arXiv:2607.17779: MINDフレームワーク、95.62%の攻撃成功率でtext-to-imageモデルの防御を突破

MINDフレームワークとは何で、どのように敵対的プロンプトを生成するのか?

Dongdong Yangらは、論文「Dynamic Defense Profiling Enables Cognitive Jailbreak of Text-to-Image Models」(arXiv:2607.17779)において、敵対的プロンプトの生成をbelief-state inference——モデルの防御メカニズムの隠れた、潜在的な状態に関する推論——として扱うフレームワークMINDを提案しています。ジェイルブレイクとは、本来ブロックされるはずのコンテンツを生成するためにモデルの安全フィルターを回避する手法であり、敵対的プロンプトとはその防御を欺くために特別に設計されたテキスト入力です。MINDは3つのコンポーネントで構成されます。モデルの応答からのフィードバック情報を分解するMulti-modal Judge、防御メカニズムに関する信念を反復的に更新するDefense Profiler、そして過去に成功した攻撃戦略を検索するMeta-Memoryモジュールです。

Stable Diffusion v1.5において95.62%の攻撃成功率

Stable Diffusion v1.5モデルにおいて、MINDはAttack Success Rate(ASR、攻撃成功率)95.62%を達成しています——しかも、禁止されたコンテンツの生成を防ぐはずのさまざまな防御構成のもとでもこの数値です。著者らは、商用のtext-to-imageシステムにおいても同程度の結果を報告しており、この問題が単一のオープンソースモデルに限定されないことを示唆しています。

期待される保護と実際の突破可能性

95.62%というASRの結果は、防御メカニズムが信頼できる保護を提供するという前提と真っ向から対立します。MINDは固定の、あらかじめ用意されたプロンプトの代わりに、モデル自身のフィードバック情報に基づいてプロンプトを動的に調整し、攻撃の最中に防御の挙動パターンを学習することで、既知の攻撃に対して特別に設計された構成すら回避します。

この発見が生成モデルのセキュリティにとってなぜ重要なのか

この論文は、静的なフィルターや固定の禁止語リストが、防御メカニズムを推論可能かつ利用可能なシステムとして捉える攻撃者に対応できないことを示しています。この発見は、text-to-imageツールの開発者が、静的な攻撃だけでなく適応的な攻撃に対しても防御をテストする必要があることを示唆しています。