KI-Jailbreak mit versteckten Bildmanipulationen: Unsichtbare Pixel täuschen Chatbots und umgehen deren Schutzmechanismen.
Ein Forschungsteam der Florida International University (FIU) präsentierte auf der ICMLA-Konferenz mit JaiLIP eine neuartige Angriffstechnik. Der KI-Jailbreak demonstriert, wie sich multimodale KI mit für Menschen kaum wahrnehmbaren Pixeländerungen täuschen lässt. Das manipulierte Bild kann moderne KI-Systeme dazu bringen, ihre eigenen Sicherheitsregeln zu missachten. Ein Risiko, das besonders Unternehmen im Blick behalten sollten.
Was für Menschen wie ein gewöhnliches Foto aussieht, kann für eine Künstliche Intelligenz zum trojanischen Pferd werden. Hadi Amini, außerordentlicher Professor an der Knight Foundation School of Computing and Information Sciences der Florida International University untersuchte gemeinsam mit seinem wissenschaftlichen Mitarbeiter Md Jueal Mia, wie manipulierte Bilder bestimmte KI-Systeme „knacken“ und ihre eingebauten Schutzmechanismen überwinden können.
Dabei haben sie eine Angriffstechnik namens JaiLIP entwickelt, die moderne Vision-Language-Modelle allein durch minimale, für das menschliche Auge unsichtbare Bildveränderungen dazu bringt, ihre eigenen Sicherheitsvorgaben zu ignorieren. Damit rücken manipulierte Bilder erneut als Angriffsvektor in den Fokus. Neu an dieser Methode JaiLIP ist dabei die Qualität und Wirksamkeit.
Bereits vor der aktuellen Studie zeigten wissenschaftliche Arbeiten, dass sich Vision-Language-Modelle (VLMs) auch über manipulierte Bilder angreifen lassen. Anschließend untersuchten Forscher gradientenbasierte Image-Jailbreaks und deren Übertragbarkeit auf andere Modelle. Allerdings funktionierten solche Angriffe im Allgemeinen nur gegen das Modell, für das sie entwickelt wurden. Sie übertrugen sich schlecht auf andere VLMs.
Diesen Ansatz verbesserte allerdings diese Studie aus dem Jahr 2025. Der Algorithmus berechnet dabei minimale Pixeländerungen. Diese sind kaum sichtbar und erzielen dennoch eine hohe Erfolgsquote. Die Autoren weisen darauf hin, dass ihre Methode frühere bildbasierte Verfahren sowohl hinsichtlich der Wirksamkeit als auch der Unauffälligkeit der Manipulationen übertrifft. Aufmerksamkeit erhielt die Forschungsarbeit nach ihrer Veröffentlichung in IEEE Xplore im April 2026 sowie der anschließenden Pressemitteilung der Florida International University Ende Juni. Pressefotos und Medienmaterial sind auf Dropbox einsehbar.
KI-Jailbreak per Bild: Unsichtbare Pixel statt ausgeklügelter Prompts
Bei Prompt-Jailbreaks versuchen potenzielle Angreifer, Sprachmodelle mit geschickt formulierten Eingaben dazu zu bewegen, interne Sicherheitsregeln zu umgehen. Die neue Angriffsmethode verfolgt dabei einen völlig anderen Ansatz. Statt Texte zu manipulieren, verändern die Forscher hierbei einzelne Pixel eines Bildes, sogenannte Perturbationen. Diese bleiben für Menschen praktisch unsichtbar. Für ein KI-Modell verändern sie jedoch mit teils gravierenden Folgen die mathematische Repräsentation des Bildes. Studienautor Hadi Amini erklärt:
„KI-Modelle sehen Bilder nicht so wie Menschen. Sie erkennen Muster aus Zahlen und Pixeln. Durch die gezielte Manipulation dieser Pixel können wir beeinflussen, wie die KI ein Bild interpretiert und darauf reagiert.“
Während Menschen Objekte, Farben oder Szenen wahrnehmen, verarbeitet ein Vision-Language-Modell Bilder ausschließlich als numerische Daten. Bereits minimale Veränderungen können deshalb ausreichen, damit das Modell denselben Bildinhalt völlig anders interpretiert.
