マルチモーダル大規模言語モデル（MLLM）は目覚ましい性能を達成しているが、その安全性アライメントは脱獄攻撃に対して脆弱なままである。既存のコンテンツベースの脱獄手法は一貫性に欠け、急速に進化するMLLMに対して満足な性能を示せず、非コンテンツベースの脆弱性を活用できていない。従来の研究とは異なり、Bingjun Luoらのチームは、MLLMが理解能力と安全能力の間に「スタイル的不整合」を示すことを実証的に発見した。すなわち、MLLMは視覚スタイルに関わらずコンテンツを頑健に理解できる一方、その防御機構は特定のスタイルトリガーによって容易に迂回される。
この発見に基づき、研究者らは敵対的スタイル最適化（Adversarial Style Optimization, ASO）を提案する。ASOはプラグアンドプレイの拡張モジュールであり、既存の視覚的脱獄攻撃を増幅する。ASOは画像編集モデルを微調整し、最適化されたスタイル修正を所与の敵対的画像に重ね合わせる。この最適化プロセスは、グループ相対方策最適化（GRPO）エージェントと、明示的な拒否を検出するロジットベース信号と強力な判定モデルからの高忠実度意味評価を組み合わせた階層的報酬関数によって導かれる。具体的には、ASOはまず基本となる敵対的画像を選択し、GRPOを用いてスタイルエディタを訓練し、画像内容を保持しながら標的MLLMの防御を回避するスタイル摂動を加える。階層的報酬関数は、ロジット信号による直接拒否の回避と、判定モデルによる意味的一貫性の維持の両方を保証する。
LLaVA、Qwen-VL、MiniGPT-4などの複数の主流MLLMにおいて、様々な視覚的脱獄ベースライン手法を用いた広範な実験が行われた。結果は、ASOがこれらの攻撃の攻撃成功率（ASR）を大幅に向上させ、場合によっては30ポイント以上の向上を示した。さらに、ASOの効果は転移可能であり、あるモデルに対して最適化されたスタイルトリガーが他のモデルに対しても有効であることが示され、スタイルバイアスがスケーラブルなレッドチーミングベクトルであることが証明された。研究者らはスタイルトリガーの特性も分析し、「油絵」や「素描」などの特定の視覚スタイルが特に効果的であり、スタイル摂動の振幅は微小で気づかれにくいことを発見した。
この研究は、MLLMの安全機構の新たな弱点を明らかにするだけでなく、将来の防御研究に方向性を与える。論文のコードは公開されており、CVPR 2026でOral採択されている。この発見は、内容理解と安全防御の間にスタイル次元での非対称性が存在するという、現在の安全アライメントにおける根本的な盲点を指摘するものであり、学界と産業界で広く注目を集めている。今後、研究チームはスタイルベースの防御手法や、ASOのさらなるモダリティへの拡張を探求する予定である。