跳到正文
10月10日 · 周六

全部论文

找到 19 篇
筛选6

攻击类型

越狱12检测规避6

攻击技术

自动化搜索7编码与混淆3跨模态载荷11针对防御3

影响

有害内容12输出被操纵6

系统形态

模型与 API19coding agent0网页与电脑操作0

攻击者权限

黑盒18灰盒1白盒9

攻击面/入口

用户输入75图像与音视频19训练数据5权重与梯度8推理服务与硬件3

层

提示层14模型层3

系统组件

护栏与评审6视觉11图像生成4多模态17
同一类里任选其一，不同类之间同时满足；数字是加上其他已选条件后的篇数。另有 242 篇还没打标签，不在筛选结果里。
系统形态：模型与 API系统形态：coding agent系统形态：网页与电脑操作攻击者权限：黑盒攻击者权限：灰盒攻击面/入口：图像与音视频清除全部

另有 242 篇论文还没打上分类标签，暂不在筛选结果里。

  1. 防御arXiv 2610.09703

    研究揭示 Token-Pruning 对 VLM 安全性的影响并提出 SAP 缓解机制

    提出 Safety-Aware Pruning，缓解视觉 token 剪枝放大的多模态越狱

    arXiv
    2610.09703
    发表
    层
    模型层
    场景
    模型与 API
    攻击者
    黑盒
    被测模型
    LLaVA-1.5-7B
    摘要剪枝去掉背景 token 后注意力塌向恶意前景。

    这篇工作评估视觉 token 剪枝如何改变 VLM 在多模态越狱下的行为，并给出推理时防御 SAP。

    深度解读完整解读
  2. 攻击arXiv 2610.07323

    ATLAS：用自适应信任域与主动学习搜索潜在对抗样本集

    提出 ATLAS 用水平集估计恢复黑盒分类器的对抗输入集合

    arXiv
    2610.07323
    发表
    层
    提示层
    场景
    模型与 API
    攻击者
    黑盒
    被测模型
    LeNet5、ResNet50 (CIFAR-10 standard)、ResNet50 (ImageNet standard) 等 5 个
    摘要ATLAS 用主动水平集估计构造黑盒对抗集，作者称其集合比单点攻击更具代表性。

    ATLAS 是一个查询式 black-box 框架，用来构造诱发失败的对抗输入集合，供鲁棒性审计使用。

    深度解读完整解读
  4. 防御arXiv 2609.23596

    StyleAT：用对抗训练防御人脸识别的语义攻击

    提出 BoundStyle 与 StyleAT，对抗训练防御人脸识别语义攻击

    arXiv
    2609.23596
    发表
    层
    训练与数据层
    场景
    模型与 API
    攻击者
    白盒、黑盒
    被测模型
    MobileFaceNet (MobileFace)、ResNet (ResNet-152, IR-SE)、RepVGG 等 7 个
    摘要BoundStyle 用 StyleGAN3 有界潜编辑快速攻击 FR。

    StyleAT 用可调的 StyleGAN3 潜空间攻击 BoundStyle 对人脸识别做对抗训练，以抵抗一般语义编辑，并在评测中面对训练时未见的 DiffPrivate。

    深度解读完整解读
  8. 攻击arXiv 2609.07216

    DIVA：利用视觉锚点对视频生成模型实施多模态越狱

    提出 DIVA，将有害意图拆成视觉锚点与运动文本以越狱视频生成模型

    arXiv
    2609.07216
    发表
    层
    提示层
    场景
    模型与 API
    攻击者
    黑盒
    被测模型
    Wan、CogVideoX、LTX-Video 等 9 个
    摘要DIVA 用视觉锚点抑制语义漂移做视频越狱，并给出多条件安全基准 TI2VSafetyBench。

    DIVA 是针对带参考图的视频生成模型的免训练 black-box 越狱：用一致性机制本身堵住语义漂移这条安全逃逸路径。。

    深度解读完整解读
  11. 防御arXiv 2608.12876

    SPARED：用对抗编辑数据训练基于推理的 AI 生成图像检测器

    提出 SPARED，用对抗编辑数据训练基于推理的 AI 生成图像检测器

    arXiv
    2608.12876
    发表
    层
    训练与数据层
    场景
    模型与 API
    攻击者
    黑盒、白盒
    被测模型
    Qwen3.5-9B
    摘要SPARED 用防捷径的编辑对抗环训练 9B 推理检测器。

    SPARED 是一套用于可解释 AI 生成图像检测的攻防强化学习流程，报告模型是 Qwen3.5-9B 上的第三轮防御器。

    深度解读完整解读
  12. 攻击arXiv 2607.21619

    ASO：用GRPO优化视觉风格放大MLLM越狱攻击

    提出 ASO，用 GRPO 优化视觉风格以放大越狱攻击

    arXiv
    2607.21619
    发表
    层
    提示层
    场景
    模型与 API
    攻击者
    灰盒
    被测模型
    GPT-4.1-mini、Gemini-2.5-Flash、Qwen3-VL 等 6 个

    摘要论文揭示了 MLLM 的风格敏感性脆弱面，提出 ASO 框架利用强化学习优化风格触发器，有效放大了现有视觉越狱效果。

    深度解读完整解读
  13. 攻击arXiv 2605.21541

    研究者提出 FRA-Attack 频域正则化方法，提升对闭源 MLLM 的迁移攻击效果

    提出 FRA-Attack，用频域对齐与梯度正则做可迁移定向视觉攻击

    arXiv
    2605.21541
    发表
    层
    提示层
    场景
    模型与 API
    攻击者
    黑盒
    被测模型
    GPT-5.2、GPT-5.4、Claude-Opus-4.6 等 15 个
    摘要FRA-Attack 以频域对齐和梯度低通做可迁移定向攻击，闭源面板上作者称整体更强，Gemma 除外。

    FRA-Attack 是面向闭源 MLLM 的迁移式定向图像攻击。作者要解决的是：空间域局部对齐重复全局低频，代理梯度的高频成分又把更新拉向代理自身。

    深度解读完整解读
  17. 攻击arXiv 2603.20198

    研究者提出 MM-Plan 多模态越狱框架

    提出 MM-Plan 多模态越狱框架，自动规划多轮图像编辑以越狱视觉独占目标

    arXiv
    2603.20198
    发表
    层
    提示层
    场景
    模型与 API
    攻击者
    黑盒
    被测模型
    Llama-3.2-11B、InternVL3-8B、Qwen3-VL-8B 等 8 个
    摘要作者称全局规划能攻破对单轮攻击更稳的前沿 MLLM。

    MM-Plan 是面向 Visual Exclusivity 的 black-box 多模态红队方法，并配有人工基准 VE-Safety。

    深度解读完整解读
  19. 攻击arXiv 2503.06223

    RedDiffuser：用强化扩散生成视觉输入审计 VLM 多模态安全失效

    提出 RedDiff，用强化扩散生成图像审计 VLM 情境安全失效

    arXiv
    2503.06223
    发表
    层
    提示层
    场景
    模型与 API
    攻击者
    黑盒
    被测模型
    LLaVA-1.5-7B、Gemini-1.5-flash、LLaMA-3.2-11B-Vision-Instruct
    摘要用强化扩散生成视觉上下文，审计有害文本情境下的 VLM 安全失效。

    RedDiffuser 是黑盒审计框架：有害内容不是显式攻击指令，而是固定的部分有毒文本，再配上扩散模型生成的图像，看 VLM 的开放续写会不会变得不安全。

    深度解读完整解读
已经到底了