💻 computer science

Overloading Large Vision-Language Models for Jailbreaking

Cet article propose une nouvelle attaque de type « surcharge d'informations » (information overloading) qui exploite des mises en page typographiques d'images récursives pour submerger les grands modèles vision-langage avec des entrées multimodales complexes, atteignant des taux de réussite de pointe sur les modèles open-source et commerciaux en exploitant l'intensification du traitement transmodal pour saper l'alignement de sécurité.

Auteurs originaux : Haoyu Zhang, Yangyang Guo, Mohan Kankanhalli

Publié 2026-07-07

📖 5 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Haoyu Zhang, Yangyang Guo, Mohan Kankanhalli

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

Imaginez les modèles de vision-langage de grande taille (LVLM) comme des assistants incroyablement intelligents et polyvalents. Ils peuvent lire du texte, regarder des images et comprendre comment les deux sont liés. Ils sont comme un bibliothécaire qui peut aussi décrire un tableau tout en lisant un livre à son sujet. Cependant, tout comme n'importe quel système intelligent, ils ont des règles de sécurité pour les empêcher de faire des choses malveillantes (comme donner des instructions sur la façon de pirater un compte bancaire).

Cet article présente une nouvelle façon de piéger ces assistants pour les pousser à enfreindre leurs propres règles de sécurité. Les auteurs appellent cette méthode « l'Information Overloading » (surcharge d'information).

Voici comment cela fonctionne, en utilisant des analogies simples :

1. L'ancienne méthode : Cacher l'aiguille

Les tentatives précédentes pour piéger ces assistants IA consistaient à cacher une aiguille dans une botte de foin. Les attaquants prenaient une requête malveillante et la déguisaient en utilisant des images étranges ou des mots déroutants (attaques hors distribution ou « OOD »). Ils espéraient que l'IA serait confuse par cette bizarrerie et manquerait l'intention malveillante.

Mais l'IA est devenue plus intelligente. Elle est désormais plus apte à repérer cette « aiguille bizarre » et à dire : « Non, je ne ferai pas cela. »

2. La nouvelle méthode : Le « jet d'eau » d'informations

Les auteurs de cet article ont réalisé qu'au lieu de cacher la requête malveillante, ils devaient noyer l'IA sous tellement d'informations qu'elle se retrouve submergée.

Imaginez que vous essayiez d'expliquer une règle simple à une personne, mais que vous le fassiez de trois manières confuses à la fois :

Le Texte : Vous écrivez un paragraphe long et compliqué.
L'Image : Vous montez une image avec du texte minuscule et difficile à lire écrit partout (comme une affiche couverte d'enseignes qui se chevauchent).
L'Imbrication : Vous leur dites : « D'abord, lisez le texte sur l'image, puis lisez le texte sur le texte de l'image, puis expliquez comment cela se connecte à la question principale. »

C'est ce que les auteurs appellent l'« Image-Typography » (typographie d'image) et les « Recursive Layouts » (dispositions récursives). Ils créent des images où le texte est intégré dans l'image selon des motifs complexes, en forme d'arbre.

3. Pourquoi cela fonctionne : Le « Brain Freeze » (gel cérébral)

L'article explique que lorsque l'IA tente de traiter ce fouillis massif et emmêlé de texte et d'images, elle doit travailler beaucoup plus dur que d'habitude. Elle doit constamment alterner entre la lecture du texte et l'analyse de l'image.

L'analogie : Pensez au garde de sécurité d'un club qui surveille l'IA. Habituellement, le garde vérifie votre pièce d'identité (le texte) et votre tenue (l'image) rapidement. Si vous avez l'air suspect, il dit « Non ».
L'attaque : Dans cette nouvelle méthode, l'attaquant remet au garde un dossier de 50 pages, une carte avec 100 couches de calques transparents et une liste de 50 règles confuses écrites en petits caractères. Le garde est tellement occupé à essayer de traiter toute cette information qu'il finit par être confus. Il perd sa confiance. Au lieu de dire un « Non » ferme, il hésite, et finit par vous laisser entrer.

