攻击arXiv 2609.05525
DIVA：针对离散扩散视觉语言模型的跨步条件传播视觉越狱
提出 DIVA，利用跨步条件传播对离散扩散视觉语言模型实施视觉越狱
- arXiv
- 2609.05525
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 白盒
- 被测模型
- LLaDA-V、MMaDA、LLaDA2.0-Uni
- 攻击arXiv 2608.04034
HACA：原子越狱策略解耦组合的多模态自动红队方法
提出 HACA，将图文越狱拆为原子策略并自动组合以诱导有害输出
- arXiv
- 2608.04034
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 被测模型
- LLaVA-1.6-Mistral-7B、InternVL-3.5-8B、VLGuard (LLaVA-v1.5-7B-Mixed) 等5个
- 攻击arXiv 2606.01837
论文提出 DSR 跨模态越狱框架：用良性输入诱导 MLLM 有害输出
提出 DSR 跨模态越狱，用无害图文诱导 MLLM 生成有害图像
- arXiv
- 2606.01837
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 被测模型
- gemini-2.5-flash-image、qwen-image-2.0、Tongyi Wanx 2.5
摘要DSR 用无害图文诱导商业 MLLM 输出有害图像，作者称组合能力会反过来扩大攻击面。
DSR 是一种 black-box 跨模态越狱：输入侧不放显式有害内容，而让商业 MLLM 在推理中把无害图文重组成有害图像。
- 攻击arXiv 2605.18915
DMN：面向多图输入的多模态大模型组合式越狱框架
提出多图越狱框架 DMN，把有害意图拆进图像序列绕过安全护栏
- arXiv
- 2605.18915
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 被测模型
- GPT-4V、GPT-4o、GPT-5 等10个
- 攻击arXiv 2605.07399
研究者提出 GPO-V，用全局概率优化越狱扩散视觉语言模型
提出 GPO-V，用全局概率优化的视觉扰动越狱扩散视觉语言模型
- arXiv
- 2605.07399
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 被测模型
- LLaDA-V、LaViDA
摘要作者用视觉扰动改 dVLM 的全局生成概率，以绕过两类拒绝。
GPO-V 把越狱从“开头必须顺从”改成“整段去噪概率朝肯定方向走”。。
- 攻击arXiv 2605.05709
研究者提出利用重构与隐藏权衡的多模态大模型越狱方法
提出删字变体越狱方法，利用重构与隐藏权衡绕过多模态模型安全过滤
- arXiv
- 2605.05709
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 被测模型
- GPT-5.4-nano、GPT-5.4-mini、Gemini-2.5-Flash 等19个
- 攻击arXiv 2605.00583
通过视觉模态越狱视觉语言模型
提出四类视觉越狱，把有害意图编码进图像以绕过安全拒答
- arXiv
- 2605.00583
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 被测模型
- GPT-5.2、Claude-Haiku-4.5、Gemini-3-Flash 等8个
摘要四类视觉越狱在六个 VLM 上检验文本对齐能否挡住视觉意图，模型与攻击之间差异大。
四类视觉越狱用来检验前沿 VLM 的文本安全训练能否挡住由图像传达的有害意图。。
- 攻击arXiv 2603.07590
模型作为乐高搭建者：用语义蓝图从无害积木拼装恶意
提出 StructAttack，用结构图把无害语义槽诱导视觉模型拼成恶意内容
- arXiv
- 2603.07590
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 被测模型
- GPT-4o (1120)、Gemini-2.0-Flash (001)、Gemini-2.5-Flash 等6个
摘要StructAttack 把有害查询拆成无害槽并画进结构图，在黑盒单次查询下诱导 LVLM 填出有害内容。
StructAttack 是针对 LVLM 的黑盒、单次查询越狱：把有害指令拆成单独看似无害的槽，画进结构图，再让模型把槽拼回有害内容。。
- 攻击arXiv 2602.10148
红队多模态推理：跨模态纠缠攻击越狱视觉语言模型
提出 COMET 跨模态纠缠攻击，越狱视觉语言模型
- arXiv
- 2602.10148
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 被测模型
- GPT-4.1、GPT-4.1-mini、Gemini-2.5-Flash 等9个
摘要COMET 做黑盒跨模态纠缠越狱。
COMET 是面向具备多模态推理的 VLM 的黑盒越狱，用来红队测试跨模态安全对齐。作者要处理的缺口是：把恶意线索分到图文的固定组合，测不到多步推理里才出现的漏洞。攻击不访问梯度，只构造图文输入。
- 攻击arXiv 2602.00420
研究者提出 Text-DJ，利用 OCR 能力越狱大型视觉语言模型
提出 Text-DJ，用拆分文本图网格越狱视觉语言模型
- arXiv
- 2602.00420
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 被测模型
- Qwen/Qwen3-VL-4B-Instruct、Qwen/Qwen3-VL-8B-Instruct、Qwen/Qwen3-VL-30B-A3B-Instruct 等6个
- 攻击arXiv 2601.15698
超越视觉安全：用语义无关输入越狱多模态大语言模型生成有害图像
提出 BVS 图文越狱，用中和拼接图和诱导提示词让模型生成有害图像
- arXiv
- 2601.15698
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 被测模型
- GPT-5 (12 January 2026 release)、Gemini 1.5 Flash (15 January 2026 release)
摘要BVS 以重建后再生成诱导有害图像。
BVS 用图文对诱导 MLLM 生成有害图像。作者认为，相对文本越狱和单模态图像诱导，视觉生成的安全审查仍不充分。
- 攻击arXiv 2601.03416
GAMBIT：面向多模态大模型的游戏化越狱框架
提出 GAMBIT 游戏化越狱框架，用拼图与竞赛场景攻击多模态模型
- arXiv
- 2601.03416
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 被测模型
- Qwen2.5-VL、InternVL 2.5、GPT-4o 等8个
- 攻击arXiv 2512.20168
Odysseus 用双重隐写越狱 GPT-4o、Gemini-2.0 与 Grok-3
提出双重隐写越狱 Odysseus，用图像隐写绕过多模态系统安全过滤器
- arXiv
- 2512.20168
- 发表
- 层
- 应用层
- 场景
- AI Agent
- 攻击者
- 黑盒
- 被测模型
- GPT-4o-2024-08-06、Gemini-2.0-pro、Gemini-2.0-flash 等4个
- 攻击arXiv 2511.16110
MFA 框架在 17 个视觉语言模型上取得 58.5% 攻击成功率
提出 MFA 框架，协同突破视觉语言模型的对齐、提示与审核层
- arXiv
- 2511.16110
- 发表
- 层
- 提示层
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 被测模型
- MiniGPT-4、LLaMA-4-Scout-Inst、LLaMA-3.2-11B-Vision-Instruct 等17个
摘要作者称多层防御的 VLM 仍存在跨模型漏洞，MFA 整合三项技术实现了端到端越狱。
已经到底了