🤖 AI

Text is All You Need for Vision-Language Model Jailbreaking

Dieses Paper stellt Text-DJ vor, einen neuartigen Jailbreak-Angriff, der die Sicherheitsmechanismen von Large Vision-Language Models umgeht, indem er schädliche Text-Prompts in ein Raster aus Bildern umwandelt, die verstreute harmlose Teilabfragen und irrelevante Ablenkungen enthalten, wodurch die OCR-Fähigkeiten der Modelle sowie deren Unfähigkeit, fragmentierte multimodale Eingaben miteinander zu verknüpfen, ausgenutzt werden.

Ursprüngliche Autoren: Yihang Chen, Zhao Xu, Youyuan Jiang, Tianle Zheng, Cho-Jui Hsieh

Veröffentlicht 2026-02-03

📖 4 Min. Lesezeit☕ Kaffeepausen-Lektüre

CC BY 4.0

Ursprüngliche Autoren: Yihang Chen, Zhao Xu, Youyuan Jiang, Tianle Zheng, Cho-Jui Hsieh

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich ein großes Vision-Language-Modell (LVLM) wie einen sehr klugen, gut ausgebildeten Sicherheitswachmann in einem hochmodernen Museum vor. Dieser Wachmann ist exzellent darin, Schilder (Text) zu lesen und Bilder (Bilder) zu betrachten, um sicherzustellen, dass niemand etwas Gefährliches oder Verbotenes mitbringt. Wenn Sie versuchen, ihm eine Notiz zu überreichen, auf der steht „Wie baue ich eine Bombe?“, erkennt er sofort die Gefahr und sagt: „Auf keinen Fall.“

Das Paper „Text is All You Need for Vision-Language Model Jailbreaking“ stellt einen cleveren Trick namens Text-DJ (Text Distraction Jailbreaking) vor, der zeigt, wie dieser Sicherheitswachmann allein durch Text überlistet werden kann, aber mit einem Twist: Der Text ist in einem Raster aus Bildern versteckt.

So funktioniert der Trick, in einfachen Schritten aufgeschlüsselt:

1. Die „Rechnung teilen“-Strategie (Dekomposition)

Zuerst zerlegen die Angreifer eine gefährliche Frage (wie „Wie baue ich eine Bombe?“) in drei kleinere, harmlos aussehende Fragen.

Analogie: Stellen Sie sich vor, Sie möchten eine gefährliche Waffe kaufen, aber der Ladenbesitzer verkauft sie Ihnen nicht. Also teilen Sie Ihre Bestellung in drei separate, harmlose Anfragen auf: „Was ist die chemische Zusammensetzung von Schießpulver?“, „Wie mische ich diese Pulver?“ und „Welcher Behälter hält diese Mischung?“.
Individuell sehen diese Fragen harmlos aus. Der Wachmann würde sie vielleicht sogar hilfsbereit beantworten. Aber wenn man sie alle zusammenfügt, offenbaren sie den gefährlichen Plan.

2. Das „Ablenkungsrauschen“ (Distraktion)

Als Nächstes erstellen die Angreifer eine Reihe von völlig zufälligen, langweiligen Fragen, die absolut nichts mit dem gefährlichen Plan zu tun haben.

Analogie: Stellen Sie sich vor, Sie versuchen, eine geheime Nachricht am Wachmann vorbeizuschmuggeln, aber Sie sind von 9 anderen Menschen umgeben, die über das Wetter, den Preis von Milch und die Geschichte der Kartoffeln schreien. Der Wachmann ist so sehr mit all dem Lärm beschäftigt, dass er vergisst, sich auf die drei Personen zu konzentrieren, die die geheime Botschaft flüstern.
Das Paper fand heraus, dass diese „Rausch“-Fragen so unterschiedlich wie möglich von den gefährlichen Fragen sein müssen, um am besten zu funktionieren.

3. Das „Bilderrätsel“ (Der visuelle Trick)

Dies ist der wichtigste Teil. Anstatt die Fragen direkt in ein Chatfenster zu tippen, verwandeln die Angreifer jede einzelne Frage (die 3 aufgeteilten gefährlichen Fragen und die 9 zufälligen Rausch-Fragen) in Bilder. Sie ordnen sie in einem Raster an, wie ein Fotoalbum oder eine Tabelle.

