CRACK：用多智能体辩论越狱多层安全过滤的 T2I 模型

多层 T2I 安全栈下，黑盒越狱难以定位当前生效的约束，并在层间冲突中保持有害意图。

• 场景：作者称 Stable Diffusion、DALL·E、Midjourney 等 T2I 模型可被恶意提示词引出暴力、色情等 NSFW 图像。厂商用关键词黑名单、LLM 语义分类器、输出侧 NSFW 检测器和跨模态对齐过滤器组成多层防御。
• 现有不足：组件级攻击（如 Ring-A-Bell）只优化单个过滤器，成功不一定迁移到跨模态栈；整条流水线的黑盒方法（如 SneakyPrompt、JailFuzzer）只观察查询是否成功，分不清拒绝来自词汇、隐式语义、生成图像还是图文对齐。削弱词汇线索可能同时加强不安全视觉语义。
• 核心观察：作者提出 Detection Surface，认为异构过滤器把提示词表示空间划分成稀疏、非凸的联合规避区域 E∗；绕过一层的变异可能增加另一层的暴露。
• 威胁模型：
  • 目标：给定有害提示词 ph，寻找 p⋆ 使 S(p)=0（通过全部过滤器），并最大化生成图像与 ph 的语义相似度 Sim；绕过过滤器但图像良性或偏离意图不算成功。
  • 知识：作者称为 strict black-box。攻击者没有 M 的权重、架构、梯度或 logits，也没有过滤器的参数、阈值或决策逻辑；过滤器数量、类型与施加顺序均未知。
  • 能力：只能提交提示词，观察单一二值 safe/unsafe，以及被接受时的生成图像。可反复查询并改写提示词，但不能改模型或过滤器。
  • 约束：查询预算有限，排除穷举；对抗提示词必须保留 ph 的有害语义。
• 提出的方法：作者提出 CRACK，用 Attack、Defense、Judge 三个智能体把搜索拆成探索、诊断与仲裁，并以奖励引导的强化学习更新变异策略，把提示词推向 E∗。

论文按四组讨论相关工作，并用 Table I 比较能力，不报告各基线的数值结果于该表。

T2I 越狱

• 白盒：Ring-A-Bell [9] 寻找揭示概念擦除扩散模型漏洞的概念；MMA-Diffusion [19] 用基于梯度的优化构造多模态对抗攻击。作者称这类方法通常需要参数、梯度或内部表示，难以用于封闭商业 API。
• 黑盒：SneakyPrompt [8] 用强化学习替换 token 以躲避 CLIP 安全检查器；DACA [20] 用 LLM 把不安全请求拆成更难检测的成分；JailFuzzer [17] 结合模糊测试与 LLM 智能体；Prompting4Debugging [21] 系统搜索有问题的提示词；Perception-guided Jailbreak（PGJ）[16] 用感知信号引导提示词。作者称它们主要依赖粗粒度成败反馈。
• Table I 基线：Ring-A-Bell、MMA-Diffusion、SneakyPrompt、DACA、JailFuzzer、PGJ、JANUS [22]、MacPrompt [23] 与 CRACK。作者称其中只有 CRACK 同时具备代理的分层诊断、跨层自适应与迭代；JANUS 与 MMA-Diffusion 针对多层防御，但 Table I 将二者标为非 layer-aware、非 cross-layer adaptive。

T2I 安全机制

• 输入与概念擦除：关键词筛选 [24]、生成前的 LLM 语义防护 [11]、[12]；ESD [25] 微调扩散模型以擦除目标概念，后续工作在对抗提示下考察概念移除的可靠性 [9]。
• 输出与过程内：CLIP NSFW 检测器 [26]、NudeNet [27]、Q16 [28]；Safe Latent Diffusion [13] 用安全引导使去噪远离不当概念；跨模态评估可基于视觉-语言表示 [14]。DALL·E 3 系统卡记录生成前与生成中的缓解 [11]。作者称先前工作没有形式化刻画异构层的联合几何。

