Um artigo de pesquisa enviado ao arXiv em 28 de outubro descreve um método para criar ataques variados com imagens, capazes de levar grandes modelos de linguagem multimodais (MLLMs) — sistemas de IA que processam imagens e também texto — a atender a pedidos nocivos. Os autores chamam o método de Jailbreak Connectivity. Os testes relatam altas taxas de sucesso em vários modelos, mas os resultados são avaliações do próprio artigo, e não uma confirmação independente de que os ataques funcionem em todas as situações.
Em vez de otimizar uma imagem por vez, o Jailbreak Connectivity busca caminhos no espaço das imagens em que o ataque continua eficaz. A amostragem ao longo desses caminhos produz imagens diferentes, concebidas para provocar a mesma resposta insegura. O método também usa pequenos classificadores “substitutos” — modelos mais simples que ajudam a direcionar ataques a outros sistemas — e um objetivo pensado para funcionar com vários tipos de pedidos nocivos, e não apenas com um.
O que os testes encontraram?
No MM-SafetyBench, o artigo relata taxas médias de sucesso dos ataques de 84,01% contra Qwen3-VL-8B-Instruct, 85,77% contra InternVL3.5-8B e 97,95% contra Gemma-3-12B-IT. Segundo os autores, esses resultados superaram os métodos de comparação mais fortes em até 68,36 pontos percentuais. Essa é a maior diferença relatada, não uma afirmação de que todos os modelos foram superados por essa margem.
O artigo também descreve avaliações de caixa-preta, nas quais os responsáveis pelos ataques testam um modelo sem acesso a seu funcionamento interno. Em comparação com um método de ataque chamado FigStep, o Jailbreak Connectivity teria elevado as taxas de sucesso em 24,69 pontos percentuais no GPT-5.6 e 27,34 pontos no Gemini 3.1 Pro. O resumo não informa as taxas iniciais, as condições dos testes nem os detalhes necessários para avaliar em que medida esses resultados se aplicam a outras versões ou ao uso no mundo real.
O que os resultados mostram — e o que não mostram
O trabalho contribui para as pesquisas sobre a possibilidade de imagens comprometerem as medidas de segurança de assistentes de IA. Sua principal alegação é que ataques visuais eficazes podem formar regiões conectadas, em vez de serem exemplos isolados, o que permitiria aos pesquisadores gerar ataques mais variados e testar sua transferência entre modelos. As taxas de sucesso relatadas tornam essa questão relevante para desenvolvedores que avaliam sistemas capazes de processar imagens, mas não demonstram que usuários comuns consigam contornar as proteções de forma confiável em conversas cotidianas.
O resumo do artigo apresenta os resultados como evidência de fragilidades estruturadas no alinhamento de segurança. Ele não estabelece como o método funciona fora das avaliações mencionadas nem se os provedores dos modelos alteraram suas proteções em resposta. Essas questões precisam ser esclarecidas antes que os números dos benchmarks sejam tratados como uma medida do risco para os usuários.
Por que importa
Para quem usa assistentes de IA que aceitam imagens, o artigo aponta uma possível fragilidade nas proteções: uma imagem pode ajudar a obter uma resposta nociva mesmo quando o sistema foi projetado para recusá-la. Os testes relatados dizem respeito a benchmarks e versões específicas dos modelos, portanto não indicam a probabilidade de contornar as proteções no uso cotidiano.
