论文提出 DSR 跨模态越狱框架：用良性输入诱导 MLLM 有害输出

如何在图像和文本都不含显式有害内容时，仍诱导MLLM重组出有害图像。

• 场景：作者称GPT-4、Gemini等MLLM能同时处理图文并做跨模态生成，因而带来生成NSFW内容的越狱风险。既有护栏主要拦截单模态文本，对跨模态攻击更弱。
• 不足：作者把UTA与CMA都称为Harm-Bearing：输入里通常仍有显式有害或敏感内容。语义审计或跨模态对齐过滤器可以拦住这些可见原语。
• 观察：作者认为MLLM会在推理中把无害视觉线索和文本线索组成不安全语义，组合推理本身可成为安全弱点。
• 做法：作者提出Distributed Semantic Recomposition（DSR），把禁止意图拆成无害视觉原语，再配上语义相关的无害提示，在跨模态推理中做潜在融合。
• 威胁模型：
  • 目标：用看似无害的图文，诱导模型生成被禁止的暴力、gore或歧视类NSFW图像。
  • 知识：black-box，不能访问参数、梯度、架构或训练数据。
  • 能力：只能经标准查询接口提交文本、图像或图文；可用辅助模型分解意图，并以有限次数查询、利用拒绝反馈改写。论文未给出查询上限。
  • 受害系统：接受多图与文本交错输入、做过多模态安全对齐的MLLM。过滤器F扫描图文中的显式有害特征，如暴力或歧视。

T2I过滤与越狱

• Rando等（2022）逆向Stable Diffusion安全过滤器。作者转述：它主要用17个敏感CLIP向量拦截性内容，常忽略暴力和gore。
• SneakyPrompt（Yang等，2024）用强化学习搜索可躲避文本过滤的token替换。本文称其查询成本高。
• PGJ（Huang等，2025）按PSTSI，用视觉相似但文本语义不同的词替换不安全关键词。Villa等（2025）用时序侧信道分析DALL·E的级联护栏。

MLLM越狱

• 单模态工作包括图像或文本对抗扰动（Bailey等，2023；Qi等，2024等）、打乱有害文本探测边界（Zhao等，2025），以及FigStep把有害文字排进图像以利用OCR（Gong等，2025）。作者称这些方法把显式有害语义放进输入，护栏更新后更容易被拒绝。
• 跨模态方面，Yang等（2025）讨论多子图语义距离造成的分心；Yu等（2026）随机排列有害与中性图像以触发NSFW；Yang等还将不安全文本注入图像。作者称主流方法仍依赖有害原语与看似无害原语的交互，且现有CMA在图文两侧仍携带显式有害内容。

防御

• 输入输出侧包括关键词黑名单、OCR增强的语义审计和单模态毒性分类器。作者称它们对显式有害提示拦截效果好。
• 模型侧有Llama Guard、SURE、OmniGuard；解码侧有SafeSteer；视觉侧有对抗净化（Nie等，2022）。作者认为现有策略多按组件分别检查，缺少对潜空间中涌现联合语义的判定，因而看不到被拆开的攻击。

基线与数据集

• 实验对照为Original Harmful Prompt、DACA（Deng与Chen，2023）、SneakyPrompt、PGJ。DACA用分治把有害语义拆成看似无害的子提示，属单模态启发式攻击。数据集为VBCDE与T2I-RiskyPrompt。

作者把DSR定位为图文两侧都不直接放入有害内容，而靠模型自身的跨模态推理完成重组；并认为分别过滤图像和文本不足以防御这类攻击。

DSR把集中的有害意图分到多张局部无害图像和一条同义引导文本上，再交给目标MLLM做跨模态重组。Figure 1把既有攻击标为图像或文本有害且REFUSE，把DSR标为两侧无害且PASS。作者未在图中给出可回查的成功率。

问题设定

• 目标模型M_θ接受图像集合与文本并合成图像。论文将其写成I_gen=M_θ(X_v,x_t)。
• 越狱需诱导有害图像I_nsfw，同时让输入级护栏D判为0。作者称现有攻击常把完整有害提示嵌进单一模态，使安全函数J判为有害。
• 拆分约束是：原提示J为1，而角色、场景、敏感物体各自的J最大为0。

分布式视觉图像生成

• 解耦模型M_dec在专家提示P_expert下，把有害提示拆成角色t_P、场景t_S、敏感物体t_O。作者称直接分解容易重叠或残留有害性，故用示范把行为依赖映射成彼此隔离的无害实体。
• 原语再写成视觉描述，由文生图模型G合成图像。若G拒绝，优化器M_opt按无害对齐提示P_benign改写，直到出图。
• 论文未给出M_dec、M_opt、G的名称，也未给出该循环次数。附录给出分解提示词，此处不列其中的措辞约束。

