Resumo Técnico: DMN – Um Framework Composicional para Jailbreaking de LLMs Multimodais com Entradas de Múltiplas Imagens

1. Declaração do Problema

Os Modelos de Linguagem Multimodais (MLLMs) estão cada vez mais vulneráveis a ataques de jailbreak, que visam contornar barreiras de segurança para elicitar respostas prejudiciais. Embora pesquisas significativas tenham se concentrado em entradas de imagem única, muitos MLLMs modernos (por exemplo, GPT-4o, Gemini-2.5-Pro, Claude Sonnet 4) suportam entradas de múltiplas imagens dentro de uma única consulta. Os autores argumentam que os esforços atuais de alinhamento de segurança são predominantemente projetados para cenários de imagem única, criando inadvertidamente novas vulnerabilidades quando a intenção prejudicial é distribuída entre várias imagens.

Os métodos existentes de jailbreak para MLLMs dependem principalmente de paradigmas de imagem única, como a incorporação de intenção maliciosa via renderização tipográfica (por exemplo, FigStep) ou imagens relacionadas à consulta (por exemplo, QRA, HADES). Essas abordagens enfrentam limitações inerentes:

• Elas não podem distribuir instruções prejudiciais entre várias imagens para obscurecer a intenção.
• Elas são restritas no volume de informações que podem transmitir.
• Elas oferecem capacidade limitada para introduzir tarefas de raciocínio auxiliares que poderiam distrair os mecanismos de segurança do modelo.

2. Metodologia: O Framework DMN

Para abordar essas limitações, o artigo propõe o DMN, um framework de jailbreak composicional projetado especificamente para entradas de múltiplas imagens. O DMN integra três módulos distintos, cada um correspondendo a um subconjunto específico de imagens dentro de uma única consulta, guiado por um prompt textual geral.

2.1 Instrução Distribuída (DI)

Este módulo divide o texto tipográfico entre várias imagens, com cada imagem contendo apenas uma única palavra ou uma pequena porção da instrução prejudicial.

• Mecanismo: O texto é renderizado em um fundo branco com uma lista numerada vazia, induzindo o MLLM a preencher as lacunas.
• Objetivo: Ao fragmentar a intenção prejudicial, o framework aumenta a dificuldade para o modelo detectar o objetivo malicioso geral, contornando assim filtros de segurança que poderiam sinalizar uma frase completa em uma única imagem.

2.2 Evidência Multimodal (ME)

Este módulo gera materiais de caso realistas para fornecer contexto visual e textual abundante, substituindo solicitações diretas de conteúdo prejudicial.

• Pipeline:
  1. Um LLM auxiliar extrai uma frase-chave da solicitação prejudicial original e gera texto de "caso realista" de alta fidelidade contendo itens de evidência detalhados (por exemplo, declarações de testemunhas, investigações de cena).
  2. Esses detalhes textuais são convertidos em descrições adequadas para modelos de Texto-para-Imagem (T2I), focando em elementos visuais como posicionamento de objetos, iluminação e ângulos de câmera.
  3. Um modelo T2I gera a evidência visual correspondente.
• Objetivo: Enquadrar a geração como um "caso realista" em vez de uma solicitação direta de atos ilegais reduz as taxas de rejeição pelos filtros de segurança do T2I. Além disso, o detalhe rico melhora a qualidade e o nível de detalhe da resposta do MLLM.

2.3 Tarefa de Cadeia Numérica (NC)

Este módulo introduz uma tarefa de distração para enfraquecer os mecanismos de segurança do modelo, forçando-o a processar sequências complexas de imagens guiadas por instruções.

• Mecanismo: "Quadros de cadeia numérica" são inseridos em posições aleatórias dentro da sequência de imagens. Cada quadro contém um dígito e um índice apontando para o próximo quadro. O MLLM é instruído a extrair os dígitos na ordem especificada para reconstruir uma cadeia numérica.
• Objetivo: Esta tarefa explora a capacidade do MLLM de processar sequências de imagens em uma ordem específica. A complexidade da tarefa serve como uma distração, potencialmente fazendo com que o modelo priorize a tarefa de raciocínio sobre o alinhamento de segurança.

