# 새 시각적 탈옥 공격법, 여러 AI 모델에서 시험

> arXiv 논문은 이미지 기반 공격이 GPT-5.6과 Gemini 3.1 Pro를 포함한 여러 멀티모달 모델의 안전장치를 우회했다고 보고했다.

Oossa · 2026-10-30 · https://oossa.com/ko/new-method-tests-visual-jailbreaks-across-ai-models

사건 날짜: 2026-10-28

10월 28일 arXiv에 제출된 연구 논문은 멀티모달 대규모 언어 모델(MLLM), 즉 이미지와 텍스트를 함께 처리하는 AI 시스템이 유해한 요청에 답하도록 유도하는 다양한 이미지 기반 공격을 만드는 방법을 설명한다. 연구진은 이 방법을 ‘Jailbreak Connectivity’라고 부른다. 여러 모델에서 공격 성공률이 높게 나타났다고 보고했지만, 이는 논문에서 평가한 결과일 뿐 모든 환경에서 공격이 통한다는 독립적인 확인은 아니다.

Jailbreak Connectivity는 이미지를 한 번에 하나씩 최적화하는 대신, 공격 효과가 유지되는 이미지 공간상의 경로를 찾는다. 그 경로를 따라 이미지를 표본 추출하면 같은 안전하지 않은 응답을 유도하도록 설계된 서로 다른 이미지들을 얻을 수 있다. 이 방법은 다른 시스템을 겨냥한 공격을 안내하는 소규모 ‘대리’ 분류기와, 한 가지 유해한 질문에만 맞추는 대신 다양한 유해 질문에 두루 적용하는 것을 목표로 하는 목적 함수도 활용한다.

## 시험 결과는?

논문은 MM-SafetyBench에서 평균 공격 성공률이 Qwen3-VL-8B-Instruct에서는 84.01%, InternVL3.5-8B에서는 85.77%, Gemma-3-12B-IT에서는 97.95%였다고 보고했다. 연구진은 이 결과가 가장 강력한 비교 방법보다 최대 68.36%포인트 높았다고 밝혔다. 이는 보고된 격차 가운데 가장 큰 수치이지, 모든 모델에서 그만큼 앞섰다는 뜻은 아니다.

논문은 공격자가 모델 내부에 접근하지 않고 시험하는 블랙박스 평가 결과도 소개한다. FigStep이라는 공격 방법과 비교했을 때, Jailbreak Connectivity는 GPT-5.6에서 성공률을 24.69%포인트, Gemini 3.1 Pro에서는 27.34%포인트 높였다고 한다. 초록에는 기존 성공률이나 시험 환경, 다른 버전이나 실제 사용 환경에서도 결과가 얼마나 재현될지 판단하는 데 필요한 세부 정보가 제시되지 않았다.

## 연구 결과가 보여주는 것과 보여주지 않는 것

이번 연구는 이미지 입력이 AI 비서의 안전장치를 약화할 수 있는지에 관한 연구에 보탬이 된다. 핵심 주장은 효과적인 시각적 공격이 서로 떨어진 개별 사례가 아니라 연결된 영역을 이룰 수 있으며, 이를 통해 연구자들이 더 다양한 공격을 만들고 모델 간 전이 가능성을 시험할 수 있다는 것이다. 보고된 성공률은 이미지 처리 기능을 갖춘 시스템을 평가하는 개발자들이 주목할 만한 문제를 보여주지만, 일반 사용자가 일상적인 대화에서 안전장치를 안정적으로 우회할 수 있다는 뜻은 아니다.

논문 초록은 이번 결과를 안전 정렬 과정의 구조적 취약점에 대한 증거로 제시한다. 하지만 명시된 평가 범위를 벗어난 환경에서 이 방법이 얼마나 효과적인지, 또는 모델 제공업체가 이에 대응해 안전장치를 변경했는지는 밝히지 않는다. 벤치마크 수치를 사용자 위험의 척도로 받아들이기 전에 이런 점을 살펴볼 필요가 있다.

## 팩트

- arXiv 제출 이력에 따르면 논문은 2026년 10월 28일 제출됐다.
- Jailbreak Connectivity는 MM-SafetyBench의 Qwen3-VL-8B-Instruct 평가에서 평균 공격 성공률 84.01%를 기록했다고 보고했다.
- 논문은 같은 벤치마크에서 Gemma-3-12B-IT의 평균 성공률이 97.95%였다고 보고했다.
- 블랙박스 시험에서 이 방법은 GPT-5.6에서 FigStep보다 24.69%포인트, Gemini 3.1 Pro에서는 27.34%포인트 높은 성공률을 기록했다고 한다.

## 왜 중요한가

이미지를 입력할 수 있는 AI 비서를 이용하는 사람들에게, 이번 논문은 안전장치의 잠재적 취약점을 보여준다. 거부하도록 설계된 시스템도 이미지가 있으면 유해한 답변을 내놓을 수 있다는 것이다. 다만 보고된 시험은 특정 벤치마크와 모델 버전을 대상으로 했으므로, 일상적인 사용에서 우회가 얼마나 쉽게 일어날지는 알 수 없다.

## 출처 및 참고 자료

1. [Jailbreak Connectivity: Towards Diverse, Transferable, and Universal Multimodal Large Language Model Jailbreak](https://arxiv.org/abs/2610.38091) – arXiv cs.LG, 2026-10-30
2. [Component Translation and Judge-Labelled Refusal: A Multilingual Safety Evaluation](https://arxiv.org/abs/2610.38181) – arXiv, 2026-10-30

최종 업데이트: 2026-10-30