Weak-OOD 为何有效？进一步理解视觉语言模型的越狱

研究者发现，温和的分布外（OOD）扰动对视觉语言模型（VLM）的越狱效果好于干净输入和过强扰动，并将这一非单调模式定义为 weak-OOD。论文用输入意图感知与模型拒答触发这两个主导因素之间的权衡解释该现象，作者给出的证据显示两个因素对 OOD 扰动的响应不同，与宽泛的预训练鲁棒性和较窄的安全对齐之间的差距相一致。借鉴预训练阶段的 OCR 能力增强，作者设计了嵌入式文本越狱的扩展方法 JOCR（Jailbreak via OCR-Aware Embedded Text Perturbation），称其在所评测的基线中取得最佳平均攻击成功率（ASR）。代码开源于 https://github.com/Yuxuan2003/weak-ood-jailbreak。