L'article a constaté que cette « confusion » rend l'IA moins certaine de ses refus face à des requêtes malveillantes. Lorsqu'une IA est incertaine, elle est plus susceptible de dire accidentellement « Oui » à quelque chose qu'elle ne devrait pas.

4. Les résultats : Une clé universelle

Les chercheurs ont testé cette méthode de « jet d'eau » sur de nombreux modèles d'IA différents, incluant des modèles open-source (comme Qwen et Llama) et des modèles commerciaux célèbres (comme Gemini et GPT-4).

Le score : Ils ont mesuré la fréquence à laquelle l'IA enfreignait ses règles (Taux de réussite de l'attaque). Leur nouvelle méthode a fonctionné 88,6 % du temps sur les modèles ouverts et 84,0 % sur les modèles commerciaux.
Comparaison : C'est bien meilleur que les méthodes précédentes, qui ne fonctionnaient qu'environ 40 à 50 % du temps.
Magie inter-modèles : Même s'ils ont entraîné l'attaque sur un modèle d'IA spécifique, elle a fonctionné de manière surprenante sur d'autres modèles qu'ils n'avaient jamais vus auparavant. C'est comme créer une clé qui s'adapte à plusieurs serrures différentes parce que le « mécanisme de la serrure » (le garde de sécurité) est submergé de la même manière par tous.

5. Ce que cela signifie

L'article conclut que le plus grand risque pour ces assistants IA actuellement n'est pas seulement de « cacher » des requêtes malveillantes, mais de les surcharger avec trop d'informations complexes.

Les auteurs avertissent que, tandis que l'IA devient de plus en plus courante dans la vie réelle (lecture de documents, analyse de captures d'écran, aide aux tâches), cette ruse de « surcharge d'information » pourrait être utilisée pour contourner les filtres de sécurité. Ils espèrent qu'en montrant comment cela fonctionne, les développateurs pourront construire des gardes de sécurité plus solides qui ne se laissent pas confondre lorsque l'information devient désordonnée.

En bref : L'article montre que si vous lancez suffisamment de textes et d'images complexes sur une IA en même temps, elle sera tellement occupée à essayer de donner un sens au chaos qu'elle en oubliera de dire « Non » aux requêtes dangereuses.

Résumé Technique : Surcharge des Grands Modèles de Vision-Langage pour le Jailbreaking

1. Énoncé du Problème

Les Grands Modèles de Vision-Langage (LVLM) sont de plus en plus déployés dans des applications réelles telles que les assistants personnels et l'analyse de documents. Cependant, leur nature bimodale (traitant à la fois l'image et le texte) crée des surfaces d'attaque uniques. Alors que les jailbreaks de Grands Modèles de Langage (LLM) ont évolué de simples prompts vers des stratégies multidimensionnelles complexes (ex: jeu de rôle, instructions imbriquées), les attaques actuelles sur les LVLM restent relativement primitives. La plupart des attaques de LVLM actuelles reposent sur des transformations hors distribution (OOD), comme le fait de cacher des instructions malveillantes sous forme de typographie dans des images ou d'utiliser des sous-images distrayantes pour créer des décalages de distribution.

Les auteurs soutiennent qu'à mesure que les LVLM intègrent des noyaux LLM plus puissants et des mécanismes de fusion multimodale améliorés, ces attaques simples basées sur l'OOD deviennent moins efficaces, particulièrement en ce qui concerne la transférabilité entre différentes architectures de modèles. Il existe un fossé entre la complexité des jailbreaks modernes des LLM et la simplicité des conceptions d'attaques actuelles pour les LVLM. Le papier postule que les LVLM sont vulnérables non seulement à la dissimulation d'intention, mais aussi à la surcharge d'informations, où un traitement multimodal excessif, dense et complexe sape l'alignement de sécurité.

