人工到自动化： Li et al. (2023a)与Liu et al. (2023)做人工提示工程；Yu et al. (2023)、Zou et al. (2023)、Deng et al. (2023)与Mehrotra et al. (2024)分别用进化策略、梯度优化和结构化红队。作者称这些方法常忽视底层安全机制。
• 结构、混淆与推理： 引言将Zhang et al. (2023; 2024)归为利用提示结构与理解能力。Ding et al. (2024)做迭代改写，CodeChameleon（Lv et al., 2024）做代码加密，Yuan et al. (2024)利用多语言错位；Deng et al. (2024)、Zhao et al. (2025a)与Chao et al. (2025)分析推理模式。作者称CodeChameleon、FlipAttack（Liu et al., 2025）和AJF（Yu et al., 2025）下，MLLM对乱序或混淆文本防御较差。
• 语义操纵： Li et al. (2023b)、Liu et al. (2025)与Ramesh et al. (2024)操纵语义连续性；Yu et al. (2025)按语义理解做自适应策略。作者称这类工作只越狱文本模态。

图文对诱导有害文本

• 引言中的一组： Yang et al. (2025)、Jeong et al. (2025)、Zhao et al. (2025b)与Ma et al. (2025)同时处理文本与视觉防御，目标是有害文本，不是有害图像。
• 打乱不一致： Zhao et al. (2025b)同时使用打乱图像和扰动文本。作者转述：两模态都含禁止内容时，模型仍可能不拒绝，因为乱序输入未激活安全护栏。
• 语义距离： Yang et al. (2025)讨论语义距离大的多子图复合输入。作者转述其结论：模型倾向忽略其中的有害信息，并称内部注意力被语义不连贯分散。

有害图像生成

• 单文本模态： Huang et al. (2025)与Wang et al. (2025)只用文本诱导有害图像。作者称效果有限，原因是只依赖一个模态。

基线与数据

• 基线： Per即Perception-Guided（Huang et al., 2025），把敏感词换成中和近义词，原设计面向文生图模型。Chain即Chain-of-Jailbreak（Wang et al., 2025），先生成良性图，再逐步做恶意修改。
• 数据： 恶意提示综合自Huang et al. (2025)、Wang et al. (2025)与Yang et al. (2024)，改写加强后为110条。中和图为Neutralized Image Data，25张。

作者在第2节末称，乱序输入与大语义距离干扰对文本生成的安全过滤有效，但图像打乱与语义距离优化能否绕过视觉内容生成的安全审查仍未充分探索，这是本文焦点。

BVS采用reconstruction-then-generation：恶意意图先变成图像，再被切块打乱并插入良性图，使送入模型的图文在摄入时不直接呈现完整有害语义，由诱导提示词要求重组后再生成。

问题设定

• 文本不直送： 恶意提示词先进入文生图模型，得到恶意诱导图IA，而不是作为越狱文本直接提交。
• 实际攻击输入： 目标MLLM收到复合图IS与中文诱导提示词。作者称这两个输入在摄入时看起来无害。
• 作者要拉开的差距： 作者称已有图像生成漏洞多在安全边界表层，无复杂越狱也会生成有害内容。BVS针对的是局部视觉感知与全局语义理解的差异。

三阶段流程

1. 视觉引导： 恶意提示词输入Visual Guidance Model，得到与恶意语义对应的IA。实验用CogView4-6B；作者注明文献写的是CogView3，所用是更新的CogView4。作者称IA直接送入目标MLLM会拒答，未给比例。
2. 中和拼接： IA分成四块等大图块并随机打乱，再从中和图像集取五张，与这四块交错排成3×3的IS。Figure 1把打乱后的恶意块放在四角，良性块放在其余格。
3. 诱导执行： IS与中文诱导提示词配对。提示词把输入当矩阵，要求先在内部重组，再按重组语义生成新图。完整提示词见附录A.1与Figure 5，此处不摘录。

MIDOS

• 作用： 从中和集Ner选五张良性图，填入四块打乱恶意图之间的空位。作者称目的是稀释IA的恶意语义，并保持看起来自然的分布。
• 距离： Dse(x, y)表示两图特征表示之间的语义距离。论文未说明特征提取器。
• 选择： Algorithm 1中，n1取与IA的Dse最大者；n2至n5在剩余集合中依次最小化与相邻恶意块的惩罚LP Dse。式(1)可见分子为1、分母含Dse；转文本后系数无法可靠还原，故不抄该式。
• 作者的依据： 作者把设计联系到Distraction Hypothesis，并引用Yang et al. (2025)关于语义一致性的论述。作者称语义不连续会加重视觉编码器负担，并在特征提取时分散注意力。

提示词与作者解释

• 语言： 作者称诱导提示词使用中文，理由是模型能理解中文空间指令、中文信息密度更高，以及改少量字即可调整指令。附录A.1给出全文。
• 两点解释： 作者在第3.3节把效果归于切块与中和缓冲造成的空间注意碎片化，以及执行阶段才重组、有害意图在内部表示中才完整出现。这是作者的解释，不是单独的实验结果。