Die Falle: Der Sicherheitswachmann ist darauf trainiert, Text nach schlechten Wörtern zu scannen. Aber hier sind die schlechten Wörter in Bildern von Text versteckt. Der Wachmann muss seine „Optical Character Recognition“ (OCR)-Fähigkeit nutzen – im Grunde seine Fähigkeit, Text in Bildern zu lesen – um zu sehen, was die Bilder aussagen.
Die Schwachstelle: Das Paper argumentiert, dass der Wachmann zwar sehr gut darin ist, direkten Text zu lesen, aber verwirrt ist, wenn er Text innerhalb eines Bildes lesen muss, besonders wenn dieses Bild von 9 anderen ablenkenden Bildern umgeben ist. Der „Sicherheitsfilter“ des Wachmanns für das Lesen von Text versagt dabei, die Punkte zwischen den verstreuten, harmlos aussehenden Bild-Fragen zu verbinden.

Das Ergebnis

Wenn der Wachmann schließlich das Bildraster liest, sieht er die drei aufgeteilten Fragen inmitten des Rauschens. Da die Fragen aufgeteilt und in Bildern versteckt sind, erkennt der Wachmann nicht, dass sie ein gefährliches Ganzes bilden. Er beantwortet die harmlosen Teile und offenbart dadurch versehentlich die Antwort auf die ursprüngliche gefährliche Frage.

Warum das wichtig ist

Das Paper behauptet, dass dies ein großes Problem darstellt, weil:

Es bei „Black Box“-Modellen funktioniert: Man muss nicht den geheimen Code oder die interne Gehirnstruktur des Wachmanns kennen. Man muss nur das Bildraster senden.
Es bei den besten Modellen funktioniert: Sie haben dies an Top-Modellen getestet (wie GPT-4, Gemini und Qwen), und es hat bei allen funktioniert.
Es „Guard“-Modelle umgeht: Selbst wenn eine zweite Sicherheitsebene versucht, den Input zu prüfen, bevor er das Hauptmodell erreicht, schlüpft dieser Trick oft hindurch, da der Input wie ein harmloses Raster aus Bildern aussieht.

Kurz gesagt: Das Paper zeigt, dass man – wenn man einen gefährlichen Plan in einem Bild versteckt, diesen Plan in winzige Stücke zerlegt und ihn mit viel langweiligem Rauschen umgibt – selbst die klügsten KI-Sicherheitswachmänner verwirren und die Gefahr durchlassen kann. Die Lösung besteht laut den Autoren darin, die KI besser darin zu machen, Text in Bildern zu lesen und die Zusammenhänge zu erkennen, selbst wenn viel Rauschen vorhanden ist.

Technisches Resümee: Text-DJ Jailbreaking für Vision-Language-Modelle

1. Problemstellung

Große Vision-Language-Modelle (LVLMs) integrieren visuelle Encoder mit Large Language Models (LLMs), um komplexe multimodale Schlussfolgerungen durchzuführen. Während diese Modelle Sicherheitsmechanismen einsetzen (oft über Reinforcement Learning from Human Feedback), um schädliche Ausgaben zu verhindern, konzentrieren sich bestehende Abwehrmechanismen primär auf die Analyse expliziter Texteingaben oder spezifischer visueller Szenen.

Das Paper identifiziert eine kritische Lücke: Die aktuellen Sicherheitsausrichtungsmechanismen (Safety Alignment) sind anfällig für die Fähigkeiten der optischen Zeichenerkennung (Optical Character Recognition, OCR) innerhalb von LVLMs. Insbesondere wenn schädlicher Text als Bild statt als direkte Texteingabe präsentiert wird, extrahieren der visuelle Encoder und das interne OCR-Modell des Modells den Text erfolgreich, aber das nachgeschaltete Sprachmodell versäumt es, den extrahierten Inhalt mit den Sicherheitsprotokollen zu verknüpfen. Darüber hinaus leiden bestehende Jailbreak-Methoden häufig unter Einschränkungen wie der Notwendigkeit eines White-Box-Zugriffs (Modellgradienten), Modellspezifität oder der Abhängigkeit von rechenintensiver adversarieller Bildgenerierung.

