Um novo ataque, chamado Persistent Visual Memory Injection (P-VMI), otimiza imagens adversariais inseridas no contexto de um modelo de visao-linguagem para que o comportamento malicioso que elas implantam continue ativo mesmo depois que a imagem e removida da conversa e mascarada da atencao do modelo. No Qwen3-VL-8B-Instruct, o ataque atingiu cerca de 90% de sucesso em sua configuracao mais forte, e os autores mostram que a influencia adversarial fica localizada no cache de chave/valor (KV) e pode sobreviver inclusive a compactacao de contexto feita por resumos gerados pelo proprio modelo.
Fonte ↗Pesquisadores identificaram que tecnicas de token pruning -- usadas para acelerar modelos de visao-linguagem removendo tokens visuais redundantes -- podem degradar significativamente a seguranca do modelo conforme a taxa de pruning aumenta, atraves de um mecanismo chamado Pruning-Induced Malicious Amplification, no qual a remocao de tokens de fundo forca a atencao do modelo a colapsar sobre poucas ancoras maliciosas remanescentes no primeiro plano, amplificando sua semantica toxica sob jailbreak. A defesa proposta, Safety-Aware Pruning, reduz a taxa de sucesso de ataque em ate 62% sem sacrificar a aceleracao nem a utilidade do modelo.
Fonte ↗Um novo benchmark chamado PriMobiBench mede o quanto agentes de GUI móvel baseados em modelos de visão e linguagem (VLMs) vazam informação privada ao interpretar screenshots de tela para automatizar tarefas em smartphones. Usando um dataset de 2.960 instâncias de privacidade embutidas em execuções reais de 16 apps, os autores mostram que VLMs conseguem extrair diretamente dados sensíveis com até 82,5% de sucesso e ainda inferir perfis de usuário a partir de evidência visual agregada com cerca de 70% de sucesso.
Fonte ↗Pesquisadores propõem um framework de avaliação ponta a ponta para testar se um patch visual local, embutido numa página web, consegue disparar injeção de comando contra agentes de uso de computador (CUAs) multimodais. Em 600 casos de teste contra cinco back-ends abertos de agente/VLM, o ataque atingiu 84,5% de sucesso ao nível do modelo de visão e 20,3% de sucesso ponta a ponta, com casos registrados em que o agente executa um comando malicioso de terminal e depois retoma a tarefa original como se nada tivesse acontecido.
Fonte ↗O ataque MAMJ (Meta-Adaptive Multimodal Jailbreaking) não otimiza apenas a imagem ou o texto de um jailbreak multimodal, mas o próprio processo de ataque: a estratégia usada para iterar e os parâmetros do modelo atacante. Contra GPT-4o, Gemini-3-Pro-Preview e Seed 2.0, o método atingiu taxas de sucesso de 78,9% a 82,3% no benchmark MM-SafetyBench, superando a melhor linha de base em até 24,1 pontos percentuais, e o atacante treinado transferiu para modelos-alvo nunca vistos sem retreinamento.
Fonte ↗Um novo artigo expõe o "decode gap": classificadores de segurança para modelos de visão-linguagem julgam a forma superficial de uma solicitação, não seu significado real, permitindo que pedidos nocivos disfarçados em lógica formal, linguagens raras, código ou imagens de texto escapem da moderação. Os autores propõem um amplificador que tenta neutralizar esse desvio antes do guard atuar, mas mostram que mesmo a melhor combinação ainda deixa 63-65% dos ataques passarem, e o remédio para isso dispara recusas indevidas em pedidos legítimos.
Fonte ↗O GhostPrompt introduz um prompt adversarial otimizado uma unica vez e reutilizavel em imagens diversas para forcar modelos de visao-linguagem a produzir respostas escolhidas pelo atacante, superando a limitacao de ataques anteriores que ficavam presos a uma imagem especifica. O metodo eleva a taxa de sucesso de ataque em mais de 30% sobre o estado da arte, reduzindo em cerca de 70% o tempo de computacao necessario.
Fonte ↗