Sicherheitsforscher von White Circle berichten, dass eine automatisierte Jailbreak-Technik die Kontrollen für explizite Inhalte in mehreren Bildgeneratoren von OpenAI und Google in etwa 13 Prozent der Fälle umgangen hat. Die berichteten Tests nutzten öffentlich verfügbare Modelle, gängige Werkzeuge und API-Aufrufe, keine maßgeschneiderten oder hochmodernen KI-Systeme.
Das Ergebnis stammt aus einem kürzlich veröffentlichten Preprint von White Circle, den Ars Technica beschreibt. Die Forscher prüften die erzeugten Ausgaben manuell, um festzustellen, welche Versuche die Schutzmechanismen tatsächlich überwunden hatten. White Circle bezeichnete das Ergebnis von 13 Prozent als das höchste, das eine Methode unter demselben Standard erreicht habe.
OpenAI und Google haben auf die Anfrage von Ars zu den Ergebnissen nicht reagiert.
RISE sucht nach Jailbreaks, die über verschiedene Prompts hinweg funktionieren
White Circle nannte die Technik RISE, kurz für „Red-teaming via Iterative Strategy Evolution“. Sie nutzt zwei KI-Komponenten: einen Angreifer, der Jailbreak-Strategien erzeugt, und einen Richter, der prüft, ob das Zielmodell verbotenes Material hervorgebracht hat.
Die Angriffskomponente war ein Qwen-Modell, das von Hugging Face heruntergeladen wurde. White Circle-CEO Denis Shilov nannte als Richtermodell Gemini 3.8 Flash.
Statt einen einzelnen Prompt für ein Szenario zu verfeinern, sucht RISE nach Mustern, die über verschiedene Anfragen und Modelle hinweg wirksam bleiben. Dieser Fokus auf wiederverwendbare und übertragbare Strategien soll breitere Schwächen der Inhaltskontrollen sichtbar machen und nicht nur isolierte Prompt-Fehler.
Der Preprint behandelte drei Bildgenerierungsprodukte:
- OpenAI DALL·E 3
- OpenAI GPT-Image-2
- Google Nano Banana 2
Midjourney wurde nicht einbezogen, da White Circle erklärte, dem Dienst fehle eine öffentliche API, die sich für kontrollierte Benchmarks eigne.
White Circle wandte dieselbe Methode außerdem separat auf ChatGPT Images 2.5 und Nano Banana 2.1 an. Die Organisation erklärte gegenüber Ars, beide seien „deutlich leichter zu knacken als ihre früheren Versionen“. Dabei handelt es sich um die Einschätzung von White Circle; die betroffenen Unternehmen haben sie nicht bestätigt.
Laut White Circle zeigen die Tests, dass die Prüfung kommerzieller Bildschutzmaßnahmen nicht zwingend ein spezialisiertes Modell oder fortgeschrittene KI-Expertise erfordert. Die Methode war jedoch nicht bei jeder Anfrage erfolgreich. Nach dem Teststandard der Organisation lag die berichtete Umgehungsrate bei etwa 13 Prozent.
Das praktische Risiko ist die leichtere Erzeugung verbotener sexueller Bilder
Die Tests zielten auf Kontrollen, die explizite Ausgaben verhindern sollen. Eine erfolgreiche Umgehung bedeutet, dass ein Nutzer Material erhalten kann, das der Bilddienst eigentlich ablehnen soll, und zwar obwohl er nur über die API interagiert und nicht die zugrunde liegende Infrastruktur kompromittiert.
White Circle wählte explizite Inhalte unter anderem deshalb, weil die Kategorie aus Sicht des Unternehmens für automatisierte Sicherheitssysteme vergleichsweise leicht zu erkennen ist. Shilov argumentierte, Schwächen in diesem Bereich ließen Zweifel daran aufkommen, wie wirksam Modelle andere verbotene Inhalte blockieren können. White Circle hat vorgeschlagen, die Tests auf Kategorien wie grafische Gewalt und Bilder zur Selbstverletzung auszuweiten. Das berichtete Ergebnis von 13 Prozent sollte jedoch nicht als Beleg für eine vergleichbare Leistung in diesen Kategorien gelten.
Die Ergebnisse sind besonders relevant für nicht einvernehmliche intime Bilder. Eine separate Studie unter Beteiligung von Google, die Internetnutzer in den Vereinigten Staaten, Australien und dem Vereinigten Königreich untersuchte, ergab, dass 20 Prozent der Teilnehmer, die zugegeben hatten, KI-Nacktbilder erstellt zu haben, angaben, dies „zum Spaß“ oder „als Witz“ getan zu haben. Knapp ein Drittel sagte, sie hätten mit der Technik experimentiert.
Die Forscher von Google bezeichneten die Generierungswerkzeuge als „wichtigsten Interventionspunkt“ und argumentierten, technische Hürden könnten zumindest einige potenzielle Täter abschrecken. Außerdem stellten sie fest, dass schädliches Material über Texte, Direktnachrichten und private Cloud-Speicher verbreitet werden kann, was eine spätere Erkennung erschwert.
Diese Google-Forschung war von White Circles Evaluierung getrennt und keine Reaktion des Unternehmens auf die RISE-Ergebnisse.
Entwickler sollten über eingebaute Ablehnungen hinaus testen
White Circle empfiehlt automatisierte adversariale Tests wie RISE, um übertragbare Jailbreaks schneller aufzuspüren. Für Organisationen, die Bildgenerierungssysteme anbieten oder einbinden, zeigen die Ergebnisse, dass eingebaute Ablehnungen mit wiederholten, adaptiven Versuchen getestet werden sollten und nicht nur mit einzelnen verbotenen Prompts.
Google sprach sich in seiner separaten Forschung für verpflichtende Schutzmaßnahmen, robuste Leitplanken auf Modellebene und Herkunftsnachweise für synthetische sexuelle Bilder aus. White Circle fordert zudem verpflichtende unabhängige Sicherheitsprüfungen. Shilov argumentierte, externe Bewertungen würden die Abhängigkeit von Laboren verringern, die ihre eigenen Modelle prüfen.
White Circle erklärte, die Ergebnisse über gemeinsame Kontakte an einige Frontier-KI-Labore weitergegeben zu haben, und führe erste Gespräche mit Regierungsvertretern über Tests durch Dritte. Geplant ist, die RISE-Pipeline auf GitHub zu veröffentlichen und die Forschung im November auf der NeurIPS 2026 vorzustellen. Modellentwickler und unabhängige Gutachter könnten so eine gemeinsame Methode erhalten, um zu prüfen, ob Bildschutzmaßnahmen wiederverwendbaren Jailbreak-Strategien standhalten.
