Een onderzoeksartikel dat op 28 oktober bij arXiv is ingediend, beschrijft een methode om uiteenlopende aanvallen via afbeeldingen te maken. Daarmee kunnen multimodale grote taalmodellen (MLLM’s)—AI-systemen die zowel afbeeldingen als tekst verwerken—worden aangezet om schadelijke verzoeken te beantwoorden. De auteurs noemen de methode Jailbreak Connectivity. Hun tests laten hoge slagingspercentages zien bij verschillende modellen, maar dit zijn evaluaties van de auteurs zelf en geen onafhankelijke bevestiging dat de aanvallen in elke situatie werken.
In plaats van telkens één afbeelding te optimaliseren, zoekt Jailbreak Connectivity naar paden door de beeldruimte waarlangs de aanval effectief blijft. Door op die paden afbeeldingen te genereren, ontstaan verschillende beelden die dezelfde onveilige reactie moeten uitlokken. De methode gebruikt ook kleine ‘surrogaatclassifiers’—eenvoudigere modellen die helpen aanvallen op andere systemen te richten—en een optimalisatiedoel dat op verschillende schadelijke verzoeken moet werken, in plaats van op slechts één.
Wat lieten de tests zien?
Voor MM-SafetyBench rapporteert de paper gemiddelde slagingspercentages van 84.01% tegen Qwen3-VL-8B-Instruct, 85.77% tegen InternVL3.5-8B en 97.95% tegen Gemma-3-12B-IT. Volgens de auteurs lagen deze resultaten tot 68.36 procentpunt hoger dan die van de sterkste vergelijkingsmethoden. Dat is het grootste gerapporteerde verschil; het betekent niet dat elk model met dat percentage werd verslagen.
De paper beschrijft ook black-boxtests, waarbij de aanvallers een model testen zonder toegang tot de interne werking ervan. Vergeleken met een aanvalsmethode genaamd FigStep zou Jailbreak Connectivity het slagingspercentage met 24.69 procentpunt hebben verhoogd bij GPT-5.6 en met 27.34 procentpunt bij Gemini 3.1 Pro. Het abstract vermeldt niet wat de uitgangspercentages waren, onder welke testomstandigheden de tests zijn uitgevoerd of welke details nodig zijn om te beoordelen hoe goed deze resultaten op andere versies of in de praktijk van toepassing zijn.
Wat de bevindingen wel en niet aantonen
Het onderzoek draagt bij aan de discussie over de vraag of afbeeldingen veiligheidsmaatregelen van AI-assistenten kunnen ondermijnen. De centrale claim is dat effectieve visuele aanvallen mogelijk samenhangende gebieden vormen, in plaats van op zichzelf staande voorbeelden. Zo kunnen onderzoekers meer uiteenlopende aanvallen genereren en testen of die ook op andere modellen werken. De gerapporteerde slagingspercentages maken dit tot een aandachtspunt voor ontwikkelaars die systemen testen die afbeeldingen kunnen verwerken, maar tonen niet aan dat gewone gebruikers in alledaagse gesprekken betrouwbaar langs de veiligheidsmaatregelen kunnen komen.
Het abstract presenteert de resultaten als bewijs voor structurele zwakke plekken in de veiligheidsafstemming. Het maakt niet duidelijk hoe de methode buiten de genoemde evaluaties presteert en evenmin of modelaanbieders hun veiligheidsmaatregelen naar aanleiding hiervan hebben aangepast. Die vragen zijn van belang voordat de benchmarkcijfers worden gezien als een maatstaf voor het risico voor gebruikers.
Waarom het ertoe doet
Voor mensen die AI-assistenten gebruiken die afbeeldingen accepteren, wijst de paper op een mogelijke zwakke plek in de veiligheidsmaatregelen: een afbeelding kan helpen om een schadelijk antwoord uit te lokken, zelfs als het systeem is ontworpen om zo’n verzoek te weigeren. De gerapporteerde tests betreffen specifieke benchmarks en modelversies en zeggen daarom niet hoe groot de kans is dat de beveiliging bij alledaags gebruik wordt omzeild.