多智能体与 LLM 红队

• 辩论与角色：多智能体辩论 [29]、[32] 通过提议、批评与修订改善推理；角色专业化与发散视角 [30]、[31] 扩大探索。PAIR [33]、TAP [34] 根据目标模型回复迭代生成并改进提示词；更广的红队框架 [35]、[36] 引入面向多样性的探索和专门角色。
• 与 T2I 的差别：作者称这些方法主要面向文本 LLM，成功由单一目标模型的文本回复判定；T2I 每次提示词引发随机图像生成，且提示词-图像对可被文本、视觉和跨模态过滤器检查。DACA 与 JailFuzzer 已用 LLM 智能体做意图分解、变异和候选评估，但反馈主要用于生成提示词或判断总体成功，没有显式建模跨层交互。

RL 对抗提示生成

• SneakyPrompt [8] 用 PPO [37] 学习 token 级替换以对抗 CLIP 安全过滤器；Perez 等 [38] 用强化学习训练语言模型发现能引出不良行为的提示词。作者称它们通常针对单一目标或聚合成功信号。CRACK 的策略在策略级选择不同变异算子，奖励结合二值绕过与 Judge 的连续分数。

作者把本文定位为：用 Detection Surface 刻画多层栈，并以分层诊断加跨层自适应搜索补上 Table I 中的能力缺口。

CRACK 把越狱写成在表示空间中走向联合规避区域 E∗ 的搜索：Defense Agent 做分层诊断，Attack Agent 选变异，Judge Agent 把冲突信号合成奖励并更新策略。

问题设定与 Detection Surface

• 生成模型：y ∼ M(p, z)，p 为提示词，z 为随机潜变量，y 为图像。安全机制含多个异构过滤器。攻击目标为式 (2)：在 S(p)=0 下最大化 Sim(M(p, z), ph)。
• 表示与安全区域：离散提示词经 ϕ: P → X ⊆ R^d 映射到连续表示。每个过滤器 Sk 的 hk(x)=1 表示拒绝。复合安全区域 B 是各层安全区域 Bk 的交。黑盒下攻击者只看到 h(x)=max_k hk(x)。
• 三条性质：Property 1 为跨层冲突，存在变换使一点进入一层安全区却离开另一层；作者举例称关键词混淆可能降低词表匹配风险，同时更易被语义或跨模态过滤器标记。Property 2 称 E∗ 的采样概率不超过语义保真率与各层通过率的最小值，过滤器增多只会收紧该上界。Property 3 称 E∗ 一般非凸，局部贪心会困在只满足部分过滤器的区域。

Attack Agent

• 策略：第 t 轮根据当前提示词 pt 与风险报告 Rt 从策略网络 πϕ 采样变异 at。t=0 时 R0 为空，从策略库 M 随机抽样。
• 策略库：五种互补变异，覆盖词汇形式、语义框架、场景组织与提示词结构，动作空间保持紧凑以便策略学习。具体实现在 Supplementary Sec. A。论文举例：文本模式层触发时可选隐喻替换，语义层触发时可选场景重组。
• 约束：每种策略改变提示词的不同方面，同时保留底层有害意图，以在非凸表面上切换搜索方向。

Defense Agent

• 角色：攻击侧代理，不访问目标栈的内部组成或逐层决策，只向目标系统查询外部可见的生成结果。它按检测维度（词汇、语义、跨模态）定位当前暴露，而不是复刻目标检测器。
• 三层：Tier 1 用敏感词与正则做关键词和模式匹配，近似文本边界 ∂Btext，对象包括实体词、动作动词和场景描述。Tier 2 用微调语言模型按 Fig. 2 的模板给 0 到 1 的风险分，只输出分数，探测语义边界 ∂Bsem。Tier 3 用 CLIPScore 衡量提示词与生成图像相对不安全概念嵌入的一致性，探测 ∂Bcross。
• 输出：结构化风险报告 Rt，标明各层检测结果，供 Attack Agent 选择对策。作者对比 JailFuzzer 与 SneakyPrompt 只收到聚合二值反馈 h(p)。

