💬 NLP

Resolution Thresholds in VLM Detection of Harmful ASCII Art Across Construction Modes and Languages

Dit artikel onderzoekt hoe de beeldresolutie de bekwaamheid van Large Vision-Language Models beïnvloedt om schadelijke ASCII-kunst te detecteren over verschillende constructiemodi en talen heen, waarbij wordt onthuld dat detectiepercentages scherp dalen voorbij specifieke resolutiedrempels, waarbij woordgebaseerde ontwerpen het meeststandvastig blijken te zijn tegen moderatie.

Oorspronkelijke auteurs: Yikai Hua, Peter West

Gepubliceerd 2026-06-30

📖 5 min leestijd🧠 Diepgaand

CC0 1.0

Oorspronkelijke auteurs: Yikai Hua, Peter West

Oorspronkelijk artikel vrijgegeven aan het publieke domein onder CC0 1.0 (http://creativecommons.org/publicdomain/zero/1.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je voor dat je een zeer slimme beveiligingsbeambte hebt (een Vision-Language Model of VLM) wiens taak het is om naar plaatjes te kijken en "Stop!" te roepen als hij iets slechts ziet. Meestal is deze bewaker erg goed in het opsporen van kwade woorden of gewelddadige afbeeldingen.

Maar slimme hackers hebben een manier gevonden om deze bewaker te misleien met behulp van ASCII-art.

De Truc: De "Mozaïek van Goede Woorden"

Denk aan een schadelijk woord zoals "HATE" (haat), geschreven in grote, dikke letters. De bewaker ziet dit onmiddellijk en grijpt in.

Stel je nu voor dat een hacker dat woord "HATE" bouwt als een mozaïek. In plaats van zwarte inkt te gebruiken, gebruikt hij duizenden kleine, onschuldige woorden zoals "LOVE" (liefde), "PEACE" (vrede) en "SMILE" (glimlach) om de vorm van het woord "HATE" te creëren.

Als de bewaker goed kijkt: Ziet hij een miljoen kleine "LOVE" en "PEACE" woorden. Hij denkt: "Oh, dit is een mooi plaatje!" en laat het doorgaan.
Als de bewaker afstand neemt: Vloeien de kleine woorden samen en ziet de bewaker plotseling de grote, enge vorm van "HATE".

Dit onderzoek onderzoekt precies hoe ver de bewaker moet terugstappen (hoeveel we de afbeelding moeten verkleinen) om het verborgen gevaar te zien, en of sommige bewakers beter in zijn in dit werk dan anderen.

Het Experiment: De "Zoom-Uit" Test

De onderzoekers creëerden een enorme test met 8 verschillende soorten "mozaïeken" (van eenvoudige blokken tot complexe positieve woorden) en 8 verschillende beveiligingsbewakers (de AI-modellen). Ze testten dit in twee talen: Engels en Chinees.

Ze namen de "slechte" plaatjes en lieten ze aan de bewakers zien op 10 verschillende formaten, variërend van een gigantisch, kristalhelder billboard (hoge resolutie) tot een pieklein, wazig postzegelformaat (lage resolutie).

Wat ze vonden

1. De "Vervaging" is de sleutel
De grootste ontdekking is dat afbeeldingen met een hoge resolutie eigenlijk het slechtst zijn voor de beveiliging.

Wanneer de afbeelding groot en helder is, raakt de bewaker afgeleid door de kleine, vriendelijke woorden ("LOVE", "PEACE") en mist hij de grote, slechte vorm.
Wanneer de afbeelding wordt verkleind (vervaagd), smelten die kleine vriendelijke woorden samen. De bewaker kan de individuele woorden niet meer lezen, waardoor zijn brein overschakelt naar het kijken naar de algemene vorm. Plotseling komt de "HATE"-vorm in beeld en vangt de bewaker hem.

