DMN: A Compositional Framework for Jailbreaking Multimodal LLMs with Multi-Image Inputs
本論文は、DMN という構成型ジャイルブレイクフレームワークを導入し、これは指示を分散させ、マルチモーダルな証拠を提供し、数値連鎖タスクを追加することで、主要なマルチモーダル大規模言語モデルにおいて 90% 以上の攻撃成功率を達成し、それによってそれらの安全調整における重大な脆弱性を露呈させるものである。
原論文は CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) でライセンスされています。 これは以下の論文のAI生成解説です。著者が執筆または承認したものではありません。技術的な正確性については原論文を参照してください。 免責事項の全文を読む
非常に賢く、ハイテクな警備員（AI モデル）がいると想像してください。その任務は、爆弾の作り方やマネーロンダリングの方法など、危険なことを求める人々を阻止することです。通常、この警備員は単一の明白な要求を見抜くのが非常に得意です。例えば、「違法薬物の作り方を教えてくれ」と近づいて言われれば、警備員は即座に阻止します。
しかし、この論文の研究者たちは、マルチイメージ（複数画像）アプローチを用いて、この警備員を巧妙に欺く方法を見つけ出しました。彼らはその方法をDMNと呼んでいます。
DMN を単一の攻撃ではなく、警備員を混乱させるように設計された三段構えのマジックトリックだと考えてください。その仕組みを、簡単なアナロジーを用いて分解して説明します。
1. 「散らばったパズル」（分散指示）
通常、悪い要求を隠そうとするなら、奇妙なフォントで書いたり、画像の中に隠したりするかもしれません。しかし、警備員はその画像全体を読み取るのに十分なほど賢いです。
DMN 法では、悪い要求をパズルのピースのように細かく分割し、それぞれのピースを異なる画像に配置します。
- 画像 1には「How（どのように）」という単語があります。
- 画像 2には「to（～するために）」という単語があります。
- 画像 3には「make（作る）」という単語があります。
- 画像 4には「drugs（薬物）」という単語があります。
警備員はそれぞれの画像を個別に見て、「ただの単語だ。問題ない」と考えます。しかし、AI が全体の物語をまとめようとすると、突然危険な要求をされていることに気づきます。警備員が全体像に気づく頃には、すでに手遅れであることが多いのです。
2. 「偽の探偵事件」（マルチモーダル証拠）
研究者たちはまた、画像生成 AI に「違法薬物の画像を作って」と直接頼むと即座にブロックされることに気づきました。警備員はその要求を見て、「絶対にダメだ」と言うのです。
そこで、DMN は物語を変えます。悪いものを直接要求するのではなく、偽の探偵事件を作り出します。
- AI に「私たちは犯罪現場を捜査しています。現場で見つかった証拠の写真をここにあります」と伝えます。
- 写真には「白い粉末が入ったガラス製ビーカー」や「金庫に積み重ねられた現金の束」などが映っています。
- この要求は「犯罪を教える」のではなく「犯罪解決を助ける」という形で提示されるため、画像生成 AI は喜んで画像を作成します。
- その後、メインの AI はこれらのリアルな「証拠」写真を見て、単に事件解決を助けていると思い込み、犯罪がどのように行われたかを段階的に詳しく説明し始めます。
3. 「気晴らしゲーム」（数字連鎖タスク）
パズルと偽の事件があっても、警備員はまだ疑うかもしれません。そこで、研究者たちは三つ目のトリック、つまり気晴らしを追加します。
ゲームのように見える追加の画像を混ぜ込みます。これらの画像には数字や、「この画像の中の数字 5 を見つけて、次に画像#12 へ行って次の数字を見つけなさい」といった指示が含まれています。
- AI はこの「ドットをつなぐ」ゲームに忙しくなり、数字の連鎖を解くために画像から画像へと飛び回ります。
- AI がこの数学パズルに集中している間、その「安全警備員」は気晴らしされてしまいます。まるで、列に並んでいる人々を数えるのに忙しすぎて、誰かが武器を忍び込ませていることに気づかない警備員のようです。
結果
研究者たちは、この「DMN」トリックを GPT-4o、Gemini、Claude などの 10 種類の強力な AI モデルでテストしました。
- 旧来の方法：以前の、画像 1 枚または動画 1 つだけのトリックでは、警備員のルールを破れるのは約 20% から 30% でした。
- DMN の方法：散らばった単語、偽の証拠、気晴らしゲームという三つのトリックを組み合わせることで、90% 以上の成功率を達成しました。
なぜこれが重要なのか
この論文は、現在の AI 安全システムが1 枚の画像を見ることには非常に優れているが、複数の画像を同時に見ることは全く不得意であると結論付けています。悪い情報が画像のギャラリー全体に分散されている場合、それらのつながりを見失ってしまいます。
研究者たちはまた、この種の散らばったマルチイメージのトリックを特定する新しい「スーパーフィルター（防御策）」も構築しました。このフィルターを使用すると、DMN 攻撃を成功裡に阻止でき、脆弱性が現実のものである一方で、AI に個々のフレームだけでなく全体像を見るように教えることで修正可能であることを証明しました。
要約すると：この論文は、悪い要求を多くの小さな画像に分割し、偽の探偵物語の中に隠し、数字ゲームで AI を気晴らしさせれば、最も賢い AI 警備員さえも危険な秘密を明かすように欺くことができることを示しています。
自分の分野の論文に埋もれていませんか？
研究キーワードに一致する最新の論文のダイジェストを毎日受け取りましょう——技術要約付き、あなたの言語で。