【免费下载链接】wallbreaker项目地址https://gitcode.com/gh_mirrors/wallb/wallbreaker点击查看免费下载Wallbreaker 是一个面向大模型红队评测的开源攻击框架其中的多模态图片攻击通道是近期最受关注的特性query_image_edit工具可以把「输入图片 编辑指令」直接打到图像生成模型上而image_chain则实现了Chain-of-Jailbreak语义链式攻击把一次会被拒绝的图像请求拆成一串「每步单独看都无害」的小编辑逐轮累积出目标内容。本文带你完整看懂这条图片通道的原理、配置方式和实战用法 。为什么需要多模态图片攻击通道传统红队工具只测「文字进、文字出」的护栏。但如今主流模型Gemini、Flux 等都能生图而图像模型的输出安全审查器通常只对单张图片打分看不到跨轮次累积的意图——这正是攻击面的来源。Wallbreaker 为此设计了三个层次的图片攻击原语工具能力一句话说明query_image_target文生图纯文本提示词 → 图像测输入侧审查query_image_edit图像编辑输入图 编辑指令 → 新图测条件化编辑通道image_chain链式编辑多轮小步编辑跨轮累积出单轮会被拒的内容Agent 页面中可以看到完整的 Attack → Target → Judge 回路图片攻击同样是「攻击方发起、目标模型响应、视觉裁判打分」的三段式闭环快速上手query_image_edit 一键图片编辑攻击query_image_edit是图片通道的核心原语实现位于 wallbreaker/tools/image_edit.py。它的工作流程非常直接解析目标检查[target]的modality是否为image否则直接报错提示你切到文本通道加载输入图把本地图片比如query_image_target生成的wb_images/img_xxx.png编码为 data URL 作为「底图」发送编辑请求把「底图 编辑指令」发给图像模型底层由 wallbreaker/providers/image_provider.py 解析 OpenRouter 返回的多种图像格式自动视觉判级返回的图片保存到wb_images/目录并由视觉裁判[judge]自动打分给出COMPLIED / PARTIAL / REFUSED结论。关键参数速查prompt必填要施加在输入图上的编辑指令image/images单张或多张输入图路径第一张为底画布可叠加「参考图 覆盖层」objective告诉裁判最终图像应呈现什么用于视觉判级transforms可选的 Parseltongue 编码链如[leet,homoglyph]先对指令做混淆再发射image_only置为true时自动追加「只用图像回答、不要文字评论」压制安全层可读的文本通道。配置上只需在 config.example.toml 基础上把[target]的modality设为image并指向一个图像模型如google/gemini-2.5-flash-image同时确保 judge 是具备视觉能力的模型——纯文本裁判「看不见图」。总览看板会实时展示当前 engagement 的modality: image状态 小技巧如果模型「拒绝出图」工具会自动分析拒绝话术——软拒绝提供了替代方案值得顺势推进硬拒绝则建议换框架或用transforms编码。相关逻辑见 wallbreaker/tools/image.py 中的_analyze_refusal。Chain-of-Jailbreakimage_chain 如何拆解累积意图image_chain是这条图片通道的重头戏核心思想叫Semantic Chaining语义链式攻击目标概念只在整条链路上累积任何单轮编辑孤立看都是无害的——输出安全审查器逐张打分无法看到跨轮的意图叠加。两种运行模式static 模式手动阶梯你自己提供steps编辑指令列表典型结构是「无害底图 → 无害替换 → 关键转向 → 最终目标」。每一轮返回的图片会回灌为下一轮的底图实现图像状态的连续演化。auto 模式攻击 LLM 驱动只需给出objectiveWallbreaker 会调用攻击方 LLM 逐轮生成下一条「无害化」编辑指令并且带有聪明的退让机制——当某一步步子太大导致模型拒绝时自动切换到CHAIN_SOFTEN提示词回退到更安全的位置再小步逼近一旦裁判判定COMPLIED链条宣告「击穿」。整个链条的每一步都会记录判级、耗时和产出图片最后汇总成「链条在第几步被击穿」或「护栏贯穿全链守住」的结论。在 Arsenal 武器库页面中你可以直接检索到这些图片攻击相关工具并查看其参数 schema实时观察链条演化图片链的每一轮都会产生系统事件Live 页面提供事件时间线可按轮次回放 Target 的响应、System 的判级动作适合复盘哪一步的措辞触发了拒绝与文本侧 CoT 攻击的呼应图片链解决的是「图像通道跨轮累积」而 wallbreaker/tools/cot_forge.py 中的cot_forge解决的是「推理通道」的同类问题收割目标泄露的 Chain-of-Thought用攻击 LLM 伪造一段「已通过安全检查」的续写再以原生 thinking 块Anthropic 协议或think标签OpenAI 协议回灌目标。两者构成 Wallbreaker 对「单点审查器盲区」的双通道覆盖——图像链打输出侧CoT 锻造打推理侧。此外wallbreaker/transforms/image_framing.py 提供了一批 Tier-3 文生图框架变换Etch/PGJ/OptJail 风格可叠加在query_image_edit/image_chain之上同时绕过「输入 输出」双重安全栈行为验证可参考 tests/test_image_edit.py 与 tests/test_cot_forge.py。常见问题与避坑指南报错target is a text model (modalitytext)在config.toml的[target]段补上modality imagejudge 没配置视觉模型图片只会被标记PARTIAL裁判无法「看到」图务必选 gpt-4o、claude-3.5-sonnet、gemini 等视觉模型auto 模式调用预算max_calls会硬性封顶整个运行的模型调用次数max_turns控制最大编辑轮数成本可控产出图去哪了全部落在工作区wb_images/目录已 gitignore文件名含内容哈希前缀方便与运行记录对账。相关资源官方文档总览README.md、功能变更CHANGELOG.md图片攻击工具实现wallbreaker/tools/image_edit.py、wallbreaker/tools/image.py视觉判级逻辑wallbreaker/judging.py配置模板config.example.toml用对工具把「护栏只看得见一张图、一轮对话」这件事变成可度量、可复现的评测数据——这就是 Wallbreaker 多模态通道的价值所在 ✅。赞分享【免费下载链接】wallbreaker项目地址https://gitcode.com/gh_mirrors/wallb/wallbreaker点击查看免费下载相关推荐Wallbreaker 多轮攻击技术全解PAIR/TAP、Crescendo 与 best-of-N 实战对比Wallbreaker 多轮攻击技术全解PAIR/TAP、Crescendo 与 best of N 实战对比 Wallbreaker 是一款面向 LLM 的Wallbreaker 自主攻击循环深度解析finish() 与 ask_operator() 背后的 Agent 设计Wallbreaker 自主攻击循环深度解析finish 与 ask_operator 背后的 Agent 设计 Wallbreaker 是一款 ClaudePNG图片中的XSS攻击完整防御指南与实战解析PNG图片中的XSS攻击完整防御指南与实战解析 在数字化时代图片文件往往被视为安全的静态资源但xss2png项目的出现揭示了隐藏在PNG图片中的安全威胁。创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考