Mirage: ataque de jailbreak visual contorna filtros de segurança pós-geração em modelos de difusão
O Mirage é um ataque de jailbreak multimodal que esconde um alvo adversarial (uma imagem NSFW de referência ou uma descrição textual maliciosa) dentro de uma perturbação imperceptível aplicada a uma imagem benigna, enganando checadores de segurança pós-geração em modelos de difusão como Stable Diffusion e Kandinsky. O ataque funciona mesmo contra checadores heterogêneos e desconhecidos (caixa-preta), usando apenas refinamento leve por consultas.
Pipelines de geração de imagem por difusão costumam incluir um checador de segurança rodando depois da geração, cuja função é inspecionar a imagem final e bloquear conteúdo impróprio antes de entregá-la ao usuário — uma camada de defesa independente do processo de geração em si. O Mirage ataca especificamente essa camada, não o modelo gerador: ele constrói uma perturbação quase imperceptível sobre uma imagem de entrada benigna, de forma que a representação dessa imagem, no espaço de um encoder multimodal compartilhado, se alinhe ao alvo adversarial (a imagem NSFW ou a descrição maliciosa) enquanto se afasta deliberadamente das regiões do espaço de representação que os filtros costumam associar a conteúdo NSFW.
O ponto tecnicamente mais relevante é que esse deslocamento semântico generaliza entre espaços de representação diferentes: como vários checadores de segurança heterogêneos tendem a compartilhar estrutura latente similar por serem treinados com objetivos parecidos, uma perturbação otimizada contra um encoder consegue, em boa medida, transferir para outros checadores cujos detalhes internos o atacante nunca viu — por isso o ataque funciona em modo caixa-preta. Os autores complementam isso com refinamento leve por consultas para ajustar a perturbação perto da fronteira de decisão desconhecida do checador-alvo, aumentando a taxa de evasão sem precisar de acesso total ao modelo de segurança.
Os experimentos em Stable Diffusion 1.5, Stable Diffusion XL e Kandinsky 2.2, cobrindo tanto texto-para-imagem quanto imagem-para-imagem, mostram evasão consistente mantendo alta fidelidade semântica com o alvo adversarial — ou seja, não é um ataque que produz uma saída degradada só para passar pelo filtro; a imagem final continua próxima ao conteúdo que o atacante realmente queria gerar.
Na prática, isso é relevante porque muitos provedores de geração de imagem tratam o checador pós-geração como a última linha de defesa antes de entregar conteúdo ao usuário, frequentemente operando como componente de terceiros plugado ao pipeline sem co-design com o modelo gerador. O Mirage mostra que tratar esse checador como uma caixa-preta auditável de forma isolada é insuficiente, porque a transferência entre encoders multimodais heterogêneos quebra justamente a suposição de que não conhecer os detalhes do checador protege contra ataques — reforçando a necessidade de defesas em profundidade que não dependam de um único filtro pós-hoc.