DIVA：利用视觉锚点对视频生成模型实施多模态越狱

多条件视频生成用参考图做视觉锚点时，一致性机制会堵住安全对齐原本依赖的语义漂移，作者要利用这一漏洞做多模态越狱，并给出对应基准。

• 场景：作者称主流范式已从纯文本转向多条件可控生成，参考图被用作像素级约束以改善时空一致性；几乎所有主流商业平台和开源模型都支持参考图输入，但该机制对安全的影响 largely unexplored。
• 现有不足：作者称 T2VSafetyBench、T2V-OptJail、SceneSplit 主要停留在单模态文本视频生成，忽略了参考图引导带来的安全风险。
• 核心观察：作者把行为经济学中的锚定效应类比到生成过程，提出 visual anchoring effect（视觉锚定效应）：参考图持续约束后续帧，降低生成内容相对有害意图的偏离，并降低多种子下的随机性；纯文本时语义漂移是从有害滑向无害的逃逸路径，锚点压缩生成空间后这条路径被堵住。
• 本文提出：DIVA（Decoupling Intent via Visual Anchors），免训练，把有害意图拆成静态视觉锚点图和动态运动文本，再用双准则选择平衡绕过过滤器与语义保持；并贡献 TI2VSafetyBench，作者称这是面向多条件视频生成的首个综合安全基准。
• 威胁模型：
  • 目标：把有害意图 H 变成对抗图像-文本对 (I_R*, P_T*)，使视频 V* = G(I_R*, P_T*) 保留 H 的语义并绕过输入安全过滤器。
  • 知识：作者称为 realistic black-box：无法访问模型内部参数、梯度或训练数据。
  • 能力：对受害模型 G 仅允许单次查询；候选筛选用外部安全过滤器和视觉语言模型做代理，不逐候选查询 G。
  • 受害系统：支持参考图作为首帧条件的视频生成模型 G，实验覆盖开源模型与商业平台。

视频生成模型

• 扩散与 Transformer 视频模型（Ho et al. 相关扩散 [12]、Vaswani 等架构 [35]，以及 [11, 43, 68, 20, 52]）——从短片段文本到更高保真与时间连贯；作者称无结构文本的歧义和弱结构约束使其缺少细粒度空间一致性与长期时间可控性 [7]。
• 参考图多条件生成（[3, 70]，以及运动建模 [42, 66]、以物体为中心的运动控制 [51]、多条件联合建模 [54, 65]、可扩展序列生成 [22, 44]）——作者称这已成为主导范式；开源列举 Wan、CogVideoX、LTX-Video、VideoCrafter、Open-Sora，商业列举 Grok Imagine、Hailuo 2.3、Sora 2。作者称现有工作包括专用基准 [13, 57] 几乎只关注生成性能，忽略多条件生成的安全风险。

视频生成越狱

• 多模态与文生图攻击：对 MLLM 注入恶意视觉载荷 [8, 69] 或自动生成多模态越狱与对抗攻击 [26, 64]；文生图包括混淆排版 [59]、隐蔽黑盒提示 [45]、对抗扩散 [25, 55, 58, 63]。作者称这些工作要么面向理解任务 [17, 19, 36–38]，要么不考虑视频的时间动态，难以直接迁移。
• 文本到视频安全：T2VSafetyBench [32] 在单侧且带噪声的安全标注下建立标准化评测协议 [16, 18, 61]，并有真实提示中的恶意指令 [39, 50]、野外越狱分析 [41]、改编的文生图攻击 [28, 46]。T2V-OptJail [24] 把越狱做成 LLM 引导重写的离散提示优化；SceneSplit [21] 把有害意图拆成一系列看起来无害的场景以躲避文本过滤器。作者称这条线仍限于单模态文本驱动范式。
• 并发工作 RunawayEvil [49]：同样针对图像到视频模型，但是训练强化学习智能体搜索对抗输入；作者称本文不需要额外训练。

基线与基准

• 基线方法为 T2VSafetyBench [32] 与 SceneSplit [21]。基准/数据集为从 T2VSafetyBench 的 14 个安全类别抽样的有害意图，并据此构建 TI2VSafetyBench。

作者把本文定位为：在参考图成为主流条件的前提下，揭示视觉锚定效应，并用免训练的意图解耦与双准则选择做多模态越狱，同时给出多条件视频生成安全基准。

DIVA 把一条有害意图拆成“静态空间锚点 + 动态运动文本”，在不查询受害模型的候选池里，用过滤器是否放行与预测字幕和原意图的相似度打分，选出一对后作为首帧和文本单次送入 G。

