技術的概要：隠蔽、再構築、ジャイルブレイク

問題定義

本論文は、意図の曖昧化に基づくジャイルブレイク攻撃に対するマルチモーダル大規模言語モデル（MLLM）の脆弱性に取り組む。安全性アライメント機構は直接的な要求に対する有害な出力を効果的に抑制するが、攻撃者は有害なクエリを隠蔽されたマルチモーダル入力に変換することで、これらのフィルタを回避できる。著者は、これらの攻撃を支配する根本的な緊張関係、すなわち再構築と隠蔽のトレードオフを特定している。

ジャイルブレイクが成功するためには、変換された入力は以下の2つの矛盾する要件を満たさなければならない：

1. 隠蔽性：入力は、安全性フィルタを回避するのに十分なほど有害な意図を曖昧にしなければならない。
2. 再構築性：入力は、被害者である MLLM が元の有害な要求を再構築し、望ましい安全でない応答を生成するのに十分な情報を保持しなければならない。

著者は、既存のブラックボックス手法（具体的には FlipAttack、Shuffle Inconsistency (SI)、Contrastive Subimage Distraction Jailbreaking (CS-DJ)）がこのトレードオフを効果的にバランスできていないと主張する。これらは、あまりに多くの意味情報を保持しすぎている（隠蔽性の失敗）、あるいは入力を過度に劣化させている（再構築性の失敗）ため、全体の攻撃成功率（ASR）が制限されている。

手法

提案されたフレームワークConceal, Reconstruct, Jailbreakは、以下の3つの中核的コンポーネントを通じてこのトレードオフを実用的なものにする：

1. 隠蔽性感知型バリアント構築

ランダムな文字削除や複雑な置換に依存するのではなく、著者は文字削除バリアントに対する貪欲な選択戦略を提案する：

• 候補生成：元の有害なクエリから文字の割合 $\rho$（デフォルト 0.20）をランダムに削除することで、バリアントのプールを生成する。
• キーワード整合性フィルタリング：候補を、特定の有害なキーワードとの意味的整合性（CLIP テキスト埋め込みを使用）によって順位付けする。高い整合性を示すバリアントは、より強力な隠蔽性を確保するために破棄される。
• 多様性選択：残った低整合性の候補から、元のクエリおよび互いに対して多様性を最大化するサブセットが選択される。これにより、個々のバリアントは曖昧である一方で、集合全体が再構築に必要な補完的な情報を提供することが保証される。

2. モダリティ感知型プロンプト戦略

選択されたバリアントは、テキストと画像チャネルに情報を分散させる5つの異なる戦略を用いて、マルチモーダル入力として具体化される：

• TxtV：すべてのバリアントがテキスト経由で配信される。
• TxtV-GDI：テキストバリアントが、キーワードに関連するディストラクタ画像によって拡張される。
• TypV：バリアントはタイポグラフィック画像（テキストを画像化）としてレンダリングされ、テキストチャネルから完全に除去される。
• TTV：バリアントがテキストチャネルとタイポグラフィック画像チャネルの間に分割される。
• TTV-GDI：クロスモーダルな分割が、キーワードに関連するディストラクタ画像によって拡張される。

3. キーワード関連ディストラクタ画像（GDI）

従来の研究が一般的なランダムな画像をディストラクタとして使用するのに対し、この手法はキーワード関連のディストラクタ画像を生成する。

• 生成：補助的な LLM が、有害なキーワードを含む多様な文を生成する。これらの文は、Stable Diffusion 3 へのプロンプトとして使用され、画像が作成される。
• 選択：貪欲な選択プロセスにより、最終的な画像セットがキーワードおよび全体的な有害な文脈に対して意味的に多様であることを保証する。
• 目的：これらの画像は、テキスト上で有害な意図を明示的に明かすことなく、モデルの再構築プロセスを支援する標的型の補助的視覚的文脈を提供する。

主要な貢献

1. トレードオフの特定：本論文は、既存の曖昧化手法（FlipAttack、SI、CS-DJ）が再構築と隠蔽を効果的にバランスできていないことを実証的に示す。また、攻撃成功率が文字削除率に対して逆 U 字型のパターンに従うことを示し、このトレードオフの直接的な証拠を提供する。
2. 隠蔽性感知型バリアント構築：著者は、キーワード整合性が低く、かつ相互に多様な文字削除バリアントを選択する手法を提案する。これにより、ランダムな削除と比較して、回復性の損失を無視できるレベルに抑えつつ、より強力な隠蔽性が達成される。
3. キーワード関連ディストラクタ画像：一般的な画像ではなく、有害なキーワードを中心に特別に生成されたディストラクタ画像の導入が、攻撃成功率の一貫した向上をもたらすことが示された。
4. 包括的な評価：これらの戦略は、5 つのクローズドソースモデルと14 のオープンソース MLLM に対して評価され、強力なベースラインを上回る性能を示した。

実験結果

著者は、HADES データセット（暴力、金融、プライバシー、自傷、動物の5つのカテゴリにわたる750の有害なクエリ）に対して、多様なモデル群を対象に戦略を評価した：

• クローズドソースモデル：提案された戦略はベースラインを大幅に上回った。例えば、GPT-5.4-miniにおいて、TTV-GDI 戦略は（GPT 判定で）79.60%、（HarmBench で）**78.80%**の攻撃成功率（ASR）を達成した。これに対し、最良のベースライン（CS-DJ）はそれぞれ11.20%、7.60%であった。Gemini-2.5-Flashでは、ASR はほぼ98%に達した。
• オープンソースモデル：これらの手法はモデルファミリー全体で大幅な改善を示した。Kimi K2.5において、TTV-GDI は**99.73%の ASR を達成した。Qwen3.5ファミリーでは、効果はモデルサイズとともにスケールし、35B パラメータモデルで98.67%**に達した。
• アブレーション研究：
  • 文字削除率（$\rho$）：隠蔽性と再構築性をバランスさせる最適な比率は0.20であることが判明した。
  • ディストラクタ画像：キーワード関連のディストラクタ画像（GDI）を使用する戦略は、すべてのテストモデルにおいて、一般的なディストラクタ画像（DI）を使用する戦略を一貫して上回った。
  • バリアント数：再構築の品質は $N=5$ のバリアントで飽和し、デフォルトの選択を正当化した。

意義と主張

本論文は、マルチモーダル安全性アライメントにおける未探索の脆弱性を明らかにすると主張している。すなわち、MLLM 自身の再構築能力が、隠蔽された有害な意図を回復するために悪用され得るという点である。著者は、安全性機構はしばしば明示的な有害コンテンツの検出に焦点を当てており、分散された低顕著性の信号から曖昧化された要求を再構築するモデルの能力を考慮できていないと論じている。

この研究の意義は以下の点にある：

• 再構築と隠蔽のトレードオフが明示的に管理される場合、意図の曖昧化が有効な攻撃ベクトルとなり得ることを示すこと。
• 「隠蔽性感知型」の選択と「キーワード関連」の視覚的文脈が、攻撃成功率を最大化する上で決定的な要因であることを示すこと。
• 情報がテキストと画像の両方のモダリティに分散され得るマルチモーダル設定において、再構築に基づく攻撃面を明示的に考慮する必要があることを、今後の安全性アライメント研究に強調すること。

著者は範囲を控えめに保ち、評価が現在 HADES データセットと単一キーワードの手順に限定されていることを指摘し、今後の研究ではより広範な害のカテゴリと多キーワードのシナリオを検討すべきであると示唆している。