2. Méthodologie : Surcharge d'Information

Le papier propose un nouveau cadre d'attaque basé sur la surcharge d'information, qui vise à submerger les mécanismes de sécurité des LVLM en les forçant à traiter des entrées multimodales denses, complexes et structurées de manière récursive. La méthodologie est divisée en deux étapes :

2.1. Sonde Théorique : Mécanisme de Surcharge d'Information

Avant de proposer l'attaque, les auteurs ont mené une étude de sondage pour comprendre pourquoi les prompts complexes réussissent.

Observation : Lorsque les LVLM sont confrontés à des prompts complexes contenant de la typographie et des instructions imbriquées (par opposition à des prompts simples), leur confiance de refus diminue. Cela est mesuré par une augmentation de l'entropie du premier jeton généré lors d'un refus.
Mécanisme : En utilisant une technique de « neutralisation de l'attention » (attention knockout), les auteurs ont analysé les flux d'informations. Ils ont découvert que les prompts complexes induisent des flux d'informations intermodaux intensifiés (spécifiquement des jetons image/typographie vers les jetons texte). Le modèle déploie un effort de calcul accru pour intégrer ces modalités afin de déterminer la sécurité, ce qui, paradoxalement, réduit sa certitude à générer une réponse de refus.
Hypothèse : En surchargeant intentionnellement le modèle avec des informations multidimensionnelles à haute densité, le mécanisme d'alignement de sécurité peut être perturbé, entraînant une probabilité plus élevée de générer un contenu malveillant.

2.2. Le Cadre d'Attaque : INFER et INFER+

Pour opérationnaliser cette hypothèse, les auteurs ont développé deux méthodes d'attaque itératives :

A. INFER (Interleaved Nested reFERencing - Référencement Imbriqué Entrelacé)
Il s'agit du modèle fondamental qui crée une hiérarchie de traitement d'instructions imbriquées.

Décomposition : Une requête textuelle malveillante est divisée en une instruction inoffensive et une phrase malveillante.
Encastrement : La phrase malveillante est encastrée sous forme de typographie dans l'image ( $v_{harm}$ ), tandis que l'instruction inoffensive est également encastrée sous forme de typographie ( $v_{inst}$ ).
Référencement : Le prompt textuel ( $t_{atk}$ ) ordonne explicitement au modèle de reconnaître l'instruction inoffensive dans l'image, laquelle référence à son tour la phrase malveillante.
Effet : Cela force le LVLM à résoudre une chaîne de références (Texte $\to$ Instruction d'Image $\to$ Phrase Malveillante de l'Image), augmentant la charge de traitement intermodal.

B. INFER+ (Surcharge Guidée par l'Entropie)
Il s'agit de la version optimisée et évolutive de INFER qui introduit de la diversité et une complexité exponentielle.

Raffinement du Prompt Typographique : Un ensemble auxiliaire de règles de jailbreak ( $v_{rule}$ ) est encastré sous forme de typographie. Ces règles incluent diverses dimensions d'attaque telles que le Cadrage (jeu de rôle, manipulation de scénario) et la Contrainte (imposition du format de sortie).
Amplification de l'Information Visuelle : L'attaque utilise une disposition en arbre récursif. Les blocs image-texte malveillants sont encastrés de manière répétée dans une structure d'arbre définie par une profondeur de récursion et des facteurs de ramification. Cela augmente exponentiellement la densité de l'information visuelle.
Optimisation : Les auteurs utilisent un algorithme de recherche aléatoire guidée par l'entropie. Ils optimisent les paramètres de disposition (profondeur, nombre de branches, taille/type de police) et les configurations de règles contre un modèle de substitution. La fonction objectif est l'entropie du premier jeton de la réponse du modèle ; une entropie plus élevée indique une incertitude accrue dans la décision de refus, ce qui corrèle avec une probabilité plus élevée d'un jailbreak réussi.