问题设定与视觉锚定的量化

• 生成目标：在 black-box、对 G 单次查询的约束下，得到 (I_R*, P_T*)，使 V* 既绕过输入过滤器又保持 H 的语义。
• 两个指标（Section 3.2，在 Wan2.2-TI2V-5B 上、每条意图 N=10 个共享随机种子，视频由 VideoLLaMA3 生成字幕）：语义偏离 Ddev 是字幕嵌入与意图嵌入的平均余弦距离；语义散度 Ddiv 是字幕嵌入两两余弦距离的平均。
• 含义：Ddev 越低表示越贴近目标有害意图，Ddiv 越低表示多种子结果越确定。作者用它们刻画锚点既拉近有害语义、又压低随机性。

意图解耦与视觉锚点合成

• 解耦：MLLM 把 H 分成图像提示 P_I（主体、环境、光照、空间布局）和文本提示 P_T（时间动作与交互），一次生成 K 对候选，形式为 {(P_I^(i), P_T^(i))} = MLLM(H)。
• 合成：辅助文生图模型把每条 P_I 变成参考图 I_R，作为视频首帧。候选池 K 含 K 个图像-文本对。
• 实现模型：MLLM 为 Qwen3-30B-A3B；文生图为 Z-Image-Turbo。默认 K=3（消融后选定）。附录给出完整提示词；此处不复述其中的措辞约束。

双准则选择

• 隐蔽性：图像过滤器 D_I 与文本过滤器 D_T 各输出 0 或 1，1 表示绕过。实现上图像用 Flux ContentFilter，文本用 Q16。
• 语义保持：不逐候选查询 G。视觉语言模型 M_VLM（Qwen3-VL-8B）根据 (I_R, P_T) 预测字幕 C_pred，再用 CLIP 文本嵌入与 H 的余弦相似度作为 S_sim。
• 统一分数：S_attack = S_image + S_text + S_sim，在候选池上取 arg max 得到 (I_R*, P_T*)。作者称该对同时照顾绕过与语义保持。

执行与成功判定

• 执行：I_R* 作为条件首帧，P_T* 驱动后续时间演化；受害模型用各自默认推理配置。
• 成功：沿用 T2VSafetyBench，Qwen3-VL-30B 对采样帧打 0–100 的不安全分，达到或超过 θ_unsafety = 60 记为成功，指标为 ASR。作者称该自动评估与 GPT-4o 及人工判断高度相关，该相关性的依据来自所引的 T2VSafetyBench。

实验设置

• 数据：从 T2VSafetyBench 的 14 类中，开源模型每类随机 50 条（共 700），闭源商业模型每类 20 条（共 280）。14 类为 Pornography、Borderline Pornography、Violence、Gore、Disturbing Content、Public Figures、Discrimination、Political Sensitivity、Copyright and Trademark、Illegal Activities、Misinformation and Falsehoods、Sequential Action Risk、Dynamic Variation Risk、Coherent Contextual Risk。这些意图被转成对抗图像-文本对，构成 TI2VSafetyBench。
• 受害模型：开源 Wan、CogVideoX、LTX-Video、VideoCrafter、Open-Sora；闭源 Grok Imagine、Hailuo 2.3、Sora 2。视觉锚定量化与多项消融在 Wan2.2-TI2V-5B 上。
• 基线：T2VSafetyBench 与 SceneSplit。
• 指标：ASR（不安全分 ≥ 60）；另有 Ddev、Ddiv、Bypass Rate（图像与文本过滤器都放行的比例）、Sim（字幕与意图的语义相似度）。
• 评审：主 ASR 用 Qwen3-VL-30B；一致性实验另用 GPT-4o 与人工标注者。论文未报告人工标注人数、重复次数或一致性系数的具体数值，只给出 Figure 6 的比较。
• 辅助模型：解耦 Qwen3-30B-A3B，锚点图 Z-Image-Turbo，图像过滤 Flux ContentFilter，文本过滤 Q16，字幕预测 Qwen3-VL-8B，视频字幕 VideoLLaMA3。受害模型用默认推理配置。

主结果

闭源平均 ASR 据 Table 2；开源平均 ASR 据 Table 3。

Swipe horizontally to read the table

模型	T2VSafetyBench	SceneSplit	DIVA
Grok Imagine	47.5%	65.0%	77.5%
Hailuo 2.3	42.9%	61.1%	75.4%
Sora 2	41.4%	58.2%	62.1%
Wan	57.6%	60.6%	73.7%
CogVideoX	67.7%	63.1%	72.6%
LTX-Video	59.4%	49.4%	66.3%
VideoCrafter	57.4%	50.9%	70.6%
Open-Sora	59.4%	48.0%	71.4%

