# Новый метод проверяет визуальные джейлбрейки на разных ИИ-моделях

> В статье на arXiv сообщается, что атаки с помощью изображений обходили защиту ряда мультимодальных моделей, включая GPT-5.6 и Gemini 3.1 Pro.

Oossa · 2026-10-30 · https://oossa.com/ru/new-method-tests-visual-jailbreaks-across-ai-models

Дата события: 2026-10-28

В исследовательской статье, опубликованной на arXiv 28 октября, описан метод создания разнообразных атак с помощью изображений, которые могут побуждать большие мультимодальные языковые модели (MLLM) — системы ИИ, обрабатывающие и изображения, и текст, — отвечать на вредоносные запросы. Авторы назвали этот метод Jailbreak Connectivity. По результатам их тестов, на нескольких моделях атаки часто оказывались успешными. Однако это оценки авторов статьи, а не независимое подтверждение того, что атаки работают в любых условиях.

Вместо того чтобы оптимизировать изображения по одному, Jailbreak Connectivity ищет в пространстве изображений пути, вдоль которых атака остаётся эффективной. Выборка точек на этих путях позволяет создавать разные изображения, призванные вызвать один и тот же небезопасный ответ. Метод также использует небольшие «суррогатные» классификаторы — более простые модели, помогающие направлять атаки на другие системы, — и целевую функцию, рассчитанную на широкий набор вредоносных запросов, а не на один конкретный.

## Что показали тесты?

В тесте MM-SafetyBench средний показатель успешности атак, согласно статье, составил 84.01% для Qwen3-VL-8B-Instruct, 85.77% для InternVL3.5-8B и 97.95% для Gemma-3-12B-IT. Авторы утверждают, что эти результаты превзошли показатели лучших методов для сравнения максимум на 68.36 процентного пункта. Это наибольший заявленный разрыв, а не утверждение, что каждая модель была побеждена с таким отрывом.

В статье также описаны тесты в режиме «чёрного ящика», когда атакующие проверяют модель, не имея доступа к её внутреннему устройству. По сообщению авторов, по сравнению с методом FigStep Jailbreak Connectivity повысил успешность атак на 24.69 процентного пункта для GPT-5.6 и на 27.34 пункта для Gemini 3.1 Pro. В аннотации не указаны исходные показатели, условия тестирования и подробности, необходимые для оценки того, насколько эти результаты применимы к другим версиям моделей или использованию в реальных условиях.

## Что показывают результаты — и чего они не доказывают

Эта работа дополняет исследования того, могут ли изображения подрывать меры безопасности ИИ-помощников. Главный тезис авторов состоит в том, что эффективные визуальные атаки могут образовывать связные области, а не быть отдельными примерами. Это позволяет исследователям создавать более разнообразные атаки и проверять, переносятся ли они на другие модели. Заявленные показатели успешности делают эту проблему важной для разработчиков, которые оценивают системы, способные работать с изображениями. Однако они не доказывают, что обычные пользователи могут надёжно обходить защиту в повседневных диалогах.

В аннотации результаты представлены как свидетельство структурных слабых мест в согласовании моделей с требованиями безопасности. Но в ней не установлено, насколько хорошо метод работает за пределами названных тестов и меняли ли поставщики моделей защиту в ответ на эти результаты. Прежде чем считать показатели бенчмарков мерой риска для пользователей, важно получить ответы на эти вопросы.

## Факты

- В истории публикации на arXiv указано, что статья датирована 28 октября 2026 года.
- В тесте MM-SafetyBench Jailbreak Connectivity показывает среднюю успешность атак 84.01% на Qwen3-VL-8B-Instruct.
- В том же тесте статья сообщает о средней успешности 97.95% на Gemma-3-12B-IT.
- В тестах «чёрного ящика» метод, по сообщению авторов, превзошёл FigStep на 24.69 процентного пункта для GPT-5.6 и на 27.34 пункта для Gemini 3.1 Pro.

## Почему это важно

Для пользователей ИИ-помощников, принимающих изображения, статья указывает на возможную слабость защиты: картинка может помочь получить вредоносный ответ, даже если система настроена отказывать в таких запросах. Результаты относятся к конкретным тестам и версиям моделей, поэтому не позволяют судить о вероятности обхода защиты при обычном использовании.

## Источники и ссылки

1. [Jailbreak Connectivity: Towards Diverse, Transferable, and Universal Multimodal Large Language Model Jailbreak](https://arxiv.org/abs/2610.38091) – arXiv cs.LG, 2026-10-30
2. [Component Translation and Judge-Labelled Refusal: A Multilingual Safety Evaluation](https://arxiv.org/abs/2610.38181) – arXiv, 2026-10-30

Обновлено: 2026-10-30