视觉越狱的八个层次：ASCII 艺术已被修补，转写漏洞却没有
Eight Layers of Visual Jailbreaks: Why ASCII Art Is Patched But the Transcription Loophole Isn't
AI 导读
Failure-First 研究者把视觉越狱整理成 8 层攻击面，用 38 个攻击场景加 3 个良性对照，在 Ollama Cloud 上测试了 glm-5、gemma3:27b、devstral-small-2:24b 和 nemotron-3-nano:30b 四款模型。结果显示编码类攻击已基本失效：2024 年公开的 ArtPrompt 只对 gemma3 和 nemotron 仍有 22.2% 的攻击成功率，glm-5 为 0.0%、devstral 为 5.6%；而把有害内容包装成转写或翻译任务的框架类攻击成功率过半，跨模态转写层为 75.0%，视觉语义、对抗补丁和组合式各为 62.5%。作者把这一机制称为转写漏洞，认为模型在自认转写既有内容时会施加更弱的安全过滤，并据此指出防御投入集中在最易防的 L1、L2 两层。