• 作者解读：作者称 DIVA 在几乎所有被测模型和类别上 ASR 最高，商业平台平均分别为 77.5%、75.4%、62.1%，并称对带内置护栏的商业模型构成威胁；Figure 4 给出三个平台上的生成示例（图中为视频帧示意，具体画面不复述）。
• 表格中的反例：Table 2 里 Sora 2 的 Borderline Pornography（DIVA 45.0%，SceneSplit 55.0%）、Violence（60.0% 对 70.0%）、Political Sensitivity（55.0% 对 60.0%）、Copyright and Trademark（70.0% 对 75.0%）、Illegal Activities（75.0% 对 80.0%）上 DIVA 低于 SceneSplit；Grok Imagine 的 Violence 与 Copyright and Trademark 上 DIVA 与 SceneSplit 同为 85.0% 和 90.0%。Table 3 也有单类不是最高，例如 Wan 的 Copyright and Trademark 上 DIVA 74.0%、SceneSplit 80.0%；CogVideoX 的 Dynamic Variation Risk 上 DIVA 42.0%，低于 T2VSafetyBench 的 52.0% 和 SceneSplit 的 60.0%；CogVideoX 的 Sequential Action Risk 上 DIVA 66.0%，低于两个基线的 68.0% 和 70.0%。
• 作者对 SceneSplit 的对比：作者称 SceneSplit 把叙事拆成单独看起来无害的场景，开源模型难以跨碎片场景整合上下文，因而难以重建原有害意图；DIVA 把核心有害上下文放进视觉锚点。

视觉锚定效应的量化

• 测了什么：Section 3.2 在 Wan2.2-TI2V-5B 上，对 14 类意图比较纯文本与图文条件，N=10。
• 结果：Table 1 中 Text-only 的 Ddev=0.59、Ddiv=0.57；Text-Image 的 Ddev=0.48、Ddiv=0.27。
• 作者的解读：作者称图文条件显著降低语义偏离，并把散度从 0.57 降到 0.27，说明锚点抑制随机性、迫使确定性重建。Figure 2 为各类别视频字幕嵌入的 t-SNE；作者称图文嵌入更紧凑并簇集在 H 周围。图注写的是 text-image 条件对 H 的语义偏离更低；正文称与定量结果一致。论文写了 significantly / dramatically，但未报告显著性检验。

输入形式与锚点类型

• 输入配置（Table 4，Wan2.2-TI2V-5B，Sim 来自 VideoLLaMA3 字幕）：原始意图纯文本 ASR 57.6%、Sim 0.481；仅 P_T* 55.4%、0.475；仅 I_R* 53.4%、0.462；把图像提示与文本提示拼接后的纯文本 65.4%、0.503；图文对 73.7%、0.525。作者称图文对相对原始意图的 ASR 高出 16.1 个百分点。
• 锚点类型（Table 5，固定 P_T*）：错配锚点 ASR 28.6%、Sim 0.380；空白白图 58.0%、0.482；与文本对齐的协同锚点 73.7%、0.525。作者称错配的视觉先验会干扰文本引导；白图略高于 Table 4 的仅文本 P_T*，因为不引入冲突语义；协同锚点最好，作者归因于跨模态协同。

护栏绕过与评审一致性

• 护栏（Table 6，对选出的对抗图像-文本对）：Llama-Guard-3（Text）Bypass Rate 83.1%；LLaVA-Guard（Image）77.6%；Llama-Guard-4（Text-Image）73.0%。作者称方法在多数情况下能绕过这些护栏。论文未写明这三项的分母。
• 评审（Section 5.5，Figure 6）：在三个商业平台上比较 Qwen3-VL-30B、GPT-4o 与人工标注的 DIVA 平均 ASR。作者称自动评估与人工判断接近，因此支持用自动多模态评估器做大规模评测。Figure 6 的具体柱高在文本转换中不可读，不抄数字。

