Image‑to‑text 越狱可以把有害意图嵌入文本、图像本身或二者的关系中。本文在 313 条 StrongREJECT 提示上，针对四类已发表的攻击家族，使用五种多模态模型并在附录中加入 InternVL3.5‑8B 进行评估。所有条件下有害指令保持不变，基线矩阵对每个提示抽取一次，配对消融实验对每个提示抽取三次并交由自动评分 Rubric Judge 判定。
仅使用有害查询（即使配上无关的良性图像）在大多数受害模型上几乎不产生攻击成功，而加入攻击图像后成功率显著提升。
第一，单块熵值和 JPEG 文件大小并不能可靠地区分攻击块与大小匹配的良性干扰块，这表明仅靠密度筛选不足以拦截。第二，早期的块计数梯度实验受到负载可见性的混淆，经过校正的区域计数测试未发现显著效应，块计数结构的作用仍未解决。第三，在 Qwen3‑VL‑8B 上，E4 操作通过去除查询特定的关联性将攻击成功率（ASR）降低约 0.12，支持对关联性操作的有限归因，尽管图像‑文本一致性尚未测量。类别内部对照实验在重叠刺激上复现了相同趋势。五项检验通过全局统计校正，但仅 E4 能归因于单一测量描述符；类别内部结果仅作稳健性检查，并非独立归因。所有结论均依赖 Rubric Judge 的评判。
点评