arXiv:2607.17779: MIND-Framework umgeht die Abwehr von Text-to-Image-Modellen mit einer Angriffserfolgsquote von 95,62 %

Was ist das MIND-Framework und wie generiert es adversariale Prompts?

Dongdong Yang und Kollegen stellen im Paper „Dynamic Defense Profiling Enables Cognitive Jailbreak of Text-to-Image Models” (arXiv:2607.17779) MIND vor, ein Framework, das die Generierung adversarialer Prompts als Belief-State-Inferenz behandelt — die Schlussfolgerung über den verborgenen, latenten Zustand des Verteidigungsmechanismus eines Modells. Jailbreak ist eine Technik zur Umgehung der Sicherheitsfilter eines Modells, um Inhalte zu erzeugen, die sonst blockiert würden, und ein adversarialer Prompt ist eine Texteingabe, die speziell darauf ausgelegt ist, diese Abwehr zu täuschen. MIND besteht aus drei Komponenten: einem Multi-modal Judge, der das Feedback aus den Antworten des Modells zerlegt, einem Defense Profiler, der die Annahmen über den Verteidigungsmechanismus iterativ aktualisiert, und einem Meta-Memory-Modul, das historisch erfolgreiche Angriffsstrategien abruft.

Angriffserfolgsquote von 95,62 % bei Stable Diffusion v1.5

Bei Stable Diffusion v1.5 erzielt MIND eine Angriffserfolgsquote (Attack Success Rate, ASR) von 95,62 % — und das selbst bei verschiedenen Abwehrkonfigurationen, die die Generierung verbotener Inhalte eigentlich verhindern sollen. Die Autoren geben vergleichbare Ergebnisse auch bei kommerziellen Text-to-Image-Systemen an, was darauf hindeutet, dass das Problem nicht nur auf ein einzelnes Open-Source-Modell beschränkt ist.

Erwartete Sicherheit versus tatsächliche Durchbrechbarkeit

Das Ergebnis von 95,62 % ASR steht in scharfem Gegensatz zur Annahme, dass Abwehrmechanismen zuverlässigen Schutz bieten. Statt fester, vorab vorbereiteter Prompts passt MIND diese dynamisch auf Basis des Feedbacks des Modells selbst an, lernt das Verhaltensmuster der Abwehr während des Angriffs und umgeht so selbst Konfigurationen, die speziell gegen bekannte Angriffe konzipiert wurden.

Warum der Befund für die Sicherheit generativer Modelle relevant ist

Das Paper zeigt, dass statische Filter und feste Listen verbotener Wörter mit Angreifern nicht Schritt halten können, die den Verteidigungsmechanismus als System betrachten, dessen verborgener Zustand erschlossen und ausgenutzt werden kann. Der Befund deutet darauf hin, dass Entwickler von Text-to-Image-Tools ihre Abwehr gegen adaptive, nicht nur statische Angriffe testen müssen.