ArXiv: Visuelle Eingaben umgehen Sicherheitsfilter von Vision-Language-Modellen in 40,9 % der Fälle, zeigt ICML-2026-Studie

Das Team aus Aharon Azulay, Jan Dubiński und Zhuoyun Li veröffentlichte am 1. Mai 2026 auf ArXiv die Arbeit „Jailbreaking Vision-Language Models Through the Visual Modality”, die für die International Conference on Machine Learning (ICML) 2026 angenommen wurde. Das Paper dokumentiert systematisch, dass der visuelle Eingang von Vision-Language-Modellen (VLMs) eine Angriffsfläche darstellt, die außerhalb der Reichweite des auf Text trainierten Sicherheits-Alignments liegt.

Welchen neuen Angriffsvektor eröffnet das Bild?

Die visuelle Modalität stellt laut den Autoren eine bislang wenig erforschte Angriffsfläche zur Umgehung des Sicherheits-Alignments dar. Auf Text trainierte Filter decken semantische Transformationen nicht ab, die Bilder auf natürliche Weise ermöglichen — das Kodieren von Anweisungen als Bildsymbole, das Ersetzen von Objekten oder die Kombination visueller Analogien. Ergebnis: Angriffe, die in rein sprachbasierten Modellen abgewiesen würden, passieren den visuellen Kanal.

Die Autoren identifizierten vier Angriffskategorien:

1. Visuelle Chiffrierer — Kodierung schädlicher Anweisungen als visuelle Symbolsequenzen mit Dekodierlegende
2. Objektsubstitution — Ersetzen eines schädlichen Begriffs (Bombe) durch einen harmlosen (Banane) bei gleichzeitiger Anforderung schädlicher Aktionen mit dem substituierten Begriff
3. Textsubstitution im Bild — Ersetzen schädlichen Textes durch harmlose Sprache, während der visuelle Kontext die ursprüngliche Interpretation bewahrt
4. Analoge Rätsel — visuelle Rätsel, deren Lösung Schlussfolgerungen zu einem verbotenen Konzept erfordert

Welche konkreten Erfolgsmetriken zeigen die Angriffe?

Auf Claude Haiku 4.5 erzielte der visuelle Chiffrierer eine Erfolgsquote von 40,9 %. Das Textäquivalent desselben Konzepts überwindet Filter nur in 10,7 % der Fälle. Der Unterschied ist fast vierfach und war nicht möglich, bevor die Vision-Modalität Teil der standardmäßigen frontier-Modelle wurde.

Die Auswertung umfasste sechs frontier VLMs. Konkrete Zahlen für die anderen fünf Modelle finden sich im Haupttext, aber Claude Haiku 4.5 wurde von den Autoren als repräsentativer Fall gewählt, da es sich um ein sehr aktuelles Modell mit angeblich starkem Sicherheits-Alignment handelt.

Was bedeutet das für Unternehmen und Sicherheitsteams?

Das Paper legt nahe, dass die bestehende Red-Team-Methodik — die sich fast ausschließlich auf textuelle Prompt-Angriffe stützt — das VLM-Risiko systematisch unterschätzt. Sicherheitsteams, die multimodale Agenten einsetzen, müssen ihr Red-Team-Korpus auf visuelle Eingaben ausweiten, insbesondere: codierte Symbolsequenzen, visuelle Substitutionsangriffe und analoge Rätsel, die Schlussfolgerungen zu blockierten Konzepten aktivieren.

Die übergeordnete Schlussfolgerung: Sicherheits-Alignment (RLHF — Reinforcement Learning from Human Feedback), das auf Text durchgeführt wurde, generalisiert nicht auf die visuelle Modalität. Cross-modales Alignment wird zur Forschungspriorität, nicht zu einem Implementierungsdetail.

Das Paper ist auf ArXiv unter der ID 2605.00583 verfügbar und wird auf der ICML 2026 präsentiert.