10月28日にarXivへ投稿された研究論文は、画像とテキストの両方を処理するAIシステム、マルチモーダル大規模言語モデル（MLLM）に有害な要求へ回答させる、多様な画像ベースの攻撃を作る手法を紹介している。著者らはこの手法を「Jailbreak Connectivity」と名付けた。複数のモデルで高い攻撃成功率が得られたと報告しているが、これは論文内での評価結果であり、あらゆる状況で攻撃が有効だと独立に確認されたわけではない。
Jailbreak Connectivityは画像を1枚ずつ最適化するのではなく、攻撃の有効性が保たれる画像空間上の経路を探す。その経路に沿って画像をサンプリングし、同じ危険な回答を引き出すことを狙った複数の画像を生成する。また、攻撃先のシステムへ誘導するための、より単純な「代理」分類器と、単一の有害な質問だけでなく幅広い質問に対応することを目指した目的関数も利用する。
テストで何が分かったのか
論文によると、MM-SafetyBenchでの平均攻撃成功率は、Qwen3-VL-8B-Instructに対して84.01%、InternVL3.5-8Bに対して85.77%、Gemma-3-12B-ITに対して97.95%だった。著者らは、比較対象となった最も強力な手法を最大68.36ポイント上回ったとしている。これは報告された最大の差であり、すべてのモデルで同じ差が出たという意味ではない。
論文は、攻撃者がモデルの内部情報にアクセスせずに試すブラックボックス評価についても述べている。攻撃手法「FigStep」と比べ、Jailbreak ConnectivityではGPT-5.6に対する成功率が24.69ポイント、Gemini 3.1 Proでは27.34ポイント上昇したという。要旨には、比較の基準となる成功率やテスト条件、別バージョンや実際の利用環境にも結果が当てはまるかを判断するための詳細は記載されていない。
この研究で分かること、分からないこと
この研究は、画像入力がAIアシスタントの安全対策を損なう可能性についての研究に新たな知見を加えるものだ。中心となる主張は、有効な視覚的攻撃は単独の例に限らず、つながった領域を形成している可能性があり、そのため、より多様な攻撃を生成したり、モデル間で有効性が移るかを検証したりできるということだ。報告された成功率は、画像を扱うシステムを評価する開発者にとって看過できない懸念を示す一方、一般の利用者が日常の会話で安全対策を確実に回避できることを示すものではない。
論文の要旨は、この結果を安全性調整に構造的な弱点がある証拠として示している。ただし、挙げられた評価以外でこの手法がどう機能するのか、あるいはモデル提供元がこれを受けて安全対策を変更したのかは明らかにしていない。ベンチマークの数値を利用者にとってのリスクの指標とみなす前に、こうした点を確認する必要がある。
なぜ重要か
画像を受け付けるAIアシスタントを使う人にとって、この論文は安全対策に潜む可能性のある弱点を示している。拒否するよう設計されたシステムでも、画像によって有害な回答を引き出せる場合があるという。ただし、報告されたテストは特定のベンチマークとモデルのバージョンに限られており、日常利用で回避がどれほど起きやすいかは分からない。