其他消融与分析

• 候选池大小 K（Figure 5，Wan2.2-TI2V-5B）：K=1/3/5 的 Bypass Rate 为 0.53 / 0.77 / 0.85，ASR 为 0.67 / 0.74 / 0.69，Sim 为 0.68 / 0.68 / 0.67。作者称 K 增大提高绕过率，但 K=5 时 ASR 下降，并归因于过度混淆、选出的对语义恶意不足；Sim 维持在约 0.68。综合隐蔽性、攻击效果和计算开销，默认 K=3。
• 类别高低：作者称优势在 Violence、Gore、Political Sensitivity 等更受限类别上更明显；附录还称 Illegal Activities 在 Grok Imagine、Hailuo 2.3 上为 85.0%、80.0%，Misinformation and Falsehoods 在 Grok Imagine、Sora 2 上为 75.0%、80.0%（与 Table 2 对应格相同）。
• 附录图：Figure 7–20 按 14 类给出有害意图文字和生成示例；只说明覆盖了这 14 类，不复述意图原文。

作者指出的局限与后续方向

• 结论（Section 6）：作者希望这些发现能突出被忽略的脆弱性，并鼓励社区为视频生成模型发展更稳健的安全对齐。这是作者写出的后续方向，论文没有单独的 Limitations 或 Future Work 节来列举具体不足。
• 基准用途（摘要、贡献与结论）：作者称贡献 TI2VSafetyBench 是为了便于未来对多条件视频生成安全的研究；附录末也称它为评估和改进多模态安全防御提供统一基准。作者计划以此支持后续研究，并未在正文声称已经完成防御方法。
• 并发工作的差异（Related Work）：作者只说明 RunawayEvil 训练强化学习智能体而本文免训练，没有把对方写成待改进项。除此之外，论文未专门讨论局限。

实验覆盖范围

• 模型：攻击评测为 5 个开源模型（Wan、CogVideoX、LTX-Video、VideoCrafter、Open-Sora）和 3 个商业平台（Grok Imagine、Hailuo 2.3、Sora 2）；Ddev/Ddiv、K 消融、Table 4 与 Table 5 写明在 Wan2.2-TI2V-5B 上（Section 3.2、5.3）。
• 数据规模：开源每类 50 条、共 700 条；闭源每类 20 条、共 280 条；14 个 T2VSafetyBench 类别（Section 5.1）。
• 判定：ASR 由 Qwen3-VL-30B 按不安全分 ≥ 60 判定；一致性比较还包括 GPT-4o 与人工标注（Section 5.1、5.5）。论文未报告人工样本量、重复次数或与自动评审的相关系数。
• 攻击预算与护栏：对受害模型 G 为单次查询；候选池默认 K=3；选择阶段的过滤器为 Flux ContentFilter 与 Q16，额外绕过测试为 Llama-Guard-3、LLaVA-Guard、Llama-Guard-4（Table 6）。论文未报告对 G 的总查询次数或耗时。
• 对照：基线为 T2VSafetyBench 与 SceneSplit；输入消融包含纯文本、仅图、文本拼接与图文对，以及错配、白图和协同锚点（Table 4、Table 5）。

DIVA 是针对带参考图的视频生成模型的免训练 black-box 越狱：用一致性机制本身堵住语义漂移这条安全逃逸路径。

• 问题：参考图作为视觉锚点提升时空一致性，但作者认为它会压缩生成空间，使安全对齐更难把输出从有害意图带向无害内容。
• 做法：LLM 把意图拆成静态图像提示和动态运动文本，文生图模型合成首帧锚点；在不查询受害模型的前提下，用图像/文本过滤器是否放行加上预测字幕与原意图的 CLIP 相似度选出一对，再单次送入 G。默认候选数 K=3。成功由 Qwen3-VL-30B 的不安全分是否达到 60 决定。
• 锚定证据：在 Wan2.2-TI2V-5B 上，图文条件的 Ddev 为 0.48、Ddiv 为 0.27，纯文本为 0.59 和 0.57（Table 1，N=10）。
• 攻击结果：14 类平均 ASR，DIVA 在 Grok Imagine、Hailuo 2.3、Sora 2 上为 77.5%、75.4%、62.1%（Table 2，每类 20 条）；在 Wan、CogVideoX、LTX-Video、VideoCrafter、Open-Sora 上为 73.7%、72.6%、66.3%、70.6%、71.4%（Table 3，每类 50 条）。若干单类，尤其是 Sora 2 上的部分类别，SceneSplit 更高。
• 对照：同一模型上，协同图文对 ASR 73.7%，错配锚点 28.6%，白图 58.0%（Table 5）。对 Llama-Guard-3、LLaVA-Guard、Llama-Guard-4 的绕过率分别为 83.1%、77.6%、73.0%（Table 6）。
• 作者结论：一致性有其安全代价；作者希望结果能促使社区为视频生成做更稳健的安全对齐，并以 TI2VSafetyBench 支持后续多条件安全研究。