2. Sommige mozaïeken zijn moeilijker te zien
Niet alle trucs zijn gelijk.

Makkelijk te vangen: Als het slechte woord is gemaakt van eenvoudige blokken of emoji's, vangen de bewakers het gemakkelijk op, zelfs als de afbeelding groot is.
Moeilijk te vangen: Als het slechte woord is gemaakt van positieve Engelse woorden (zoals "LOVE" en "PEACE"), is het ongelooflijk moeilijk om het te vangen. Zelfs wanneer de afbeelding enorm groot is, zijn de bewakers zo afgeleid door de vriendelijke woorden dat ze de slechte vorm bijna nooit zien. Dit is de "ultieme jailbreak".

3. Niet alle bewakers zijn gelijk
De onderzoekers testten 8 verschillende AI-modellen.

De scherpziende bewakers: Sommige modellen (zoals Gemini en Kimi) zijn erg goed in het afstand nemen en het zien van het grote plaatje. Ze vangen de slechte vormen op, zelfs als de afbeelding nog vrij groot is.
De afgeleide bewakers: Andere modellen (zoals Mistral en Llama) laten zich gemakkelijk misleien. Ze blijven hangen bij het lezen van de kleine, vriendelijke woorden en vangen de slechte vorm bijna nooit op, ongeacht hoeveel je de afbeelding verkleint.
De vreemde eend in de bijt: Eén model (Grok) was vreemd; het gaf eigenlijk niet om de grootte van de afbeelding. Het was consistent matig, werd niet echt beter of slechter naarmate de afbeelding veranderde.

4. De taalverrassing
De onderzoekers vroegen zich af of bewakers die in China zijn gebouwd beter zouden zijn in het opsporen van slechte vormen gemaakt van Chinese woorden, en of westerse bewakers beter zouden zijn in Engelse woorden.

Bij lage resolutie (wazig): De in China gebouwde bewakers waren daadwerkelijk beter in het opsporen van de slechte vormen gemaakt van Chinese woorden. Ze leken het "grote plaatje" beter te begrijpen wanneer de details wazig waren.
Bij hoge resolutie (helder): Dit draaide om! De in China gebouwde bewakers werden afgeleid door de individuele Chinese karakters (het lezen van de vriendelijke woorden) en zagen de slechte vorm niet. De westerse bewakers, die minder gefocust zijn op het lezen van individuele Chinese karakters, bleven stabiel en bleven de slechte vorm herkennen.

De Kern van het Verhaal

Dit paper verzint geen nieuwe manier om hackers tegen te houden. In plaats daarvan fungeert het als een diagnostisch hulpmiddel. Het vertelt ons dat:

Resolutie doet ertoe: Als je wilt dat je AI-beveiliging deze specifieke trucs vangt, moet je de afbeelding misschien eerst verkleinen zodat de bewaker stopt met het lezen van de kleine woorden en begint met het zien van de grote vorm.
Sommige trucs zijn onverslaanbaar: Momenteel is het verstoppen van slechte woorden binnen positieve Engelse woorden een zeer sterke truc die de meeste AI-bewakers niet zien.
Niet alles is voor iedereen: Verschillende AI-modellen hebben verschillende "blinde vlekken". Een systeem dat één model gebruikt, kan iets missen wat een ander model wel vangt.

Kortom, het paper laat zien dat het vervagen van de afbeelding een eenvoudige manier is om de AI te helpen het bos te zien in plaats van verdwaald te raken tussen de bomen, maar dat sommige "bossen" (zoals die gemaakt van positieve woorden) nog steeds heel moeilijk te spotten zijn.

