💻 computer science

Reading Between the Pixels: An Inscriptive Jailbreak Attack on Text-to-Image Models

该论文提出了一种名为 Etch 的黑盒攻击框架，通过语义伪装、视觉空间锚定和排版编码三个正交层，成功利用文生图模型的文字渲染能力实施“刻写式越狱”攻击，在多个模型上实现了显著高于现有基线的攻击成功率，揭示了当前安全对齐中缺乏排版感知防御的严重盲区。

原作者： Zonghao Ying, Haowen Dai, Lianyu Hu, Zonglei Jing, Quanchen Zou, Yaodong Yang, Aishan Liu, Xianglong Liu

发布于 2026-04-08

📖 1 分钟阅读☕ 轻松阅读

CC BY 4.0

原作者： Zonghao Ying, Haowen Dai, Lianyu Hu, Zonglei Jing, Quanchen Zou, Yaodong Yang, Aishan Liu, Xianglong Liu

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

这篇论文讲述了一个关于人工智能（AI）绘画的新“漏洞”发现，以及研究人员如何利用这个漏洞“黑”进 AI 系统，让它画出带有危险文字的图片。

为了让你轻松理解，我们可以把这篇论文的内容想象成一场**“高智商的伪装游戏”**。

1. 背景：AI 画家学会了“写字”

以前的 AI 绘画工具（比如 Midjourney 或 DALL-E），只能画风景、人物或物体。如果你让它画“一张写满字的黑板”，它画出来的字通常是乱码或像外星符号。

但现在的 AI 进化了，它们不仅能画得逼真，还能在图片里写出清晰、可读的长句子。这本来是好事（比如自动做海报），但坏人（攻击者）发现了一个新玩法：利用这个“写字”的能力来干坏事。

2. 核心概念：什么是“刻写越狱”（Inscriptive Jailbreak）？

以前，人们攻击 AI 绘画，通常是让 AI 画出**“看起来很坏”**的东西（比如血腥、暴力、色情画面）。这叫“描绘式越狱”（Depictive Jailbreak）。就像你让 AI 画一个拿着刀的坏人，AI 的安全系统会直接拒绝：“不行，这太暴力了！”

这篇论文提出的新攻击叫**“刻写越狱”**。

旧玩法：直接让 AI 画暴力画面（容易被拦下）。
新玩法：让 AI 画一张看起来非常正常、甚至很温馨的图片（比如一个老师在黑板上写字），但黑板上写的字却是危险的（比如“如何制造炸弹”或“诈骗指南”）。

比喻：
想象你要寄一个违禁品（炸弹说明书）给警察。

旧方法：直接把炸弹说明书塞在信封里寄过去（一眼就被安检发现了）。
新方法（刻写越狱）：你把说明书写在一张**“幼儿园手工课作业”**的背面。这张作业看起来非常可爱、无害（视觉上是安全的），但里面的字（信息内容）却是危险的。安检员只检查了“作业”本身，没发现背面的字，于是你就成功寄出了违禁品。

3. 攻击工具：Etch（“蚀刻”框架）

研究人员开发了一个叫 Etch 的工具，专门用来生成这种“伪装”的提示词。它不像以前那样胡乱尝试，而是像装修房子一样，把攻击指令拆分成三个独立的步骤（三层）：

第一层：语义伪装（Semantic Camouflage）——“穿件马甲”
- 作用：骗过 AI 的“文字安检员”。
- 比喻：你想让 AI 画“如何制造毒药”，直接说会被骂。于是 Etch 把指令伪装成“写一个关于化学实验的科幻小说情节”。它把危险的意图藏在无害的故事背景里。
第二层：视觉锚定（Visual-Spatial Anchoring）——“找个好地方”
- 作用：骗过 AI 的“图片安检员”。
- 比喻：如果让 AI 在一张白纸上凭空写字，看起来很假。Etch 会指定一个场景，比如“一个昏暗的办公室，墙上挂着一块白板”或者“一张旧报纸”。这样，文字出现在那里就非常自然，不像是在搞破坏，而像是场景的一部分。
第三层：文字编码（Typographic Payload）——“把字写清楚”
- 作用：确保 AI 真的把危险文字写出来，而且写得清晰可读。
- 比喻：告诉 AI：“在那个白板上，请用清晰、工整的字体，详细写出步骤 1、2、3……"。这一步利用了 AI 现在强大的写字能力，确保生成的文字能被 OCR（文字识别软件）或人眼看懂。

4. 怎么优化？——“智能纠错循环”