JaiLIP optimiert den Angriff automatisch
Für ihre Experimente entwickelten die Wissenschaftler den Algorithmus JaiLIP (Jailbreaking with Loss-guided Image Perturbation). Anders als bei früheren Verfahren, erzeugt er keine zufällige Bildstörungen, sondern berechnet exakt die kleinste notwendige Veränderung, um den größtmöglichen Effekt zu erzielen. Dafür kombiniert das Verfahren zwei Ziele zugleich. Einerseits soll das manipulierte Bild möglichst identisch zu dem Original bleiben. Andererseits wird die Wahrscheinlichkeit maximiert, dass das Modell seine Schutzmechanismen missachtet und problematische Antworten erzeugt. Dabei bleibt die Manipulation nahezu unsichtbar, während ihre Wirkung auf das KI-System erheblich sein kann.
JaiLIP verdoppelt nahezu problematische KI-Antworten
Getestet wurde die Methode mit BLIP-2, einem Vision-Language-Modell, das Bilder und Texte gemeinsam verarbeitet. Solche multimodalen Systeme bilden die Grundlage zahlreicher moderner KI-Assistenten und Chatbots. Nach Angaben der Forscher führte JaiLIP zu einer nahezu Verdopplung problematischer beziehungsweise sicherheitskritischer Antworten gegenüber unveränderten Bildern.
Die Forscher veranschaulichten die Ergebnisse am Beispiel einer Verkehrsampel. Hier brachte die versteckte Bildmanipulation das Modell dazu, detailliert zu erklären, wie sich eine rote Ampel überfahren lässt, ohne ein Bußgeld zu riskieren. Normalerweise würde das System eine solche Antwort verweigern.
Ihre Ergebnisse bewerteten die Wissenschaftler unter anderem mit den etablierten Sicherheitsmetriken Perspective API und Detoxify, um die Qualität und Toxizität der erzeugten Antworten objektiv zu messen. Beide Systeme bewerten automatisch, wie toxisch oder problematisch KI-generierte Antworten sind.
KI-Jailbreak eröffnet neue Angriffsfläche für Unternehmen
Unternehmen setzen gerade vermehrt auf KI-gestützte Assistenten für Kundenservice, Buchhaltung oder interne Arbeitsabläufe. Besonders kleinere Betriebe greifen dabei häufig auf frei verfügbare oder nur eingeschränkt abgesicherte Modelle zurück. Nach Einschätzung der Forscher könnten gerade diese System anfällig für visuelle KI-Angriffe sein.
Ein erfolgreicher Bild-KI-Jailbreak könnte künftig dazu führen, dass Sicherheitsrichtlinien umgangen, vertrauliche Informationen preisgegeben oder schädliche Inhalte erzeugt werden. Ebenso wären manipulierte Dokumente oder Bilder denkbar, die automatisierte Geschäftsprozesse beeinflussen, ohne dass Mitarbeiter den eigentlichen Angriff bemerken. Amini betont:
„Kleine Unternehmen können von KI profitieren und ihre Effizienz steigern, müssen sich aber der potenziellen Schwachstellen bewusst sein. Sie müssen sicherstellen, dass sie ausreichende Sicherheitsvorkehrungen treffen, um die Sicherheit und Integrität ihrer KI-Tools zu gewährleisten.“
Einige grundlegende Vorsichtsmaßnahmen sollten Unternehmen beachten, bevor sie KI integrieren. Zu empfohlenen Schutzmaßnahmen zählen laut den Forschern unter anderem:
- Einschränkung des Zugriffs auf KI-Systeme,
- sorgfältige Prüfung hochgeladener Bilder,
- möglichst sparsame Verarbeitung sensibler Daten,
- regelmäßige Sicherheitstests multimodaler Modelle,
- kontinuierliche Aktualisierung der eingesetzten Schutzmechanismen.
Eine neue Angriffsklasse für multimodale KI
Mit zunehmender Verbreitung multimodaler Modelle entstehen auch neue Angriffsflächen, die klassische Sicherheitskonzepte bisher kaum berücksichtigen. In diesem Kontext verstehen die Forscher ihre Arbeit in erster Linie als proaktiven Beitrag zur Verbesserung der KI-Sicherheit. Indem sie Schwachstellen frühzeitig identifizieren, sollen Entwickler wirksamere Schutzmechanismen implementieren können, bevor entsprechende Angriffstechniken von Cyberkriminellen missbraucht werden. Amini betont:
„Das manipulierte Bild ist wie das Gesicht eines Fremden. Die KI muss lernen, wann eine Anfrage mit Vorsicht zu behandeln ist, bevor sie antwortet. Um KI-Systeme vor Angriffen zu schützen, versuchen wir, sie selbst zu knacken, potenzielle Schwachstellen zu identifizieren und Verteidigungsmechanismen zu entwickeln.“
