White Circle 用現成工具繞過 OpenAI、Google 生圖安全過濾，新版模型更易突破

發生什麼事

安全研究團隊 White Circle 使用市面上可取得的工具與 API（應用程式介面，讓程式向服務送出請求的管道）呼叫，測試 OpenAI 的 DALL·E 3、GPT-Image-2 與 Google 的 Nano Banana 2 能否被誘導產生露骨內容。TechNews 科技新報寫這套攻擊方法名為 RISE。動區動趨說明，做法是讓 AI 演化出「寫提示詞的套路」，套路先互相競爭、演化，再固定最好的 5 個大量產出攻擊；具體套路與提示詞沒有公開，程式碼在 GitHub 開源。 TechNews 科技新報 動區動趨 BlockTempo

依動區動趨的整理，負責寫提示詞的是從 Hugging Face（開源模型的下載平台）取得、已被拿掉安全訓練的開源模型 Qwen3-32B；擔任裁判的是 Google 的 Gemini 2.5 Flash，團隊再用約 1,300 張人工標註的圖校準。每個提示詞送出 3 次，3 張圖裡至少 1 張被人工確認為露骨就算成功。結果為 DALL·E 3 13.3%、Nano Banana 2 9.5%，GPT-Image-2 在預設、較嚴格的審查設定下為 3.3%，是最難攻破的目標。 動區動趨 BlockTempo

論文投稿後，White Circle 用同一套方法、完全沒改，重測兩家新模型並把結果貼在官網。OpenAI 9 月推出的 GPT-Image-2.5 Flare（ChatGPT Images 2.5 背後的模型）成功率從 GPT-Image-2 的 3.3% 升到 7.8%，約 2.4 倍；Google 10 月初上線的 Nano Banana 2.1 從 9.5% 升到 20.7%，約 2.2 倍。TechNews 科技新報同樣指出，ChatGPT Images 2.5 與 Nano Banana 2.1 的防護比前一代更容易被突破。 動區動趨 BlockTempo TechNews 科技新報

誰受影響

直接相關的是 OpenAI 與 Google 商用生圖服務。動區動趨說明，這類服務通常有三層防護：輸入端擋可疑提示詞、輸出端審查生成圖片、模型本身也被訓練成避開違規內容。動區引述今年 7 月發表、有 Google 研究人員參與的研究：承認做過 AI 裸照的人，有 20% 說是「好玩」或「開玩笑」，將近三分之一僅是「試試技術」；該研究認為開發者有責任在模型層級建立防護，替原本會被技術門檻勸退的人關上入口。 動區動趨 BlockTempo

受害者端的數字方面，英國網路觀察基金會（IWF）10 月 5 日發布，2026 年 1 月到 6 月分析師確認 6,310 張符合法律定義的 AI 生成兒少性虐待圖片，比 2025 年全年的 4,512 張多 40%。TechNews 科技新報則引述一項美國青少年調查：44% 的受訪者曾看過他們認為是 AI 生成的性相關內容，其中約四分之一表示內容涉及自己或認識的人。 動區動趨 BlockTempo TechNews 科技新報

限制與未定事項

研究的主要測試類別是女性裸露，理由是每個服務都禁止、人工判讀也最一致；人工標註員是作者團隊內部人員。論文也寫道，現在的商用生圖系統成功違規已經很少見，過去文獻宣稱對 DALL·E 3 約 30%、甚至 85% 成功率的方法，用同一套人工校準標準重測後幾乎都掉到 0。至於新模型為何更好破，White Circle 官網寫道從外部無法判斷，可能來自模型本身、較便宜版本較寬鬆的審查設定，或兩者都有。 動區動趨 BlockTempo

各方說法

Google 在 Nano Banana 2.1 模型卡（說明模型能力與安全測試的官方文件）寫道，由模型開發團隊以外的專門團隊做人工紅隊測試（模擬攻擊者找出系統弱點的測試），在內容安全政策（含兒少安全）上表現與 Gemini 3 Flash 相近或更好，模型卡也提到越獄（繞過模型安全限制）抵抗力持續改善。依動區動趨報導，OpenAI 與 Google 都沒有回應 Ars Technica 提供的新結果，也沒回應先前針對舊模型漏洞的詢問。 動區動趨 BlockTempo

據動區動趨轉述，White Circle 執行長 Denis Shilov 向 Ars Technica 表示，攻破前沿模型（能力最先進的大型模型）的防線不需要動用前沿模型。他也認為 AI 公司在安全上投入不夠，主張獨立第三方安全測試應該強制，並批評打造這些系統的實驗室自己評估安全、自己發布結果、自己訂標準。動區另寫到，White Circle 正與政府官員初步洽談。 動區動趨 BlockTempo

White Circle 另外表示，不會簽任何可能阻止公開重要發現的限制性保密協議。White Circle 向 Ars Technica 提出的假設是，新模型能力更強、能畫的東西更廣，或是安全的優先順序讓位給了能力。 動區動趨 BlockTempo

兩家媒體對成功率的寫法不同：TechNews 科技新報寫生成露骨內容的成功率約為 13%；動區動趨則寫 13.3% 是所有目標裡最高的人工確認數字（DALL·E 3），不是平均值。TechNews 另引述一項針對 25 個 AI 模型的測試，詩歌式提示詞讓模型產生不安全回應的平均比率達 62%，並寫到研究人員呼籲建立更嚴格、獨立的第三方安全測試機制。 TechNews 科技新報 動區動趨 BlockTempo

各方說法不一致的地方

• 成功率數字的性質：TechNews 科技新報寫生成露骨內容的成功率約為 13%；動區動趨寫 13.3% 是 DALL·E 3 的單一目標最高值、不是平均值，各模型分別為 13.3%、9.5%、3.3%。