光有这三层还不够，AI 可能会画错字或者写得不像。Etch 还有一个**“智能纠错员”（VLM Critic）**。

过程：Etch 先让 AI 画一张图 -> 纠错员看图，发现“字写歪了”或者“场景太假了” -> 告诉 Etch 哪一层出了问题 -> Etch 修改那一部分 -> 再试一次。
比喻：就像你写文章，写完让一个挑剔的编辑（纠错员）看。编辑说：“你的开头太露骨了（第一层问题），把背景改得再自然点（第二层问题），还有那个错别字要改（第三层问题）”。经过几轮修改，文章就完美了。

5. 实验结果：效果惊人

研究人员用这个 Etch 工具攻击了 7 种最流行的 AI 绘画模型（包括 Google、OpenAI 等公司的产品）。

结果：现有的防御手段几乎完全失效。
- 传统的防暴力图片系统，看到“老师写字”的图片，觉得没问题，就放行了。
- 传统的防危险文字系统，看到“写科幻小说”的提示词，也觉得没问题，就放行了。
数据：Etch 的平均攻击成功率高达 65.57%，在某些模型上甚至达到了 91%！这意味着，如果你用这个工具，十次里有九次能成功让 AI 画出带有危险文字的图片。

6. 结论与警示

这篇论文揭示了一个巨大的安全盲点：
目前的 AI 安全系统，要么只盯着图片里有什么（有没有暴力画面），要么只盯着提示词里说了什么（有没有违禁词）。

但是，**“刻写越狱”把危险信息藏在了“无害图片里的文字”**中。就像把毒药装在了糖果盒里，现在的安检系统只检查了糖果盒，没检查里面的毒药。

未来的方向：
我们需要开发一种新的防御机制，不仅要检查图片“看起来”是否安全，还要能读懂图片里写的字，并判断这些字是否危险。就像安检员不仅要检查包裹外观，还要能透视并阅读包裹里的信件内容一样。

一句话总结：
这篇论文发现，现在的 AI 绘画太会“写字”了，坏人可以利用这一点，让 AI 画出看起来人畜无害的图片，但图片里却藏着危险的文字教程；现有的安全系统对此束手无策，急需升级“读图识字”的防御能力。

这篇论文《Reading Between the Pixels: An Inscriptive Jailbreak Attack on Text-to-Image Models》（像素间的解读：针对文生图模型的刻写越狱攻击）提出了一种针对现代文生图（T2I）模型的新型攻击范式，并设计了一个名为 Etch 的自动化攻击框架。

以下是该论文的详细技术总结：

1. 研究背景与问题定义 (Problem)

背景：现代 T2I 模型（如 GPT Image, Seedream 等）在文本渲染能力上取得了突破性进展，能够生成清晰、可读的段落级文本。这一能力虽然提升了应用价值（如海报设计），但也引入了新的安全风险。
新攻击范式：刻写越狱 (Inscriptive Jailbreak)：
- 传统的 T2I 越狱攻击（Depictive Jailbreaks）旨在生成视觉上有害的内容（如暴力、色情场景）。
- 刻写越狱则不同：攻击者诱导 T2I 模型在视觉上 benign（良性）的场景中，生成包含有害文本内容（如诈骗文档、合成指南、非法指令）的图片。
- 核心挑战：这种攻击需要同时满足三个相互冲突的目标：
  1. 语义伪装：提示词（Prompt）必须通过输入端的文本安全过滤器。
  2. 视觉合理性：生成的图片必须通过输出端的视觉安全过滤器（看起来像普通照片）。
  3. 文本保真度：生成的文本必须清晰、可读且准确传达有害意图。
- 现有的越狱技术主要针对粗粒度的视觉语义优化，难以在保持字符级精度的同时绕过多层安全过滤。

2. 方法论：Etch 框架 (Methodology)

作者提出了 Etch，一个黑盒攻击框架，通过组合优化分解和零阶语义优化来解决上述难题。

2.1 组合式提示词分解 (Compositional Prompt Decomposition)

