Mirage 论文展示针对多模态扩散模型后生成安全检测器的定向越狱攻击方法

该论文提出名为 Mirage 的多模态越狱攻击，旨在绕过扩散模型流水线中广泛使用的后生成安全检测器。攻击者给定一个对抗性目标（参考的 NSFW 图像或恶意文本描述），Mirage 通过在良性输入图像上应用不可感知的扰动，将目标隐藏其中。该方法利用多模态编码器的共享表示空间，使扰动后的图像与跨模态对抗性目标对齐，同时将其表示从常见的过滤 NSFW 概念中排斥出去。

实验在 Stable Diffusion 1.5、Stable Diffusion XL 和 Kandinsky 2.2 上实现，并在两个跨模态 NSFW 数据集上评估了涵盖文生图和图生图场景的效果。结果显示 Mirage 能在保持高语义对齐的同时，以有限的黑盒查询次数实现对异构安全检测器的规避。作者还采用了轻量级黑盒查询细化策略，以提高在未知安全边界附近的逃逸能力。这种语义分离特性使其能够跨越不同的表示空间进行迁移。

事实层面，Mirage 确实利用了多模态编码器的共享表示空间并实现了跨检测器的规避；推断层面，这表明当前依赖后生成检测的防御体系存在基于表示空间的结构性漏洞；猜测层面，未来针对此类攻击的防御可能需要引入更复杂的对抗训练或改变表示学习范式，但这需要进一步验证。