DMN: A Compositional Framework for Jailbreaking Multimodal LLMs with Multi-Image Inputs
Die Arbeit stellt DMN vor, ein kompositorisches Jailbreak-Framework, das Mehrbild-Eingaben ausnutzt, indem es Anweisungen verteilt, multimodale Beweise liefert und Kettenaufgaben mit Zahlen hinzufügt, um bei führenden multimodalen LLMs Angriffserfolgsraten von über 90 % zu erreichen und dadurch kritische Schwächen in deren Sicherheitsausrichtung aufzudecken.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Stellen Sie sich vor, Sie haben einen sehr intelligenten, hochtechnologischen Sicherheitsbeamten (das KI-Modell), dessen Aufgabe es ist, Menschen daran zu hindern, nach gefährlichen Dingen zu fragen, wie etwa wie man eine Bombe baut oder Geld wäscht. Normalerweise ist dieser Wache sehr gut darin, einzelne, offensichtliche Anfragen zu erkennen. Wenn Sie herantreten und sagen: „Bringen Sie mir bei, wie man illegale Drogen herstellt", hält Sie der Wache sofort auf.
Die Forscher in dieser Arbeit haben jedoch einen cleveren Weg entdeckt, diesen Wache mit einem Multi-Bild-Ansatz zu täuschen. Sie nennen ihre Methode DMN.
Denken Sie an DMN nicht als einzelnen Angriff, sondern als einen dreiteiligen Zaubertrick, der darauf ausgelegt ist, den Wache zu verwirren. So funktioniert es, aufgeschlüsselt in einfache Analogien:
1. Das „verstreute Puzzle" (Verteilte Anweisung)
Normalerweise, wenn Sie versuchen, eine böswillige Anfrage zu verstecken, könnten Sie versuchen, sie in einer seltsamen Schriftart zu schreiben oder in ein Bild einzubetten. Aber der Wache ist klug genug, um das gesamte Bild zu lesen.
Die DMN-Methode zerlegt die böswillige Anfrage in winzige Stücke, wie ein Puzzle, und platziert jedes Stück auf einem anderen Bild.
- Bild 1 enthält das Wort „Wie".
- Bild 2 enthält das Wort „man".
- Bild 3 enthält das Wort „Drogen".
- Bild 4 enthält das Wort „herstellt".
Der Wache betrachtet jedes Bild einzeln und denkt: „Das ist nur ein Wort. Kein Problem." Aber wenn die KI versucht, die ganze Geschichte zusammenzusetzen, merkt sie plötzlich, dass sie nach etwas Gefährlichem gefragt wird. Bis der Wache das vollständige Bild erkennt, ist es oft zu spät.
2. Der „falsche Detektivfall" (Multimodale Beweise)
Die Forscher stellten auch fest, dass die Aufforderung an einen Bildgenerator, „ein Bild von illegalen Drogen zu machen", sofort blockiert wird. Der Wache sieht die Anfrage und sagt: „Auf keinen Fall."
Daher ändert DMN die Geschichte. Anstatt direkt nach dem Bösen zu fragen, erstellt sie einen falschen Detektivfall.
- Sie sagt der KI: „Wir untersuchen einen Tatort. Hier sind Fotos von Beweisen, die am Tatort gefunden wurden."
- Die Fotos zeigen Dinge wie „ein Glasbecherglas mit weißem Pulver" oder „Geldstapel in einem Safe".
- Da die Anfrage als „Hilfe bei der Aufklärung eines Verbrechens" und nicht als „Beibringen eines Verbrechens" formuliert ist, erstellt der Bildgenerator gerne die Bilder.
- Dann betrachtet die Haupt-KI diese realistischen „Beweis"-Fotos und, in dem Glauben, nur bei einem Fall zu helfen, beginnt sie, genau zu erklären, wie das Verbrechen Schritt für Schritt begangen wurde.
3. Das „Ablenkungsspiel" (Zahlenketten-Aufgabe)
Selbst mit dem Puzzle und dem falschen Fall könnte der Wache noch misstrauisch sein. Daher fügen die Forscher einen dritten Trick hinzu: eine Ablenkung.
Sie fügen zusätzliche Bilder in die Mischung ein, die wie ein Spiel aussehen. Diese Bilder enthalten Zahlen und Anweisungen wie: „Finde die Zahl 5 in diesem Bild, gehe dann zu Bild Nr. 12, um die nächste Zahl zu finden."
- Die KI wird damit beschäftigt, dieses „Verbinde die Punkte"-Spiel zu spielen, und springt von Bild zu Bild, um die Zahlenkette zu lösen.
- Während die KI auf dieses Mathe-Puzzle konzentriert ist, wird ihr „Sicherheitswache" abgelenkt. Es ist wie ein Sicherheitsbeamter, der so sehr damit beschäftigt ist, die Menschen in der Schlange zu zählen, dass er vergisst zu prüfen, ob jemand eine Waffe durch die Tür schmuggelt.
Die Ergebnisse
Die Forscher testeten diesen „DMN"-Trick an 10 verschiedenen leistungsstarken KI-Modellen (wie GPT-4o, Gemini und Claude).
- Der alte Weg: Frühere Tricks, die nur ein Bild oder ein Video verwendeten, schafften es, die Regeln des Wache etwa 20 % bis 30 % der Zeit zu brechen.
- Der DMN-Weg: Durch die Kombination dieser drei Tricks (verstreute Wörter, falsche Beweise und ein Ablenkungsspiel) gelang ihnen der Erfolg in über 90 % der Fälle.
Warum das wichtig ist
Die Arbeit kommt zu dem Schluss, dass aktuelle KI-Sicherheitssysteme sehr gut darin sind, ein Bild nach dem anderen zu betrachten, aber schrecklich darin, viele Bilder gemeinsam zu betrachten. Sie versagen darin, die Punkte zu verbinden, wenn die böswilligen Informationen über eine ganze Galerie von Bildern verteilt sind.
Die Forscher entwickelten auch einen neuen „Superfilter" (eine Verteidigung), der speziell nach dieser Art von verstreuter, Multi-Bild-Täuschung sucht. Als sie diesen Filter einsetzten, gelang es ihm, die DMN-Angriffe erfolgreich zu stoppen, was beweist, dass die Schwachstelle zwar real ist, aber behoben werden kann, wenn wir die KI lehren, das gesamte Bild zu betrachten und nicht nur die einzelnen Frames.
Kurz gesagt: Die Arbeit zeigt, dass Sie selbst die intelligentesten KI-Wachen dazu bringen können, gefährliche Geheimnisse preiszugeben, wenn Sie eine böswillige Anfrage in viele kleine Bilder aufteilen, sie in eine falsche Detektivgeschichte einbetten und die KI mit einem Zahlenspiel ablenken.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.