Investigadores de seguridad de White Circle afirman que una técnica automatizada de jailbreak eludió los controles de contenido explícito de varios generadores de imágenes de OpenAI y Google en alrededor del 13 % de los casos. Las pruebas citadas utilizaron modelos de acceso público, herramientas corrientes y llamadas a API, y no sistemas de IA personalizados ni de vanguardia.
El resultado procede de un preprint de White Circle publicado recientemente, descrito por Ars Technica. Los investigadores revisaron manualmente las salidas generadas para verificar qué intentos habían superado las salvaguardas. White Circle caracterizó el 13 % como el resultado más alto logrado por un método evaluado con el mismo estándar.
OpenAI y Google no respondieron a las solicitudes de comentario de Ars sobre los hallazgos.
RISE busca jailbreaks que funcionen con distintos prompts
White Circle denominó la técnica RISE, por «Red-teaming via Iterative Strategy Evolution» (red-teaming mediante evolución iterativa de estrategias). Utiliza dos componentes de IA: un atacante que genera estrategias de jailbreak y un juez que comprueba si el modelo objetivo produjo material prohibido.
El componente atacante era un modelo Qwen descargado de Hugging Face. El director ejecutivo de White Circle, Denis Shilov, identificó el modelo juez como Gemini 3.8 Flash.
En lugar de perfeccionar un único prompt para un escenario concreto, RISE busca patrones que sigan siendo eficaces con distintas solicitudes y modelos. Este enfoque en estrategias reutilizables y transferibles pretende revelar debilidades más amplias en los controles de contenido, y no fallos aislados de un prompt.
El preprint abarcó tres productos de generación de imágenes:
- OpenAI DALL·E 3
- OpenAI GPT-Image-2
- Google Nano Banana 2
Midjourney no se incluyó porque, según White Circle, no dispone de una API pública adecuada para pruebas comparativas controladas.
White Circle aplicó por separado el mismo método a ChatGPT Images 2.5 y Nano Banana 2.1. La organización explicó a Ars que ambos eran «significativamente más vulnerables que sus versiones anteriores». Se trata de una valoración de White Circle; las empresas afectadas no la han confirmado.
Según White Circle, las pruebas demuestran que sondear las salvaguardas de imagen comerciales no requiere necesariamente un modelo especializado ni una gran experiencia en IA. Aun así, el método no funcionó en todas las solicitudes: la tasa de elusión comunicada fue de aproximadamente el 13 % con el estándar de prueba de la organización.
El riesgo práctico es una producción más fácil de imágenes sexuales prohibidas
Las pruebas se centraron en los controles diseñados para impedir resultados explícitos. Una elusión exitosa significa que un usuario puede obtener material que el servicio de imágenes pretende rechazar, aunque interactúe a través de su API y no comprometa la infraestructura subyacente.
White Circle eligió el contenido explícito en parte porque consideró que esta categoría es relativamente sencilla de identificar para los sistemas automatizados de seguridad. Shilov sostuvo que los fallos en este ámbito generan dudas sobre la eficacia con que los modelos pueden bloquear otro material prohibido. White Circle ha propuesto extender las pruebas a categorías como la violencia gráfica y las imágenes de autolesión, pero el 13 % comunicado no debe interpretarse como prueba de un rendimiento equivalente en esas categorías.
Los hallazgos son especialmente relevantes para las imágenes íntimas no consentidas. Un estudio aparte, coescrito con Google, sobre usuarios de internet en Estados Unidos, Australia y el Reino Unido, halló que el 20 % de los participantes que reconocieron haber creado imágenes de desnudos con IA dijeron haberlo hecho «por diversión» o «como broma». Casi un tercio afirmó que estaba experimentando con la tecnología.
Los investigadores de Google identificaron las herramientas de generación como el «punto de intervención más crítico», y argumentaron que la fricción técnica puede disuadir al menos a algunos posibles abusadores. También señalaron que el material dañino puede circular por textos, mensajes directos y almacenamiento privado en la nube, lo que dificulta su detección posterior.
Esa investigación de Google fue independiente de la evaluación de White Circle y no fue una respuesta corporativa a los hallazgos de RISE.
Se insta a los desarrolladores a probar más allá de los rechazos integrados
White Circle recomienda usar pruebas adversarias automatizadas como RISE para descubrir jailbreaks transferibles con mayor rapidez. Para las organizaciones que ofrecen o integran sistemas de generación de imágenes, los hallazgos indican que los rechazos integrados deberían someterse a intentos repetidos y adaptativos, y no evaluarse únicamente con prompts prohibidos individuales.
La investigación aparte de Google abogó por salvaguardas obligatorias, barreras robustas a nivel de modelo e indicadores de procedencia para las imágenes sexuales sintéticas. White Circle también ha pedido auditorías independientes de seguridad de carácter obligatorio. Shilov sostuvo que la evaluación externa reduciría la dependencia de laboratorios que evalúan sus propios modelos.
White Circle afirmó que ha trasladado sus hallazgos a algunos laboratorios de IA de vanguardia a través de contactos comunes y que mantiene conversaciones preliminares con funcionarios públicos sobre pruebas por terceros. Tiene previsto publicar el pipeline de RISE en GitHub y presentar la investigación en NeurIPS 2026, en noviembre. Así, podría ofrecer a los desarrolladores de modelos y a los evaluadores independientes un método común para comprobar si las salvaguardas de imagen resisten estrategias de jailbreak reutilizables.