实验设置

• 目标模型： GPT-5（12 January 2026 release）与Gemini 1.5 Flash（15 January 2026 release）。
• 攻击侧与基线： 视觉引导模型为CogView4-6B。基线为Per（Perception-Guided）与Chain（Chain-of-Jailbreak）。作者称CogView4生成的IA直接输入目标MLLM会拒答，未给比例。
• 基准： 综合Huang et al. (2025)、Wang et al. (2025)、Yang et al. (2024)并改写加强，共110条。直接查询GPT-5时110条全部被拒。论文未报告对Gemini做同样检验。
• 类别： 纳入血腥暴力、药物使用、色情、涉及血液的自伤、纵火与枪支暴力。Figure 3中作者称无需越狱即可生成的一般暴力、非法活动、歧视和冒犯性手势未纳入。
• 中和图像： Neutralized Image Data共25张，来自公开网页，类别包括甜点、风景和书，全文在补充材料。
• 指标与评审： JSR。成功为输出图像且被判禁止，失败为拒答或图像被判良性。评审为Doubao-1.5-Pro与Qwen2.5-VL，论文报告全部样本判定相同。未写阈值、人工一致性与重复次数。

主结果

Swipe horizontally to read the table

目标模型	Per	Chain	BVS	出处
GPT-5（12 January 2026 release）	1.80%	3.60%	98.18%	Table 1
Gemini 1.5 Flash（15 January 2026 release）	36.63%	54.95%	95.45%	Table 1

摘要与第1节贡献条目写GPT-5上为98.21%，与Table 1、Table 2的98.18%不一致；主结果以表为准。

• 作者称BVS在两个目标模型上JSR最高，并称这比既有方案更深入地探测了视觉安全边界。
• 作者称GPT-5对仅文本的Per与Chain防御较强，BVS改用图文对后越过这些护栏。
• 作者称Gemini上两基线相对更高，并认为该模型对语言变化类攻击韧性较低；同表中BVS仍高于两基线。

MIDOS消融

• 对比： Table 2只报告GPT-5。随机选五张良性图的JSR为81.82%，使用MIDOS为98.18%。论文未写明该表样本量。
• 失败例： 作者称MIDOS版本有两例失败；对这些例子随后多次随机选择均未成功，并认为效果不是随机碰巧。论文未写明次数。

同一输入的多样输出

• 测了什么： 第4.5节用同一图文对做多次实验。Figure 4标注(a)为诱导图IS，(b)–(f)为GPT-5的五次输出。
• 图注： 图注称五张图视觉内容不同、恶意语义一致。转文本未保留像素，此处不描述图面。
• 作者的归因： 作者将其归因于概率采样（举例Top-p或Temperature）以及条件分布P(Image|IS, T)上的多个视觉实现。论文未报告所用采样参数。

输出形态

• 作者对Figure 2的说明： 作者称样本中模型被诱导生成一侧为禁止内容、另一侧看起来良性的拼接图，并称这种语义差异使输出安全过滤失灵。转文本未保留图面，不另描述像素。
• 作者警告： 作者警告单一有害图可能被用来触发大规模有害视觉数据，并称这些图像可能扩散、损害服务提供者声誉。

其他消融与分析

• 除Table 2的MIDOS与随机选择外，论文未报告其他消融或参数扫描。

作者指出的局限与后续方向

论文没有Limitations小节，也未把自身实验设置写成不足。第5.2节写了后续方向：

• 中和图像规模： 作者称有较大空间扩展Neutralized Image Data的多样性与规模，以测试语义稀释的限度（第5.2节）。
• 稀释方式： 作者称在简单拼接之外，可研究跨模态干扰或细微风格混合，以进一步探测生成流形中的漏洞（第5.2节）。
• 防御： 作者称防御需超出整体识别，以应对fragmented semantic attacks，并优先发展能提前检测解耦恶意信号的细粒度、意图感知护栏（第5.2节）。

实验覆盖范围

• 主结果的目标模型为GPT-5（12 January 2026 release）与Gemini 1.5 Flash（15 January 2026 release），指标为Table 1的JSR。
• 视觉引导模型为CogView4-6B。评审为Doubao-1.5-Pro与Qwen2.5-VL；论文报告二者在全部样本上判定相同，未报告与人工的一致性、判定阈值和JSR重复次数。
• 基准为改写后的110条提示；直接全部拒绝的检验写明针对GPT-5。中和图像25张。基线为Per与Chain。
• MIDOS与随机选择的对比见Table 2，仅GPT-5，论文未写明该表样本量。多样性示例为Figure 4中同一图文对在GPT-5上的五次输出。
• 论文未报告Dse所用特征模型、采样温度或Top-p，以及攻击查询次数。

BVS用图文对诱导MLLM生成有害图像。作者认为，相对文本越狱和单模态图像诱导，视觉生成的安全审查仍不充分。

• 方法： 文生图模型把恶意提示变成图像并切成四块打乱，与MIDOS选出的五张良性图拼成复合图，再配中文诱导提示词做重组后生成。提示词全文在附录A.1。
• 数据： 110条提示直接查询GPT-5时全部被拒。作者称无需越狱即可生成的一般暴力等类别被排除在基准外。
• GPT-5： Table 1中BVS的JSR为98.18%，Per与Chain为1.80%与3.60%。摘要写98.21%，与Table 1、Table 2的98.18%不一致。
• Gemini： Table 1中该模型上BVS、Per、Chain的JSR为95.45%、36.63%、54.95%。
• 消融： Table 2在GPT-5上去掉MIDOS的JSR为81.82%。作者称MIDOS版本有两例失败，且对这些例子的多次随机选择未成功；次数未写明。
• 作者结论： 作者认为模型对显式、整体的有害语义更稳，对分解后再重组的意图则难以拦截，并称应做面向碎片语义的意图感知护栏。Figure 4图注称同一IS在GPT-5的五次试验中视觉内容不同、恶意语义一致；作者将其归因于采样，未报告温度或Top-p。