Technische Samenvatting: Resolutie-drempelwaarden in VLM-detectie van schadelijke ASCII-kunst

Probleemstelling
Grote Vision-Language Modellen (VLM's) worden steeds vaker ingezet voor contentmoderatie, maar blijven kwetsbaar voor "jailbreak"-aanvallen waarbij schadelijke tekst wordt gecodeerd als ASCII-kunst. Bij deze aanvallen construeren kwaadwillende actoren afbeeldingen waarbij schadelijke woorden worden gevormd door mozaïeken van onschuldige tekens (bijv. positieve woorden, symbolen of emoji's). Voorlopig onderzoek wijst uit dat VLM's vaak er niet in slagen de schadelijke visuele gestalt te herkennen, omdat ze prioriteit geven aan de semantische betekenis van individuele invultekens boven de macro-niveau visuele vorm. Hoewel eerder werk suggereerde dat het verkleinen (downscaling) van afbeeldingen modellen zou kunnen dwingen om aandacht te besteden aan de algehele vorm, heeft geen enkele studie systematisch gekarakteriseerd hoe de "detectie-falen-drempel"—de resolatieschaal boven welke detectie instort—varieert tussen verschillende ASCII-kunst constructiemodi, VLM-architecturen en inhoudstalen (Engels versus Chinees).

Methodologie
De auteurs voerden een systematische empirische studie uit met behulp van een aangepaste pipeline om schadelijke ASCII-kunstafbeeldingen te generen en te evalueren.

Dataset Constructie: De studie maakte gebruik van parallelle corpora van schadelijke Engelse en Chinese woorden/zinnen. Elk woord werd gerenderd in ASCII-kunstafbeeldingen met behulp van acht verschillende constructiemodi (L1–L8), variërend van dichte bloktekens (L1) en eenvoudige symbolen (L2) tot word-embedded ontwerpen met behulp van positieve Engelse woorden (L5), emoji's (L6), fragmenten van positieve gedichten (L7) en positieve Chinese woorden (L8).
Resolutie Schaling: Afbeeldingen werden gegenereerd op tien resolutieschalen ( $r \in \{0.1, \dots, 1.0\}$ ), waarbij 1.0 de volledige resolutie referentie is en lagere waarden staan voor downscaling.
Evaluatie: Acht state-of-the-art VLM's (waaronder GPT-4o-mini, Gemini-3-Flash, Kimi-K2.5 en anderen) werden bevraagd via de OpenRouter API. De modellen werden gepromptt om de emotie van de afbeelding te classificeren (Negatief versus Neutraal/Positief). Een "Negatief" antwoord werd beschouwd als een succesvolle detectie van de schadelijke inhoud, terwijl Neutrale/Positieve antwoorden duidden op een falen (bypass).
Statistische Analyse: De studie maakte gebruik van Cochran–Armitage trendtests om monotone detectietrends te verifiëren, logistische regressie om de 50% detectie-falen drempel ( $\hat{r}_{0.5}$ ) met 95% betrouwbaarheidsintervallen te schatten, en Chi-kwadraat/Fisher's exact tests om detectiepercentages tussen de Engelse en Chinese corpora te vergelijken. De Benjamini–Hochberg correctie werd toegepast op alle 763 statistische tests.

Belangrijkste Bijdragen

Evaluatie Pipeline en Dataset: De creatie van een uitgebreide dataset die acht constructiemodi, tien resolutieschalen, twee talen en acht VLM's omvat.
Drempelwaarde Schatting: Statistisch onderbouwde schattingen van detectie-falen drempelwaarden voor elke (model, modus) combinatie, wat de specifieke resolutie kwantificeert waarbij VLM's het vermogen verliezen om schadelijke visuele vormen waar te nemen.
Cross-Origin Analyse: Een beschrijvende analyse die de detectiepatronen van in China gebouwde modellen vergelijkt met in de VS/het Westen gebouwde modellen op de Chinese-woord invulmodus (L8), waarbij de Engelse-woord modus (L5) als controle dient.