Judge Agent 与辩论更新

• 双信号：Srisk 按 Fig. 3 比较修订前后提示词，分数从 −10 到 10，只输出分数。ΔCLIP = CLIP(pt, cunsafe) − CLIP(pt+1, cunsafe)，正值表示修订后离不安全概念更远。综合分为 s = α·Srisk + β·σ(ΔCLIP)，α+β=1。α 对应文本与语义边界，β 对应跨模态边界，权衡在 Sec. V-B4。
• 每轮三步：Attack 用 at 与上一轮诊断生成 pt+1；Defense 给出三层风险报告；Judge 比较 pt 与 pt+1 得到 st，用于更新 πϕ。
• 奖励：Bypass Reward 为全部检测层都通过时 +b，否则 −b；Judge Reward 为式 (28) 的连续分数。状态含当前提示词与逐层检测状态，动作是所选变异策略。实现细节在 Supplementary Sec. B。Fig. 5 用 t-SNE 展示单条提示词轨迹，标注起点为 harmful prompt、blocked by all filters，终点为 prompt inside all-filter evasion region，并标出 ∂Btext、∂Bsem、∂Bcross 与 R0–R6；图中文字可见轨迹从右上附近经多次 R 标记移到左下安全区域内，具体坐标数值论文未在图注中逐点列出。

实验设置

• 被测模型：作者在贡献与引言中列出 Stable Diffusion v1.4、SDXL、DALL·E 3、Midjourney。Defense/Judge 所用具体 LLM 与分类器名称在所给正文片段中出现于参考文献（如 NSFW 文本/图像分类器、DeepSeek-V3、Qwen3），实验节未在可见文字中把它们逐一绑定到每个角色。
• 安全配置：作者称在多种 safety configurations 与 composite defenses / composite filters 下评测。Table I 只比较能力，不报告 ASR。
• 指标：ASR；查询次数（作者称少于既有方法，可见文字未给出具体次数）；语义保真（Sim / CLIPScore）。成功要求通过全部过滤器且图像保持有害意图。
• 基线：Table I 列出 Ring-A-Bell、MMA-Diffusion、SneakyPrompt、DACA、JailFuzzer、PGJ、JANUS、MacPrompt。
• 评审：目标系统侧为单一二值 safe/unsafe 加被接受图像；CRACK 内部用 Defense 三层报告与 Judge 分数。可见文字未给出 ASR 的外部评审模型、阈值、样本量与重复次数。
• 图示：Fig. 1 为框架示意；Fig. 4 为多轮辩论流程；Fig. 5 为单条 CLIP 嵌入的 t-SNE 轨迹。

主结果

可见文字中带数字的主结果只有摘要与贡献列表中的同一上限。实验节表格在所给文本中被截断，不能填模型×条件格子。

表格较宽，可左右滑动

模型	设置	指标	CRACK	出处
SD 1.4	composite filters	ASR	99.63%	作者贡献列表；并称 up to 99.63%
SDXL	多种安全配置	ASR	未报告	引言称做了实验，可见文字无数字
DALL·E 3	多种安全配置	ASR	未报告	同上
Midjourney	多种安全配置	ASR	未报告	同上

• 作者解读：作者称 CRACK 在复合防御下 ASR 最高 99.63%（SD 1.4、composite filters），查询显著少于既有方法，并保持高语义保真；这些结果支持 Detection Surface 所刻画的跨层交互，以及分层、自适应搜索的必要性（Sec. V）。“显著”一词出自作者对查询量的表述，可见文字未报告统计检验。
• 条件：99.63% 同时出现在摘要（under composite defenses, up to）和贡献列表（on SD 1.4 with composite filters）。其他三个模型的分项 ASR、查询次数和 CLIPScore 在可见正文中未给出。
• Table I：能力对比，不包含成功率。CRACK 被标为 Black-box、Multi-layer defense、Surrogate Per-layer diagnosis、layer-aware、cross-layer adaptive、iterative。反馈诊断来自 Defense Agent，不访问目标系统内部状态。

