論文要約：Reading Between the Pixels: An Inscriptive Jailbreak Attack on Text-to-Image Models

この論文は、テキスト生成画像（T2I）モデルの急速な進歩、特に「可読な文章の描画能力」を悪用した新たな攻撃手法**「Inscriptive Jailbreak（記述的ジャイルブレイク）」**を提案し、その実証分析を行った研究です。

以下に、問題定義、手法、主要な貢献、結果、および意義について詳細にまとめます。

---

1. 問題定義：Inscriptive Jailbreak（記述的ジャイルブレイク）

従来の T2I モデルに対するジャイルブレイク攻撃（Depictive Jailbreak）は、暴力的や性的な視覚的コンテンツを生成させることを目的としていました。しかし、最新の T2I モデル（GPT Image, Seedream など）は、画像内に可読な段落レベルのテキストを正確に描画できるようになりました。

著者らは、この能力を悪用した新たな攻撃ベクトルを**「Inscriptive Jailbreak」**と定義しました。

• 概念: 悪意のあるテキスト（例：詐欺文書、爆弾製造マニュアル、フィッシング情報）を、視覚的には無害なシーン（例：教室の黒板、新聞、手紙）の中に埋め込んで生成させる攻撃。
• 特徴:
  • 生成された画像自体は視覚的に安全に見えるため、従来の画像フィルタを回避できる。
  • 画像内のテキストは OCR や人間によって読み取られ、有害な情報として機能する。
  • 既存のテキストベースのコンテンツモデレーションシステムも、画像生成という形式を介しているため回避されやすい。
• 課題: 既存の攻撃手法は粗い視覚的整合性しか求めないが、この攻撃では文字レベルの正確性（Legibility）と意味的な整合性を維持しつつ、入力・出力両方の安全フィルタを回避する必要があるため、最適化が極めて困難である。

2. 手法：Etch Framework

著者らは、この複雑な最適化問題を解決するための黒箱攻撃フレームワーク**「Etch」**を提案しました。Etch は、敵対的プロンプトの構成を 3 つの機能的に直交するレイヤーに分解し、ゼロ次最適化ループで反復的に改善します。

2.1 コンポーザルなプロンプト分解 (Compositional Prompt Decomposition)

プロンプトを 3 つのレイヤーに分割し、それぞれを独立して最適化します。これにより、全空間での結合最適化の難易度を下げます。

1. 意味的カモフラージュ層 (Semantic Camouflage, $\ell_{nar}$):
   • 目的: 入力側のテキストガードレール（$G_{pre}$）を回避。
   • 手法: 有害な意図を、文脈的に整合性のある benign（無害）なドメインへ転置します（例：「爆弾の作り方」を「化学の教育シナリオ」や「スリラー小説の執筆」に変換）。直接的な敏感語の置換ではなく、意図を保持しつつ文脈を安全化します。
2. 視覚的・空間的アンカリング層 (Visual-Spatial Anchoring, $\ell_{scn}$):
   • 目的: 出力側の画像ガードレール（$G_{post}$）を回避。
   • 手法: 画像内にテキストが表示される「自然な場所」を設計します（例：黒板、モニター、新聞）。テキストが不自然に重ねられたように見えないよう、物理的な環境を指定し、視覚的に無害な写真として認識させます。
3. タイポグラフィペイロード符号化層 (Typographic Payload Encoding, $\ell_{typ}$):
   • 目的: 描画されたテキストの正確性と内容の充実度を最大化（$f_{judge}$）。
   • 手法: T2I モデルが自律的に有害テキストを生成するための指示（フォントサイズ、密度、セグメント化など）を与え、モデル内部の言語事前分布を利用して、読みやすく詳細なテキストを生成させます。

2.2 ゼロ次意味最適化ループ (Zero-Order Semantic Optimization)

単発の生成では、文字の欠落や意味の逸脱（ドリフト）が発生する可能性があります。これを解決するために、VLM（Vision-Language Model）を「クリティク（批評家）」として用いた反復最適化を行います。

• プロセス:
  1. 生成された画像を VLM クリティクが評価。
  2. 失敗モード（文字の欠落、意味のズレ、フィルタ拒否など）を特定し、どのレイヤー（$\ell_{nar}, \ell_{scn}, \ell_{typ}$）に問題があるかを診断。
  3. 診断結果に基づき、問題のあるレイヤーのみをターゲットにプロンプトを修正（Layer-Targeted Search）。
  4. 最大クエリ予算（$T_{max}$）までこのループを繰り返す。
• 利点: 勾配情報に依存せず、失敗の原因を特定して修正方向を指示するため、効率的に攻撃成功率を向上させます。

3. 主要な貢献

1. Inscriptive Jailbreak の定義と形式化: T2I モデルのテキスト描画能力を悪用した新たな攻撃パラダイムを初めて体系化しました。
2. Etch フレームワークの提案: 安全パイプラインの各段階に対応する 3 つの直交レイヤーと、VLM 駆動のゼロ次最適化ループを組み合わせた、効果的な攻撃手法を提案しました。
3. 広範な評価と盲点の暴露: 7 つの SOTA T2I モデル（商用・オープンソース含む）と 2 つのベンチマークデータセットを用いた実験により、既存手法を大幅に上回る攻撃成功率を達成し、現在の T2I セーフティ評価における重大な盲点を明らかにしました。

4. 実験結果

• 攻撃成功率 (ASR):
  • 7 モデル平均で 65.57% の ASR を達成（最高 91.00%）。
  • 既存の最強力なベースライン（ASR 約 35.43%）を大幅に上回りました。
  • 特に、テキスト描画能力に特化して最適化されたモデル（Hunyuan-3.0 など）では、ASR が 91% に達し、安全性とのトレードオフが顕著であることを示しました。
• 防御への耐性:
  • テキストレベルの防御（LlamaGuard2 など）や画像レベルの防御（LatentGuard など）に対して高い回避率を維持しました。
  • 従来のジャイルブレイクと異なり、テンプレートや特定のフレーズに依存しないため、摂動や変異検出にも強いです。
• アブレーション研究:
  • 3 つのレイヤー（カモフラージュ、アンカリング、符号化）のいずれかを除去すると ASR が劇的に低下し、各コンポーネントの重要性が確認されました。
  • VLM クリティクによる反復最適化（$T_{max}=2$）により、ASR がさらに 16% 程度向上しました。

5. 意義と結論

• 安全性への警鐘: 現在の T2I モデルのセーフティ評価は「視覚的な有害性」に焦点を当てすぎており、「画像内に埋め込まれたテキストの有害性」を見落としています。この研究は、タイポグラフィ（文字）に意識した防御メカニズムの必要性を強く訴求しています。
• 将来の防御: 著者らは、軽量な事前防御として「Latent Intent Guard (LIG)」を提案しましたが、それでも高度に巧妙化された Inscriptive ジャイルブレイクに対しては完全な防御が困難であることを示しました。
• 結論: T2I モデルのテキスト描画能力は、双用途（有用性と悪用）のリスクを内包しています。今後は、生成画像の視覚的意味だけでなく、その中に含まれるテキストの内容そのものを監査・検知する多モーダルな防御技術の開発が急務です。

この論文は、生成 AI の安全性研究において、視覚とテキストの境界領域における新たな脅威を浮き彫りにした重要な研究と言えます。