Belangrijkste Resultaten

Resolutie Afhankelijkheid: Detectiepercentages dalen scherp naarmate de resolutie toeneemt voor de meeste model-modus combinaties. Ongeveer 60% van de geldige (model, modus) strata vertoonde een statistisch significante dalende trend. Dit bevestigt dat afbeeldingen met een hoge resolutie VLM's in staat stellen zich te concentreren op onschuldige invultekens, wat leidt tot detectie-falen, terwijl downscaling de aandacht dwingt naar de schadelijke visuele vorm.
Kwetsbaarheidshierarchie van Modus:
- Meest Resistent: Word-embedded modi, met name Engelse woorden (L5), waren het moeilijkst te detecteren, met een geaggregeerd detectiepercentage van slechts 0.062. Deze modi creëren een sterk duaal-signaalconflict waarbij karakter-niveau semantiek de vormperceptie onderdrukt.
- Meest Detecteerbaar: Bloktekens (L1) en emoji's (L6) waren het makkelijkst te detecteren (geaggregeerde percentages > 0.40), waarschijnlijk door hun visuele dichtheid of kenmerkendheid.
- Intermediair: Chinese woorden (L8) vertoonden een intermediaire detecteerbaarheid (0.206), presterend beter dan Engelse woorden maar slechter dan blokken.
Model Heterogeniteit: Prestaties varieerden aanzienlijk tussen modellen. Gemini-3-Flash en Kimi-K2.5 vertoonden de sterkste detectiecapaciteiten met goed gedefinieerde drempels. Daartegenover faalde Mistral-Small-3.2-24B-Instruct bij het detecteren van schadelijke inhoud in de meeste modi (bijna-nul percentages), en Llama-4-Maverick en Nemotron-Nano vertoonden een zwakke baseline-prestatie. Grok-4.1-Fast vertoonde een uniek patroon door minder gevoelig te zijn voor resolutieveranderingen dan andere modellen.
Cross-Language Bevindingen: Na correctie voor meerdere vergelijkingen vertoonden slechts 4,7% van de strata significante verschillen tussen Engelse en Chinese detectiepercentages, wat suggereert dat de resolutie-detectie kwetsbaarheid grotendeels taal-agnostisch is.
Effecten van Modelherkomst: Een beschrijvend "crossover"-patroon werd waargenomen in de L8 (Chinese woorden) modus: in China gebouwde modellen presteerden beter dan in het Westen gebouwde modellen bij lage resoluties, maar presteerden slechter bij hoge resoluties. De auteurs hypothetiseren dat dit komt door de sterkere sensitiviteit van in China gebouwde modellen voor Chinese tekst, wat ervoor zorgt dat ze de onschuldige invultekens lezen bij hoge resoluties, waardoor het negatieve affect-signaal wordt onderdrukt. Dit effect werd niet waargenomen in de Engelse woord modus (L5).

Betekenis en Claims
Het artikel beweert een specifieke, onderbelichte dimensie van kwetsbaarheid in VLM-gebaseerde contentmoderatie te hebben geïdentificeerd: resolutie. De bevindingen onthullen dat resolutie een eerste-orde variabele is die het succes van detectie bepaalt, en niet louter een secundaire beeldkwaliteitparameter. De studie stelt vast dat:

Er is een consistente detectie-falen drempel boven welke VLM's niet langer betrouwbaar schadelijke ASCII-kunst kunnen identificeren.
Word-embedded constructiemodi een bijzonder robuuste aanvalvector vormen waar huidige VLM's zelfs bij volledige resolutie moeite mee hebben.
Er bestaat geen enkele resolutie-drempel die generaliseert over alle modellen; moderatiesystemen moeten het specifieke kwetsbaarheidsprofiel van de ingezette VLM karakteriseren.

De auteurs verklaren expliciet dat dit geen defensie-paper is; ze stellen geen nieuwe modellen of mitigatiestrategieën voor. In plaats daarvan dient het werk als een karakterisering van de kwetsbaarheid om de ontwikkeling van resolutie-bewuste evaluatiestandaarden en toekomstige defensieve strategieën, zoals het downscalen van inputs vóór moderatie of het trainen van modellen op gedownscaleerde ASCII-kunst, te stimuleren.

De Truc: De "Mozaïek van Goede Woorden"

Het Experiment: De "Zoom-Uit" Test

Wat ze vonden

De Kern van het Verhaal

Meer zoals dit