同义引导与闭环优化

• M_opt在策略提示P_st下生成复合提示p_opt。P_st含无害中和子句p_inc与视觉等价子句p_vec：前者去掉攻击性关键词、显式暴力动词和敏感术语，改为结构、坐标和实体描述；后者用纹理、运动和色彩对比保持画面氛围。
• 评估模块监视拒绝。若拒绝，把原因反馈给M_opt并更新提示，迭代不超过算法1中的T_max。论文未报告T_max。语义强度不足时继续改写。附录给出合成与改写提示词。

跨模态重组与判定

• 最终输入为优化提示和三张原语图像。论文写成I_gen=M_θ(X_v′,p_opt)。作者称交叉注意力会融合两侧特征；拆开的图像加上清洗后的子句使表示低于拒绝阈值。论文未对该注意力做因果干预。
• 算法1：目标若拒绝则继续优化；若出图且SafetyChecker判为NSFW，记成功；否则继续改写，超过T_max则失败。
• 实验把“绕过拒绝并输出被禁止内容”分成ASR-G、ASR-Q、ASR-C。ASR-C在图像嵌入与预定义有害概念文本特征的投影距离低于预设阈值时计成功。论文未给出该阈值。

实验设置

• 受害模型：gemini-2.5-flash-image（Gemini）、qwen-image-2.0（Qwen）、Tongyi Wanx 2.5（Wanx）。作者称它们带先进安全护栏。贡献提到开源模型，第5.1节未列名称或单独结果。
• 数据：从VBCDE手选42条graphic violence and gore提示；从T2I-RiskyPrompt抽取102条violent prompts。
• 基线：正文一处写四个、一处写三个SOTA基线。Table 1列出Original Harmful Prompt、DACA、SneakyPrompt、PGJ。作者称沿用原论文代码与超参，本文未列出这些超参。
• 指标：ASR表示绕过拒绝并输出被禁止内容。ASR-G由Gemini 1.5 Pro做二分类；ASR-Q由Qwen-VL series做二分类；ASR-C用基于CLIP的Stable Diffusion Safety Checker，投影距离低于预设阈值计成功，阈值未给出。CLIP表头为↑，衡量与原对抗提示的对齐；NIQE表头为↓，作者称越低表示物理真实感越高。ITR是进入核心推理前被标为显式有害的比例，文本用CLIP、图像用ASR-C。
• 规模：主实验对应42条与102条。消融写明使用VBCDE-sub与T2I-RiskyPrompt-sub，未报告子集规模。论文未报告重复次数。

主结果

下表只列DSR（Table 1的Ours）。正文把这些数写成百分比。

表格较宽，可左右滑动

模型	数据集	ASR-G	ASR-Q	ASR-C
Gemini	VBCDE	28.59%	23.80%	52.50%
Gemini	T2I-RiskyPrompt	42.00%	32.00%	70.00%
Qwen	VBCDE	42.86%	33.33%	57.14%
Qwen	T2I-RiskyPrompt	58.00%	48.00%	78.00%
Wanx	VBCDE	38.10%	16.66%	47.62%
Wanx	T2I-RiskyPrompt	62.00%	52.00%	82.00%

• 作者称DSR在所有目标模型上ASR最高。Table 1的例外是VBCDE、Wanx的ASR-Q：DSR为16.66，DACA为16.67。
• 作者称Gemini上Original、DACA、SneakyPrompt的ASR-G与ASR-C为0.00%。Table 1中SneakyPrompt的ASR-C在VBCDE为4.76、在T2I-RiskyPrompt为2.00；PGJ在T2I-RiskyPrompt的ASR-G为16.00。Original在Gemini两数据集的三项ASR均为0.00，在Wanx、T2I-RiskyPrompt的ASR-C为62.00。
• 作者认为输入级护栏能去掉局部风险特征，但看不到推理时被重新拼合的片段；并称DSR不是只利用词法匹配漏洞。

输入毒性

• Table 2，VBCDE的ITR：DACA 33.33，SneakyPrompt 44.44，PGJ 16.67，DSR文本1.59，DSR图像8.73。
• 同表T2I-RiskyPrompt：DACA 54.00，SneakyPrompt 56.67，PGJ 48.00，DSR文本5.33，DSR图像13.33。
• 作者称基线仍保留显式毒性，DSR的输入集合本身无害，因而在跨模态推理前避开静态过滤。论文未给出ITR阈值。