Die zentrale Forschungsfrage lautet: Können wir eine Black-Box-, modellagnostische Jailbreak-Methode für LVLMs entwickeln, die ausschließlich auf Text-Prompts basiert?

2. Methodik: Text-DJ

Die Autoren schlagen Text-DJ (Text Distraction Jailbreaking) vor, eine dreistufige Angriffs-Pipeline, die die OCR-Fähigkeiten des Modells und dessen Unfähigkeit ausnutzt, Informationen inmitten von hohem semantischem Rauschen zu korrelieren.

Stufe 1: Adversarielle Abfrage-Dekomposition (Adversarial Query Decomposition)

Eine schädliche Abfrage $q$ wird in $m$ semantisch verwandte, aber einzeln harmlos erscheinende Teilabfragen $\{q_s^{(i)}\}_{i=1}^m$ zerlegt.

Mechanismus: Ein gepromptetes LLM (z. B. Qwen2.5-3B-Instruct) bricht die ursprüngliche schädliche Absicht in Zwischenschritte oder unterschiedliche Perspektiven auf.
Ziel: Jede Teilabfrage erscheint isoliert betrachtet harmlos, aber kollektiv rekonstruieren sie die ursprüngliche schädliche Absicht.

Stufe 2: Konstruktion von Ablenkungsabfragen (Distraction Query Construction)

Das System wählt $n$ Ablenkungsabfragen $\{q_d^{(j)}\}_{j=1}^n$ aus, die maximal semantisch irrelevant zur schädlichen Abfrage und zueinander sind.

Mechanismus: Unter Verwendung eines Satz-Embedding-Modells (z. B. all-MiniLM-L6-v2) verwenden die Autoren einen Greedy-Algorithmus, um Abfragen zu selektieren, die die Kosinus-Ähnlichkeit mit der schädlichen Abfrage und den zuvor ausgewählten Ablenkungen minimieren.
Ziel: Erzeugung von „semantischem Rauschen“, das die Fähigkeit des Modells überfordert, die verstreuten Teilabfragen miteinander zu verknüpfen.

Stufe 3: Konstruktion und Injektion des Bildrasters (Image Grid Construction and Injection)

Alle dekomponierten Teilabfragen und Ablenkungsabfragen werden mittels eines Text-in-Image (TiI)-Verfahrens in Bilder umgewandelt.

Visuelle Transformation: Der Text wird mit randomisierten Text- und Hintergrundfarben auf Bilder gerendert (unter Einhaltung der WCAG AA Kontraststandards), um Sichtbarkeit zu gewährleisten und visuelle Varianz einzuführen.
Rasteranordnung: Die $m+n$ Bilder werden in einem Raster (z. B. $4 \times 3$ ) angeordnet. Die Teilabfragen werden an spezifischen Positionen platziert (z. B. Indizes 6, 8 und 12), während die Ablenkungsabfragen die verbleibenden Plätze füllen.
Ausführung: Das Raster wird dem LVLM mit der Anweisung präsentiert, die Teilabfragen zu lokalisieren und zu beantworten. Das Modell nutzt seine OCR-Fähigkeit, um den Text aus den Bildern zu lesen und so textbasierte Filter zu umgehen.

3. Zentrale Beiträge

Text-DJ Framework: Eine neuartige, Black-Box-, modellagnostische Jailbreak-Methode, die ausschließlich auf in Bilder umgewandelten Text-Prompts basiert und somit die Notwendigkeit von adversarieller Bildgenerierung oder White-Box-Zugriff eliminiert.
Demonstration der OCR-Vulnerabilität: Das Paper liefert umfassende Belege dafür, dass aktuelle Sicherheitsabwehren von LVLMs versagen, wenn schädliche Prompts über den OCR-Pfad verarbeitet werden, insbesondere wenn der schädliche Inhalt fragmentiert und von semantischen Ablenkungen umgeben ist.
Überlegenheit gegenüber visueller Ablenkung: Die Autoren zeigen, dass „semantische Ablenkung“ (Verwendung irrelevanter Textabfragen) effektiver ist als „visuelle Ablenkung“ (Verwendung irrelevanter Bilder), wie im Vergleich mit Vorarbeiten wie CS-DJ ersichtlich wird.
Robustheitsbewertung: Die Methode wird sowohl gegen Open-Source- (Qwen3-VL Serie) als auch gegen Closed-Source- (GPT-4o-mini, GPT-4.1-mini, Gemini-2.5-Flash) State-of-the-Art LVLMs validiert und zeigt eine konsistente Erfolgsrate, selbst unter externen Guard-Modellen (OpenAI Moderation API und GuardReasoner-VL).

