画像からテキストへのジェイルブレイクはどの画像特性が引き起こすのか：制御された分解解析

- 画像からテキストへの jailbreak において、攻撃成功に寄与する画像側の要因を制御的に分解した研究。 - 4つの公開攻撃ファミリを対象に、313 prompt の StrongREJECT slice で検証。 - 5つの multimodal model と付録で InternVL3.5-8B を評価。 - 有害指示は条件間で一定に保ち、baseline matrix は1 prompt 1 draw、paired ablation は3 draws と自動 rubric judge を使用。

- 従来の tile-count ladder は payload visibility が交絡していたが、これを修正した region-count test を実施。 - 画像の密度指標（per-tile entropy や JPEG size）だけでは攻撃 tile とサイズ一致の benign distractor を区別できず、密度のみのスクリーニングの限界を示した。 - 特定の操作（E4）が ASR を約0.12低下させることを示し、relatedness manipulation への限定的な帰属を支持。 - ただし画像とテキストの congruence は未測定であり、結論は rubric judge に条件付き。

- 有害指示を固定し、画像側の要因を操作する制御実験デザイン。 - baseline matrix では各 prompt につき1 draw、paired ablation では3 draws を生成し、自動 rubric judge で評価。 - 画像の per-tile entropy と JPEG size を測定し、攻撃 tile とサイズ一致 benign distractor を比較。 - tile-count ladder の交絡を修正した region-count test を実施。 - E4 操作として query-specific relatedness を除去し、ASR への影響を評価。 - within-category control で重複刺激における方向性を再現。

- 313 prompt の StrongREJECT slice を用い、5つの multimodal model と InternVL3.5-8B で評価。 - 有害クエリ単体や無関係な benign 画像付きでは攻撃成功率が低く、攻撃画像で大幅に上昇することを確認。 - per-tile entropy と JPEG size が攻撃 tile と benign distractor を区別できないことを示す。 - 修正した region-count test では検出可能な効果なし。 - Qwen3-VL-8B で E4 が ASR を約0.12低下させることを確認。 - 5つのテストが global statistical correction を通過。within-category control で方向性を再現。

- 画像の密度指標のみによるスクリーニングは限定的。 - tile-count 構造の役割は未解決のまま。 - E4 による relatedness manipulation への帰属は限定的に支持されるが、image-text congruence は未測定。 - within-category の結果は robustness check であり、独立した帰属ではない。 - 結論は rubric judge に条件付き。

- 要旨で参照/比較されている研究：4つの公開攻撃ファミリ、StrongREJECT、InternVL3.5-8B、Qwen3-VL-8B。 - 関連手法：tile-count ladder、region-count test、per-tile entropy、JPEG size、E4 manipulation、rubric judge。 - 同分野の定番：multimodal jailbreak、image-to-text attack、adversarial image、vision-language model safety。