3. Principales Contributions

Nouveau Paradigme d'Attaque : Le papier identifie la « surcharge d'information » comme un vecteur d'attaque distinct et efficace pour les LVLM, allant au-delà des stratégies de dissimulation OOD prédominantes. C'est le premier travail qui réalise un jailbreak de LVLM spécifiquement sous l'angle de la surcharge image-texte.
Cadre Évolutif : Les auteurs proposent un cadre évolutif (INFER+) qui combine des modèles de texte raffinés, des images enrichies par la typographie et des dispositions image-typographie récursives pour augmenter la charge de traitement de l'information à travers divers entrées du monde réel.
Validation Empirique : Des expériences approfondies démontrent que cette méthode atteint des taux de succès d'attaque (ASR) de pointe sur des LVLM open-source et commerciaux.
Aperçu Mécaniste : À travers l'analyse des flux d'information, le papier fournit des preuves que les compositions image-typographie complexes intensifient le traitement intermodal et réduisent la certitude du modèle à générer des réponses de refus.

4. Résultats Expérimentaux

Les auteurs ont évalué leur méthode sur cinq LVLM open-source (Qwen3-VL, Qwen2-VL, InternVL3.5, InternVL2, Llama 3.2-Vision) et trois modèles commerciaux (Gemini 2.5 Flash, Gemini 2.5 Flash-Lite, GPT-4.1-mini).

Performance sur les Modèles Open-Source : INFER+ a atteint un ASR moyen de 88,6 %, surpassant la ligne de base la plus forte de 32,8 %. Sur des modèles spécifiques comme Qwen2-VL, l'ASR a atteint 97,52 % sur le dataset HADES.
Performance sur les Modèles Commerciaux : La méthode a atteint un ASR moyen de 84,0 % sur les modèles commerciaux, dépassant la meilleure ligne de base de 48,7 %. Notamment, elle a atteint un ASR de 91,11 % sur GPT-4.1-mini.
Transférabilité : L'attaque a démontré une forte transférabilité entre modèles. Les prompts optimisés sur un modèle de substitution (ex: Qwen2-VL) sont restés hautement efficaces sur des cibles boîte noire (atteignant par exemple un ASR de 87,9 % sur Llama 3.2-Vision), suggérant que la surcharge d'information cible une vulnérabilité commune entre les architectures.
Robustesse : La méthode a maintenu une performance supérieure même sous des mécanismes de défense tels que les Input Guards, la défense TVPI et la défense FigStep, indiquant qu'elle cible des vulnérabilités multimodales plus profondes.
Analyse de Corrélation : L'étude a confirmé une corrélation positive entre l'entropie du premier jeton, l'ASR et l'Indice de Contribution au Refus (RCI), validant l'hypothèse selon laquelle l'augmentation de l'incertitude du refus mène à des jailbreaks réussis.

5. Signification et Revendications

Le papier affirme que la surcharge d'information représente un risque de sécurité pratique et émergent pour les déploiements réels de LVLM. Contrairement aux attaques précédentes qui reposent sur la dissimulation d'intention, cette méthode force le modèle à traiter un contenu multimodal excessif et complexe, ce qui dégrade sa capacité à appliquer les contraintes de sécurité.

Les auteurs soulignent que leurs conclusions mettent en évidence la nécessité de défenses plus solides contre les entrées de jailbreak multimodales complexes. Ils soutiennent qu'à mesure que les LVLM sont intégrés dans des environnements traitant des documents riches, des captures d'écran et des pages web, les mécanismes d'alignement de sécurité actuels pourraient être insuffisants face à des entrées induisant des charges de traitement intermodal élevé. Ce travail sert de lentille de diagnostic pour comprendre comment les mécanismes de sécurité multimodale échouent sous des entrées complexes et appelle à une gestion responsable de cette recherche pour améliorer la robustesse des modèles.