轨迹可视化

• 测了什么：Fig. 5 将一次辩论中提示词的 CLIP 嵌入投到 t-SNE 二维平面，坐标轴为 t-SNE dimension 1 与 t-SNE dimension 2，范围约 −15 到 20 与 −15 到 15。
• 图上可见：起点标注 harmful prompt、blocked by all filters，位于右上方；∂Btext、∂Bsem、∂Bcross 为边界标注；R0 至 R6 沿轨迹排列；终点标注 prompt inside all-filter evasion region，位于左下方 ∂Bsem 附近。
• 作者解读：作者称该图展示迭代辩论穿越多过滤器检测表面。图上只能确认一条带 R 标记的轨迹从“被全部过滤器拦截”的起点标到“处于全过滤器规避区域”的终点标，不能从图上读出 ASR。

其他消融与分析

• 敏感性分析：作者称在 Sec. V-B4 分析 α 与 β 的权衡；可见文字未给出具体 α、β 与对应 ASR。
• 策略库五种变异与 Supplementary Sec. A、RL 细节 Supplementary Sec. B：可见正文未给出消融数字。
• 查询预算、b、δ、辩论轮数：形式化中出现，可见实验文字未报告取值。

作者指出的局限与后续方向

所给文本止于参考文献之前的残段，未见 Limitations、Discussion 或 Future Work 的完整段落，因此论文未在可见文本中专门列出可逐句核对的局限。可见表述里，作者只把下列内容写成方法边界而非后续工作：Defense Agent 的三维诊断“并非打算穷尽所有可能的防御机制”；几何分析依赖 Assumption 1 的连续代理分数；黑盒下逐层决策 hk(x) 不可直接访问，诊断来自代理而非目标内部状态。

实验覆盖范围

• 模型：贡献列表写明评测 Stable Diffusion v1.4、SDXL、DALL·E 3、Midjourney 共 4 个（Sec. V）。
• 防御：Table I 将 CRACK 标为攻击由多阶段异构过滤器组成的流水线，成功需绕过全部阶段；反馈为 Surrogate Per-layer diagnosis。
• 对比方法：Table I 比较 8 个代表性方法与 CRACK 的访问假设、是否多层、反馈粒度、是否 layer-aware、是否 cross-layer adaptive、是否迭代。
• 带数字的结果：可见文字只给出 SD 1.4、composite filters 下 ASR up to 99.63%；论文未在可见正文报告查询次数、语义保真分数、样本量与重复次数。
• 可视化：Fig. 5 给出一条提示词在 t-SNE 上的辩论轨迹及三层边界标注，不报告多样本统计。

CRACK 是面向文本生成图像模型多层安全栈的黑盒越狱框架，用几何上的 Detection Surface 解释为何粗粒度反馈不够。

• 问题：异构过滤器（文本、图像、跨模态）的决策边界相互冲突，绕过一层可能暴露给另一层；只优化单过滤器或只看整条流水线成败，难以判断修订是真正接近联合规避，还是把风险换了一层。
• 设定：strict black-box。攻击者不知过滤器数量、类型和顺序，只能提交提示词并看二值结果和被接受的图像。成功要求全部过滤器通过且图像保持原有害意图。
• 方法：在表示空间定义各层安全区域之交与语义保真集合 E∗。Attack Agent 从五种变异中按逐层风险报告选动作；Defense Agent 用关键词、LLM 语义分和 CLIPScore 做三维代理诊断；Judge Agent 把风险变化与 ΔCLIP 合成奖励，再用强化学习更新策略。中间可行路径被作者称为 cracks。
• 结果：作者报告在多种模型与安全配置上评测，并称在 SD 1.4 的 composite filters 下 ASR 最高 99.63%，查询少于既有方法且维持语义保真。Table I 中 CRACK 是唯一被标成同时具备分层诊断与跨层自适应的方法。Fig. 5 展示一条从“被全部过滤器拦截”到“进入全过滤器规避区域”的 t-SNE 轨迹。
• 作者结论：作者认为这些结果支持跨层冲突的刻画，并认为分层、自适应搜索对穿越异构防御栈是必要的。代理诊断迁移的是检测维度而不是具体实现。