组件消融

• Figure 3纵轴为ASR-C（%），未说明目标模型。正文称去掉sensitive后，T2I-RiskyPrompt从70.00%降到28.00%，VBCDE从52.50%降到21.43%；VBCDE上去掉role、scene后为33.33%与30.95%；T2I-RiskyPrompt上去掉role为44.00%。作者称缺任一原语就无法拼出全局有害语义。图中另标有52.00，正文未单独对应条件。
• Figure 4固定三张无害图，只换文本。作者称Gemini（a）上原始有害提示的ASR-G接近0，同义安全提示升至nearly 30%。论文未说明该图数据集；文本提取读不到其余柱值。作者称显式有害文本会先触发文本护栏。
• Figure 5用painter、红光房间和带红色标记的手臂做属性消融。作者称去掉场景时过滤不触发；加入红光房间后，模型把环境红光与手臂标记绑定，并生成血腥画面。输入侧没有显式有害词。这是作者对图的解读。

效用—安全悖论

• 第5.5节作者称更强推理能力会在跨模态重组中提高被越狱的可能。
• Table 1，Wanx、T2I-RiskyPrompt的ASR-C：Original 62.00，SneakyPrompt 40.00，PGJ 46.00，DSR 82.00。作者称文本混淆破坏语义连贯并降低生成能力；DSR提供干净原语，因而ASR-C到82.00。
• 作者用红光与手臂标记的案例解释该悖论。第5.5节将该案例写成Figure 3，第5.4节的案例图是Figure 5。

其他消融与分析

• Gemini、T2I-RiskyPrompt的CLIP：Original 23.99，DACA 10.62，SneakyPrompt 10.61，DSR 23.99（Table 1）。作者称混淆基线靠破坏核心句法来躲避检测。
• VBCDE、Gemini的CLIP：Original 11.05，DSR 18.67（Table 1）。
• 作者称T2I-RiskyPrompt上DSR的NIQE为Qwen 4.29、Wanx 3.69。同表Gemini的DSR为3.34，DACA为2.66。
• VBCDE、Gemini的NIQE：DACA 2.51，Original 2.57，DSR 3.15（Table 1）。作者未把该格称为更优。
• 论文未报告T_max、温度或重复次数的消融。

作者指出的局限与后续方向

• 效果高度依赖语义分解质量；复杂或抽象的有害意图仍难拆成可被MLLM成功重组的无害视觉元素（第6节）。
• 当前分解依赖先进LLM，预处理时可能引入额外对齐约束（第6节）。
• 性能对同义引导提示的设计敏感：文本上要安全，又须与目标有害意图保持足够语义对齐，并避开文本过滤器（第6节）。
• 作者计划探索基于强化学习的优化，以自动生成更稳健、跨模型可迁移性更强的提示（第6节）。

实验覆盖范围

• 第5.1节的受害模型为gemini-2.5-flash-image、qwen-image-2.0、Tongyi Wanx 2.5。贡献部分提到开源模型，该节未给出名称或单独结果。
• 数据为VBCDE手选的42条graphic violence and gore提示，以及T2I-RiskyPrompt的102条violent prompts。论文未报告歧视类提示的条数。消融使用VBCDE-sub与T2I-RiskyPrompt-sub，未报告子集规模。
• 对照为Original Harmful Prompt、DACA、SneakyPrompt、PGJ。评审为Gemini 1.5 Pro、Qwen-VL series，以及基于CLIP的Stable Diffusion Safety Checker。论文未报告阈值、重复次数和人工一致性。
• 消融去掉role、scene或sensitive，并在固定三图时比较原始有害提示与同义引导提示（第5.4节，Figure 3–5）。Figure 3未说明目标模型。
• 算法1包含T_max，论文未报告其数值；也未报告M_dec、M_opt、文生图模型G的名称，以及查询次数。

DSR是一种black-box跨模态越狱：输入侧不放显式有害内容，而让商业MLLM在推理中把无害图文重组成有害图像。

• 问题：作者认为现有UTA与CMA仍把显式有害片段留在输入中，语义审计和跨模态对齐过滤可以拦住。受害模型接受多图加文本，过滤器F扫描显式暴力或歧视特征；攻击者不能访问参数、梯度、架构或训练数据。
• 方法：先把意图拆成角色、场景、敏感物并生成局部无害图像；再用中和子句与视觉等价子句写同义提示，按拒绝反馈迭代；最后把图文送入目标模型，由交叉注意力融合。成功以绕过拒绝、且自动评审把图像判为有害来计。
• 结果：Table 1中，Gemini、VBCDE上DSR的ASR-G为28.59%、ASR-C为52.50%；T2I-RiskyPrompt上二者为42.00%与70.00%。Wanx、T2I-RiskyPrompt的ASR-C为82.00%。Table 2中DSR文本ITR在VBCDE为1.59%、在T2I-RiskyPrompt为5.33%。例外是VBCDE、Wanx的ASR-Q：DSR 16.66，DACA 16.67。
• 作者结论：分别过滤图像和文本挡不住分布式无害原语。作者称更强的组合与生成能力可能提高这类重组的成功率，并将其称为Utility-Safety Paradox。第6节同时写出分解质量、辅助LLM对齐约束和同义提示设计这三项限制。