2.4 Construção da Sequência de Imagens

A entrada final consiste em uma sequência de imagens combinando quadros de Instrução Distribuída, pares de Evidência Multimodal e quadros de Cadeia Numérica inseridos em intervalos aleatórios. O prompt textual guia o modelo a processar essas três partes simultaneamente.

3. Contribuições Principais

• Novo Paradigma de Ataque com Múltiplas Imagens: O DMN é o primeiro framework a explorar sistematicamente entradas de múltiplas imagens para jailbreaking, indo além das abordagens de imagem única ou baseadas em vídeo (quadro redundante) de trabalhos anteriores.
• Design Composicional: A integração de Instrução Distribuída, Evidência Multimodal e uma Tarefa de Cadeia Numérica cria um efeito sinérgico que supera significativamente ataques de módulo único.
• Análise de Defesa: O artigo propõe e avalia um filtro de defesa consciente de múltiplas imagens, demonstrando que, embora as defesas existentes ofereçam proteção moderada, elas são insuficientes contra o DMN, enquanto o filtro proposto mitiga efetivamente o ataque.

4. Resultados Experimentais

Os autores avaliaram o DMN em três conjuntos de dados (SafeBench, HADES, MM-SafetyBench) e 10 MLLMs de última geração (incluindo GPT-4o, GPT-5, Gemini-2.5-Pro e Claude Sonnet 4).

• Taxa de Sucesso do Ataque (ASR): O DMN alcançou uma ASR notavelmente alta, frequentemente excedendo 90% em modelos de ponta (por exemplo, 93,4% no GPT-4V, 95,2% no Gemini-2.5-Pro, 94,2% no Claude Sonnet 4).
• Comparação com Baselines: O DMN superou substancialmente as baselines de imagem única existentes (FigStep, HADES, QRA, CS-DJ) e a baseline de múltiplas imagens VideoJail. Por exemplo, no SafeBench, o DMN alcançou uma ASR média de 89,32%, comparado a 20,22% para o FigStep e 30,18% para o CS-DJ.
• Estudos de Ablação:
  • Módulo vs. Contagem de Imagens: A alta ASR é atribuída aos módulos específicos (DI, ME, NC) e não simplesmente ao aumento do número de imagens. O preenchimento com imagens em branco não melhorou significativamente o desempenho.
  • Instrução Distribuída vs. Instrução Única: A divisão de instruções entre imagens (DI) superou consistentemente a renderização de todo o texto em uma única imagem (SII).
  • Complexidade da Tarefa: A Tarefa de Cadeia Numérica, que possui o maior "Requisito de Informação por Quadro" (PFIR), correlacionou-se com maior ASR e maior "Razão de Atenção ao Quadro Chave" (KFAR), sugerindo que tarefas de distração mais complexas são mais eficazes para enfraquecer os mecanismos de segurança.
  • Quantidade de Evidência: O aumento do número de pares de evidência melhorou tanto a ASR quanto o nível de detalhe das respostas geradas.
• Eficácia da Defesa: O DMN permaneceu eficaz contra defesas existentes (Self-Reminder, Adashield-S, ECSO, QwenGuard), mantendo ASRs acima de 65%. No entanto, o filtro consciente de múltiplas imagens proposto pelos autores reduziu com sucesso a ASR para 28,86%.

5. Significado e Alegações

O artigo afirma que o DMN revela uma vulnerabilidade crítica nos MLLMs atuais: seus mecanismos de segurança são significativamente mais fracos ao processar entradas de múltiplas imagens em comparação com entradas de imagem única. Os autores argumentam que a capacidade de distribuir intenção prejudicial e introduzir distrações complexas de raciocínio entre várias imagens permite que atacantes contornem o alinhamento de segurança que é eficaz contra ataques de imagem única.

Os autores enfatizam que seu objetivo não é facilitar comportamentos prejudiciais, mas caracterizar essas vulnerabilidades de segurança para informar pesquisas futuras sobre alinhamento e avaliação de segurança para múltiplas imagens. Eles reconhecem limitações, incluindo a exigência de que os MLLMs suportem entradas de múltiplas imagens, custos computacionais mais elevados e a dependência atual de interações baseadas em API devido aos limites de upload de interfaces web.