SceneJail：利用视频场景上下文越狱多模态大模型

arXiv 论文提出 SceneJail，一种针对 Video-MLLM 的自适应黑盒越狱框架。它通过自适应场景构建与场景感知提示搜索，利用同一个有害查询在不同视频场景下安全响应不同的特点发起攻击。在 HADES 与 SafeBench 数据集、八种 Video-MLLM（含 GPT-4.1 与 Gemini3.5-Flash）上，SceneJail-F 平均攻击成功率最高达 91.5%，比最强基线高 29.1 个百分点；SceneJail-S 在严格图像过滤下仍保持 72.3%。

此前的视频越狱多把视频视为有害查询的视觉载体，只改变呈现方式，忽略了周边场景本身也是攻击面。该工作把场景上下文变成可搜索、可优化的变量，并在含专有模型的八种 Video-MLLM 上给出高成功率，说明安全对齐在场景语义层面存在系统性缺口。

机制有两步：先自适应搜索与有害查询在上下文上相容的周边场景，再用黑盒响应反馈搜索针对该场景的文本引导。由于模型对视频的理解融合了场景语义，相同查询在不同场景中被判定的风险不同，攻击者无需白盒梯度即可迭代出规避安全策略的组合。

对做视频理解、内容审核与多模态 Agent 的产品，单帧或单查询的过滤不足以覆盖跨帧、跨场景的语义组合，需要把整段视频的场景上下文纳入安全评估。研发侧应把红队测试从图像级扩展到场景级，并在上线前对连续帧分布式的提示做专门验证。

• 在多模态内容审核流程中增加场景级上下文检测，而非仅逐帧或逐查询过滤。
• 为 Video-MLLM 产品建立以 SceneJail 类方法为基准的场景级越狱红队测试集。
• 针对跨帧分布式提示设计专门的安全分类器或一致性校验环节。
• 在模型发布前加入场景相容性压力测试，将场景变量列入安全评估清单。

• SceneJail 在真实产品流量与非公开数据集上的攻击成功率是否同样有效？
• 该框架对具备场景级安全训练的模型是否仍然保持高成功率？
• GPT-4.1 与 Gemini3.5-Flash 的测试细节和复现条件是否公开？
• 现有防御手段中哪些能显著降低 SceneJail-S 的 72.3% 成功率？