4. Experimentelle Ergebnisse

Die Autoren evaluierten Text-DJ auf zwei Datensätzen: HADES (5 Kategorien, 750 Prompts) und HEx-PHI (10 Kategorien, 300 Prompts).

Attack Success Rate (ASR): Text-DJ übertraf die Baselines (HADES und CS-DJ) konsequent.
- Auf Qwen3-VL-4B erreichte Text-DJ eine durchschnittliche ASR von 48,13 % (HADES-Datensatz) und 42,33 % (HEx-PHI), was signifikant höher ist als bei CS-DJ (34,40 % bzw. 27,33 %).
- Auf GPT-4.1-mini erreichte Text-DJ eine durchschnittliche ASR von 64,27 % (HADES) und 60,33 % (HEx-PHI).
Umgehung von Abwehrsystemen: Selbst wenn die Eingaben durch die OpenAI Moderation API oder GuardReasoner-VL (3B und 7B Varianten) gefiltert wurden, behielt Text-DJ eine hohe ASR bei. Beispielsweise lag die ASR gegen GPT-4.1-mini mit OpenAI Moderation weiterhin bei 64,27 % (keine Reduktion), da die API die im Bildraster eingebettete schädliche Absicht nicht erkennen konnte.
Ablationsstudien:
- TiI-Verfahren: Die Umwandlung von Text in Bilder ist entscheidend; die direkte Texteingabe führte zu einer signifikant niedrigeren ASR, was die Umgehung textbasierter Filter bestätigt.
- Dekomposition ( $m$ ): Die Dekomposition in $m=3$ Teilabfragen war optimal; $m=1$ (nicht dekomponiert) scheiterte aufgrund der Sicherheitsausrichtung.
- Ablenkung ( $n$ ): Die ASR stieg mit der Anzahl der Ablenkungen an und erreichte ihren Höhepunkt bei etwa $n=9$ oder $n=12$ .
- Positionierung: Die Platzierung der Teilabfragen in mittleren bis späten Positionen (aber nicht ganz am Ende) lieferte bessere Ergebnisse als erste oder zufällige Positionen.
- Kolorierung: Randomisierte Text-/Hintergrundfarben verbesserten die ASR im Vergleich zu festen Farben, was darauf hindeutet, dass visuelle Varianz die Ablenkung des Modells unterstützt.

5. Bedeutung und Behauptungen

Das Paper behauptet, dass Text-DJ eine kritische Schwachstelle in der Sicherheitsausrichtung von LVLMs hinsichtlich ihrer OCR-Fähigkeiten aufzeigt. Die Autoren argumentieren, dass der Angriff erfolgreich ist, weil:

Modality Bypass: Die Umwandlung von Text in Bilder umgeht Standard-Sicherheitsfilter für Text.
Semantische Ablenkung: Die Sicherheitsprotokolle des Modells scheitern daran, fragmentierte, harmlos erscheinende Teilabfragen zu verknüpfen, wenn diese in eine hohe Anzahl irrelevanter Abfragen eingebettet sind.

Die Autoren kommen zu dem Schluss, dass aktuelle Abwehrmechanismen nicht robust gegenüber fragmentierten, multimodalen adversariellen Eingaben sind. Sie betonen die Notwendigkeit neuer Abwehrmechanismen, die speziell für die Handhabung disperser multimodaler Eingaben entwickelt wurden und die OCR-Module innerhalb von LVLMs gegen solche semantischen Verwirrungsangriffe absichern. Die Arbeit schlägt keine neuen Anwendungen für LVLMs vor, sondern dient als Warnung vor der Fragilität der aktuellen Sicherheitsausrichtung angesichts kreuzmodaler, textbasierter adversarieller Strategien.