思科研究揭示多模态提示注入攻击新风险与防御信号

思科团队对GPT-4o、Claude Sonnet 4.5等四款主流VLM进行了受控测试，使用1000个对抗性提示，评估了字体大小（6-28px）及多种视觉变换（模糊、噪声、旋转等）下的攻击成功率。

关键发现一：渲染条件是关键攻击面。字体大小存在一个可读性阈值（约8-10px），超过后攻击成功率急剧上升。视觉变换（如重度模糊、30度旋转）可显著降低攻击成功率，但效果因模型而异。

关键发现二：文本-图像嵌入距离与攻击成功率呈强负相关。使用JinaCLIP等现成嵌入模型计算的距离，可作为预测攻击是否成功的廉价、模型无关的代理信号，为大规模风险输入筛选提供了可能。