Eine am 28. Oktober bei arXiv eingereichte Forschungsarbeit beschreibt eine Methode, mit der sich unterschiedliche bildbasierte Angriffe erstellen lassen, die multimodale Large Language Models (MLLMs) – KI-Systeme, die sowohl Bilder als auch Text verarbeiten – dazu bringen können, schädliche Anfragen zu beantworten. Die Autoren nennen die Methode Jailbreak Connectivity. Ihren Tests zufolge waren die Angriffe bei mehreren Modellen häufig erfolgreich. Dabei handelt es sich jedoch um Ergebnisse aus den Auswertungen der Studie, nicht um eine unabhängige Bestätigung dafür, dass die Angriffe in jeder Situation funktionieren.
Statt jeweils nur ein Bild zu optimieren, sucht Jailbreak Connectivity nach Pfaden im Bildraum, auf denen der Angriff wirksam bleibt. Durch das Erzeugen von Bildern entlang dieser Pfade entstehen unterschiedliche Bilder, die dieselbe unsichere Antwort auslösen sollen. Die Methode nutzt außerdem kleine „Surrogat“-Klassifikatoren – einfachere Modelle, die Angriffe auf andere Systeme lenken helfen – sowie ein Optimierungsziel, das für verschiedene schädliche Anfragen funktionieren soll und nicht nur für eine einzelne.
Was ergaben die Tests?
Für MM-SafetyBench nennt die Studie durchschnittliche Erfolgsraten der Angriffe von 84.01% gegen Qwen3-VL-8B-Instruct, 85.77% gegen InternVL3.5-8B und 97.95% gegen Gemma-3-12B-IT. Laut den Autoren lagen diese Werte um bis zu 68.36 Prozentpunkte über denen der stärksten Vergleichsmethoden. Das ist der größte angegebene Abstand – die Studie behauptet nicht, jedes Modell um so viel übertroffen zu haben.
Die Arbeit beschreibt auch Black-Box-Tests, bei denen die Angreifer ein Modell ohne Zugriff auf sein Innenleben testen. Im Vergleich zu einer Angriffsmethode namens FigStep soll Jailbreak Connectivity die Erfolgsraten bei GPT-5.6 um 24.69 Prozentpunkte und bei Gemini 3.1 Pro um 27.34 Prozentpunkte erhöht haben. Das Abstract nennt weder die Ausgangswerte noch die Testbedingungen oder weitere Details, die nötig wären, um einzuschätzen, wie gut sich diese Ergebnisse auf andere Versionen oder den Einsatz in der Praxis übertragen lassen.
Was die Ergebnisse zeigen – und was nicht
Die Arbeit ergänzt die Forschung dazu, ob Bildeingaben die Sicherheitsmaßnahmen von KI-Assistenten untergraben können. Ihre zentrale These lautet, dass wirksame visuelle Angriffe zusammenhängende Bereiche statt einzelner isolierter Beispiele bilden könnten. So ließen sich vielfältigere Angriffe erzeugen und ihre Übertragbarkeit auf andere Modelle testen. Die berichteten Erfolgsraten machen das zu einem wichtigen Thema für Entwickler, die Systeme mit Bildverarbeitung prüfen. Sie zeigen jedoch nicht, dass normale Nutzer Schutzmaßnahmen in alltäglichen Gesprächen zuverlässig umgehen können.
Im Abstract werden die Ergebnisse als Beleg für strukturierte Schwachstellen in der Sicherheitsausrichtung dargestellt. Es wird nicht belegt, wie die Methode außerhalb der genannten Tests abschneidet oder ob die Anbieter von Modellen als Reaktion ihre Schutzmaßnahmen geändert haben. Diese Fragen müssen geklärt werden, bevor sich die Benchmark-Zahlen als Maß für das Risiko für Nutzer verstehen lassen.
Warum es wichtig ist
Für Nutzer von KI-Assistenten, die Bilder verarbeiten, weist die Studie auf eine mögliche Schwachstelle bei Schutzmaßnahmen hin: Ein Bild könnte eine schädliche Antwort hervorrufen, obwohl das System so ausgelegt ist, dass es solche Anfragen ablehnt. Die berichteten Tests beziehen sich auf bestimmte Benchmarks und Modellversionen und sagen daher nicht aus, wie wahrscheinlich eine Umgehung im Alltag ist.
