多模态AI安全评测：构建统一攻防基准

一、当AI”看懂”图片之后：新的攻击面

当我们用手机拍摄一张风景照并询问AI助手”这张图片里有什么”时，模型通常能准确描述画面内容。但如果在看似无害的照片中嵌入精心构造的对抗性文本——例如将制造危险物品的指令以微小字体叠加在背景中，或者利用排版畸变让文字在人类视觉中几乎不可见——AI就可能被”欺骗”，输出本应被安全策略拦截的内容。

这类针对视觉语言模型（Vision-Language Model, VLM）的攻击被称为多模态越狱攻击（Multimodal Jailbreak Attack）。其本质是利用模型跨模态对齐过程中的语义鸿沟：文本安全过滤器通常只检查用户输入的纯文本，而图像中嵌入的文本、OCR提取结果或视觉隐喻往往绕过了这条检查链路。当图像编码器将视觉信息映射到与文本共享的语义空间时，恶意指令便可能”伪装”成普通视觉特征进入解码阶段。

一个直观的类比是：传统文本越狱相当于用外语说敏感词，过滤器容易拦截；而多模态越狱则相当于把敏感词藏在一幅画里，模型”看到”后自动翻译并执行，而安全检查点却停留在文本入口。

二、攻击、防御与评估：为何需要统一基准

过去的研究往往割裂地看待这三个环节：

• 攻击侧：不断提出新的对抗样本生成方法，但缺乏对防御效果的标准化衡量；
• 防御侧：提出各类过滤、对齐微调或推理时干预策略，却难以与最新攻击进行横向对比；
• 评估侧：多数工作仅用”攻击成功/失败”二元指标，忽略了模型回答的危害程度、意图理解准确性和信息详细度。

这种割裂导致两个问题：其一，防御方案在真实攻击面前的鲁棒性被高估；其二，研究者难以判断某个攻击方法在实际部署环境中的真实风险等级。因此，构建一个将攻击方法、防御策略与多维评估标准整合在一起的统一平台，成为推动该领域从”点状突破”走向”系统化工程”的关键基础设施。

三、三维评估体系：超越二元判断

该平台的核心创新之一，是设计了一套三维评估体系，不再简单以”是否越狱”作为唯一指标：

1. 危害程度（Harm Severity）
   衡量模型输出内容本身的风险等级。例如，同样是被诱导讨论危险物品，输出”该行为违法”与输出具体操作步骤，危害程度截然不同。该维度通常采用分级量表，由安全专家或经校准的评审模型进行打分。

2. 意图匹配度（Intent Alignment）
   评估模型回答是否真正理解了攻击者隐藏在图像中的真实意图。有些攻击虽未导致有害输出，但模型确实”读懂”了恶意指令并试图配合，只是因能力限制未能完成——这类情况同样应被标记为高风险。

3. 详细程度（Detail Level）
   量化回答中可操作信息的丰富度。即使危害等级相同，提供详细步骤的回答比仅给出模糊建议的回答更危险。该维度有助于区分”轻微越界”与”实质性泄露”。

这三个维度共同构成一个三维向量，而非单一分数。开发者可以据此判断：当前防御策略是降低了攻击成功率，还是仅仅让模型输出变得更含糊？后者并不等于安全。

四、平台架构：攻防演练场的工程实现

从工程视角看，该平台可拆解为四个层次：

4.1 攻击样本生成层

支持多种模态组合的对抗样本构造，包括：

• 图像中嵌入文本（排版畸变、低对比度、局部遮挡）；
• 视觉隐喻与符号替换；
• 跨模态指令拼接（图像提供上下文，文本提供触发词）。

该层以可插拔方式组织，便于新增攻击方法而无需改动评估流程。

4.2 防御策略接入层

提供标准化接口，使各类防御方案能够以统一方式接入评测。典型防御包括：

• 输入侧：OCR过滤、图像净化、对抗扰动检测；
• 模型侧：安全对齐微调、推理时激活干预；
• 输出侧：响应审核与重写。

4.3 评估执行层

负责批量调度攻击-防御组合，收集模型响应，并调用三维评估模块进行打分。该层需处理并发、缓存与可复现性（固定随机种子、记录完整配置）。

4.4 结果分析层

输出多维报表，支持按攻击类型、防御策略、模型版本等维度切片分析。开发者可据此定位薄弱环节——例如某类视觉隐喻攻击在特定防御下危害程度不降反升。

五、实践建议：如何将评测融入开发流程

对于正在构建或集成多模态能力的团队，建议将安全评测左移：

• 训练阶段：将三维评估指标纳入对齐训练的目标函数或早停条件，避免只优化”拒答率”而忽视意图匹配度；
• 上线前：使用统一基准进行回归测试，建立基线分数，任何模型更新都需对比是否引入新的攻击面；
• 运行时：将高频攻击模式转化为轻量级检测规则，形成”评测-发现-加固”的闭环。

以下是一个示意性的评测配置伪代码，展示如何组织一次攻防组合实验：

experiment:
  name: "ocr_evasion_vs_input_filter"
  attack:
    type: "embedded_text"
    params:
      font_size: 8
      contrast: 0.15
      position: "random"
  defense:
    type: "ocr_sanitizer"
    params:
      confidence_threshold: 0.7
  model: "vlm-base-v2"
  metrics:
    - harm_severity
    - intent_alignment
    - detail_level
  repeats: 5

通过标准化配置，团队可以在不同模型版本、不同防御策略之间进行可复现的横向对比，避免”凭感觉”判断安全性。

六、结语

多模态能力的扩展为AI应用打开了新的交互方式，同时也引入了更隐蔽的攻击路径。将攻击、防御与评估整合到统一基准中，不仅有助于学术界形成可比较的研究基线，更能帮助工程团队在快速迭代中守住安全底线。三维评估体系的提出，标志着该领域从”是否被攻破”的二元思维，走向对风险等级与意图理解的精细化度量。对于任何计划将视觉理解能力集成到产品中的开发者而言，建立类似的内部评测能力，已不再是可选项，而是必选项。