Uno studio caricato su arXiv il 28 ottobre descrive un metodo per creare attacchi basati su immagini di vario tipo, capaci di indurre i modelli linguistici multimodali di grandi dimensioni (MLLM)—sistemi di IA che elaborano sia immagini sia testo—a rispondere a richieste dannose. Gli autori chiamano il metodo Jailbreak Connectivity. Nei test riportano tassi di successo elevati su diversi modelli, ma si tratta delle valutazioni dello studio, non di una conferma indipendente che gli attacchi funzionino in ogni contesto.
Invece di ottimizzare un’immagine alla volta, Jailbreak Connectivity cerca percorsi nello spazio delle immagini lungo i quali l’attacco continua a funzionare. Campionando immagini lungo questi percorsi, il metodo ne genera di diverse, pensate per provocare la stessa risposta non sicura. Utilizza anche piccoli classificatori “surrogati”—modelli più semplici che aiutano a orientare gli attacchi verso altri sistemi—e una funzione obiettivo concepita per funzionare con diverse richieste dannose, anziché con una sola.
Cosa hanno rilevato i test?
Su MM-SafetyBench, lo studio riporta tassi medi di successo degli attacchi dell’84,01% contro Qwen3-VL-8B-Instruct, dell’85,77% contro InternVL3.5-8B e del 97,95% contro Gemma-3-12B-IT. Gli autori affermano che questi risultati superano fino a 68,36 punti percentuali i metodi di confronto più efficaci. È il divario massimo riportato: non significa che ogni modello sia stato superato di quella misura.
Lo studio descrive anche valutazioni black-box, in cui gli attaccanti testano un modello senza accedere al suo funzionamento interno. Rispetto a un metodo di attacco chiamato FigStep, Jailbreak Connectivity avrebbe aumentato i tassi di successo di 24,69 punti percentuali su GPT-5.6 e di 27,34 punti su Gemini 3.1 Pro. L’abstract non fornisce i tassi iniziali, le condizioni dei test o i dettagli necessari per valutare quanto questi risultati siano applicabili ad altre versioni o all’uso nel mondo reale.
Cosa dimostrano i risultati e cosa no
Lo studio si aggiunge alle ricerche sul rischio che gli input visivi compromettano le misure di sicurezza degli assistenti IA. La tesi centrale è che gli attacchi visivi efficaci possano formare regioni connesse, anziché essere esempi isolati: questo consentirebbe ai ricercatori di generarne di più vari e di verificare se funzionano anche su altri modelli. I tassi di successo riportati rendono il problema rilevante per chi sviluppa sistemi capaci di elaborare immagini, ma non dimostrano che gli utenti comuni possano aggirare sistematicamente le protezioni nelle conversazioni di tutti i giorni.
Nell’abstract, gli autori presentano i risultati come prova di debolezze strutturate nell’allineamento delle misure di sicurezza. Lo studio non stabilisce come funzioni il metodo al di fuori delle valutazioni citate, né se i fornitori dei modelli abbiano modificato le proprie protezioni in risposta. Sono aspetti da chiarire prima di considerare i numeri dei benchmark una misura del rischio per gli utenti.
Perché conta
Per chi usa assistenti IA che accettano immagini, lo studio mette in luce una possibile debolezza delle protezioni: un’immagine potrebbe contribuire a ottenere una risposta dannosa anche da un sistema progettato per rifiutare. I test riguardano benchmark e versioni specifici dei modelli, quindi non indicano quanto sia probabile aggirare le protezioni nell’uso quotidiano.
