# Neue Methode testet visuelle Jailbreak-Angriffe auf KI-Modelle

> Laut einer auf arXiv veröffentlichten Studie umgingen bildbasierte Angriffe die Schutzmaßnahmen mehrerer multimodaler Modelle, darunter GPT-5.6 und Gemini 3.1 Pro.

Oossa · 2026-10-30 · https://oossa.com/de/new-method-tests-visual-jailbreaks-across-ai-models

Datum des Ereignisses: 2026-10-28

Eine am 28. Oktober bei arXiv eingereichte Forschungsarbeit beschreibt eine Methode, mit der sich unterschiedliche bildbasierte Angriffe erstellen lassen, die multimodale Large Language Models (MLLMs) – KI-Systeme, die sowohl Bilder als auch Text verarbeiten – dazu bringen können, schädliche Anfragen zu beantworten. Die Autoren nennen die Methode Jailbreak Connectivity. Ihren Tests zufolge waren die Angriffe bei mehreren Modellen häufig erfolgreich. Dabei handelt es sich jedoch um Ergebnisse aus den Auswertungen der Studie, nicht um eine unabhängige Bestätigung dafür, dass die Angriffe in jeder Situation funktionieren.

Statt jeweils nur ein Bild zu optimieren, sucht Jailbreak Connectivity nach Pfaden im Bildraum, auf denen der Angriff wirksam bleibt. Durch das Erzeugen von Bildern entlang dieser Pfade entstehen unterschiedliche Bilder, die dieselbe unsichere Antwort auslösen sollen. Die Methode nutzt außerdem kleine „Surrogat“-Klassifikatoren – einfachere Modelle, die Angriffe auf andere Systeme lenken helfen – sowie ein Optimierungsziel, das für verschiedene schädliche Anfragen funktionieren soll und nicht nur für eine einzelne.

## Was ergaben die Tests?

Für MM-SafetyBench nennt die Studie durchschnittliche Erfolgsraten der Angriffe von 84.01% gegen Qwen3-VL-8B-Instruct, 85.77% gegen InternVL3.5-8B und 97.95% gegen Gemma-3-12B-IT. Laut den Autoren lagen diese Werte um bis zu 68.36 Prozentpunkte über denen der stärksten Vergleichsmethoden. Das ist der größte angegebene Abstand – die Studie behauptet nicht, jedes Modell um so viel übertroffen zu haben.

Die Arbeit beschreibt auch Black-Box-Tests, bei denen die Angreifer ein Modell ohne Zugriff auf sein Innenleben testen. Im Vergleich zu einer Angriffsmethode namens FigStep soll Jailbreak Connectivity die Erfolgsraten bei GPT-5.6 um 24.69 Prozentpunkte und bei Gemini 3.1 Pro um 27.34 Prozentpunkte erhöht haben. Das Abstract nennt weder die Ausgangswerte noch die Testbedingungen oder weitere Details, die nötig wären, um einzuschätzen, wie gut sich diese Ergebnisse auf andere Versionen oder den Einsatz in der Praxis übertragen lassen.

## Was die Ergebnisse zeigen – und was nicht

Die Arbeit ergänzt die Forschung dazu, ob Bildeingaben die Sicherheitsmaßnahmen von KI-Assistenten untergraben können. Ihre zentrale These lautet, dass wirksame visuelle Angriffe zusammenhängende Bereiche statt einzelner isolierter Beispiele bilden könnten. So ließen sich vielfältigere Angriffe erzeugen und ihre Übertragbarkeit auf andere Modelle testen. Die berichteten Erfolgsraten machen das zu einem wichtigen Thema für Entwickler, die Systeme mit Bildverarbeitung prüfen. Sie zeigen jedoch nicht, dass normale Nutzer Schutzmaßnahmen in alltäglichen Gesprächen zuverlässig umgehen können.

Im Abstract werden die Ergebnisse als Beleg für strukturierte Schwachstellen in der Sicherheitsausrichtung dargestellt. Es wird nicht belegt, wie die Methode außerhalb der genannten Tests abschneidet oder ob die Anbieter von Modellen als Reaktion ihre Schutzmaßnahmen geändert haben. Diese Fragen müssen geklärt werden, bevor sich die Benchmark-Zahlen als Maß für das Risiko für Nutzer verstehen lassen.

## Die Fakten

- Laut dem Einreichungsverlauf bei arXiv stammt die Arbeit vom 28. Oktober 2026.
- Jailbreak Connectivity erzielt laut Studie bei MM-SafetyBench gegen Qwen3-VL-8B-Instruct eine durchschnittliche Erfolgsrate von 84.01%.
- Für Gemma-3-12B-IT nennt die Studie im selben Benchmark eine durchschnittliche Erfolgsrate von 97.95%.
- Bei Black-Box-Tests soll die Methode FigStep bei GPT-5.6 um 24.69 Prozentpunkte und bei Gemini 3.1 Pro um 27.34 Prozentpunkte übertroffen haben.

## Warum es wichtig ist

Für Nutzer von KI-Assistenten, die Bilder verarbeiten, weist die Studie auf eine mögliche Schwachstelle bei Schutzmaßnahmen hin: Ein Bild könnte eine schädliche Antwort hervorrufen, obwohl das System so ausgelegt ist, dass es solche Anfragen ablehnt. Die berichteten Tests beziehen sich auf bestimmte Benchmarks und Modellversionen und sagen daher nicht aus, wie wahrscheinlich eine Umgehung im Alltag ist.

## Quellen und Referenzen

1. [Jailbreak Connectivity: Towards Diverse, Transferable, and Universal Multimodal Large Language Model Jailbreak](https://arxiv.org/abs/2610.38091) – arXiv cs.LG, 2026-10-30
2. [Component Translation and Judge-Labelled Refusal: A Multilingual Safety Evaluation](https://arxiv.org/abs/2610.38181) – arXiv, 2026-10-30

Zuletzt aktualisiert: 2026-10-30