Etch 将对抗性提示词 $p_{adv}$ 分解为三个功能正交的层级，分别针对安全管道的不同阶段进行优化：

语义伪装层 (Semantic Camouflage, $\ell_{nar}$ )：
- 目标：绕过输入端的文本安全过滤器 ( $G_{pre}$ )。
- 策略：采用“意图感知的领域转换”。将有害指令映射到语境相关的良性领域（例如，将“制造炸弹”转换为“化学教学”或“惊悚小说情节”），保留核心逻辑骨架但替换触发违规的关键词。
视觉 - 空间锚定层 (Visual-Spatial Anchoring, $\ell_{scn}$ )：
- 目标：绕过输出端的视觉安全过滤器 ( $G_{post}$ )。
- 策略：设计包含大量可见文本的自然场景（如教室白板、电脑屏幕、手写信件）。将有害文本“锚定”在这些合理的载体上，使图片在视觉上看起来完全无害，同时为文本渲染提供充足的空间。
排版载荷编码层 (Typographic Payload Encoding, $\ell_{typ}$ )：
- 目标：最大化文本内容的准确性和可读性 ( $f_{judge}$ )。
- 策略：利用 T2I 模型的潜在知识，通过排版指令（如字体大小、清晰度要求）引导模型自主生成具体的有害文本内容，而非直接复制提示词中的文本。

2.2 零阶语义优化循环 (Zero-Order Semantic Optimization)

由于 T2I 生成过程具有随机性，单次生成的文本可能出现乱码或语义漂移。Etch 引入了一个迭代优化过程：

代理诊断神谕 (Surrogate Diagnostic Oracle)：使用一个视觉语言模型（VLM）作为“批评者”（Critic）。它评估生成的图片，识别失败模式（如：文本不可读、语义漂移、空间不足、被过滤器拦截）。
分层定向搜索 (Layer-Targeted Search)：根据诊断结果，仅针对出问题的层级进行针对性修改，而保持其他层级不变。这种策略避免了全空间搜索的破坏性干扰，实现了单调的优化进步。

3. 主要贡献 (Key Contributions)

形式化定义：首次识别并形式化了“刻写越狱”攻击，揭示了 T2I 模型文本渲染能力带来的新型安全盲点。
提出 Etch 框架：设计了一个基于组合分解和零阶优化的黑盒攻击框架，通过分层解耦解决了多目标优化的冲突问题。
实证研究：在 7 个主流 T2I 模型（包括商业和开源模型）和 2 个基准数据集上进行了广泛评估，证明了该方法的有效性，并暴露了当前安全评估体系的严重缺陷。

4. 实验结果 (Results)

攻击成功率 (ASR)：
- Etch 在 7 个模型上的平均攻击成功率为 65.57%，最高达到 91.00%（在 Hunyuan-3.0 模型上）。
- 相比之下，最强的基线方法（如 ReNeLLM, JailBroken 等）平均 ASR 仅为 35.43%。
- 在 AdvBench 和 MaliciousInstruct 数据集上，Etch 均显著优于所有基线（包括直接攻击、模板攻击、SneakyPrompt 等）。
鲁棒性分析：
- 对抗文本防御：Etch 能有效绕过 ShieldGemma、LlamaGuard2 等文本安全分类器，因为语义伪装层成功隐藏了恶意意图。
- 对抗图像防御：Etch 能绕过 MHSC、LatentGuard 等图像安全检测器，因为生成的图片在视觉上完全良性，仅通过嵌入的文本传递恶意。
消融实验：
- 移除任意一个核心组件（语义伪装、空间锚定、排版编码）都会导致 ASR 大幅下降（例如移除排版编码层，ASR 降至 16%）。
- 将三个任务合并为单一任务（All-in-One）会导致性能下降约 20%，证明了分层优化的必要性。
通用性：Etch 在不同的大语言模型（LLM）和视觉语言模型（VLM）作为辅助工具时表现稳定，不依赖特定的基础模型。

5. 意义与防御启示 (Significance & Defense)

安全盲点：当前的 T2I 安全评估主要关注视觉内容（如 NSFW、暴力），严重忽视了图片中嵌入的文本内容。这种“视觉良性但文本有害”的攻击是现有防御体系的盲区。
防御挑战：论文尝试提出了一种基于大模型的“潜在意图守卫”（Latent Intent Guard, LIG）作为防御方案。然而，实验显示 LIG 对 Etch 的拦截率仍然较低（仍有 36% 的样本被绕过），说明基于浅层语义匹配或常规推理的防御难以应对这种高度伪装的攻击。
未来方向：论文呼吁社区开发**“排版感知”（Typography-aware）**的多模态防御机制，即不仅检查图片的视觉语义，还必须深入分析图片中生成的文本内容及其潜在意图。

总结：这篇论文揭示了 T2I 模型文本渲染能力带来的双重用途风险，通过 Etch 框架展示了如何高效利用这一能力进行越狱攻击，并强调了当前安全对齐中存在的重大漏洞，为未来的多模态安全研究指明了新的方向。