Onderzoekers hebben een nieuwe kwetsbaarheid ontdekt in vision-language modellen (VLM's) waarbij verborgen instructies in afbeeldingen pas zichtbaar worden voor de AI nadat het beeld is verkleind. Dit fenomeen, genaamd Scale-Induced Semantic Shift (SISS), stelt kwaadwillenden in staat om beveiligingsmechanismen te omzeilen.
In een recent onderzoek, gepubliceerd op 12 november 2026, beschrijven wetenschappers hoe multimedia-systemen onbedoeld een veiligheidsrisico creëren. Wanneer afbeeldingen worden verwerkt door AI-modellen, worden ze vaak eerst resized, gecomprimeerd of opnieuw gerenderd. De onderzoekers ontdekten dat deze transformaties de machine-leesbare betekenis van een afbeelding kunnen veranderen.
Het mechanisme van Scale-Induced Semantic Shift
De kern van de ontdekking is dat een tekstuele instructie in een afbeelding onzichtbaar kan blijven bij een standaard presentatieresolutie van 512x512 pixels. Echter, zodra het beeld ondergaat aan agressieve downsampling — het proces waarbij de resolutie sterk wordt verlaagd — wordt de instructie plotseling herkenbaar voor het AI-model. Dit proces noemen de auteurs arxiv.org.
Om dit gedrag te exploiteren, hebben de onderzoekers een "closed-loop black-box framework" ontwikkeld. Dit systeem maakt gebruik van verschillende technieken, waaronder dual-scale verificatie, selectieve zelf-harding en pixel-space noise regularisatie, om effectieve visuele prompts te genereren die specifiek gericht zijn op deze schaalgevoeligheid.
Resultaten en effectiviteit van de aanval
De effectiviteit van deze methode werd getest op een benchmark van 300 gevallen over vier verschillende closed-source vision-language modellen. Volgens de gegevens in de behaalde de derde verfijningsronde van de SISS-aanval een gemiddelde succesrate van 58,75%. Ter vergelijking: de sterkste baseline voor generatie behaalde slechts 41,08%.
Het onderzoek toont echter ook aan dat dit effect begrensd is. De succesrate daalt aanzienlijk wanneer de compressie te extreem wordt of juist minder agressief is. Bij resoluties van 128x128, 224x224 en 336x336 daalde de gemiddelde succesrate respectievelijk naar 17,68%, 6,85% en 5,60%, zoals beschreven in de .
Impact op web-agents en beveiliging
Naast algemene VLM's is er gekeken naar de impact op zogenaamde web-agents. Hoewel de gegenereerde afbeeldingen zorgden voor een hogere perceptie van verborgen instructies, bleef de absolute gedragsmatige compromittering beperkt tot ongeveer 4%. Dit suggereert dat hoewel de AI de instructie "ziet", dit niet altijd direct leidt tot het volledig overnemen van de controle over de agent.
Wat betreft defensie stelt het onderzoek dat generieke transformaties van input weinig bescherming bieden. De onderzoekers stellen echter een nieuwe oplossing voor: de ScaleGuard consistency detector. Volgens de reduceert deze detector het succes van niet-adaptieve aanvallen van 61,4% naar 24,3%. Ook bij aanvallen die zich aanpassen aan de verdediging (defense-aware) daalde het succes van 42,5% naar 15,0%, zonder dat dit leidde tot onterechte afwijzingen van legitieme, schone beelden.
Conclusie van de onderzoekers
De studie, uitgevoerd door onder meer Yiheng Zhao en Xudong Jiang, concludeert dat er een reproduceerbare semantische inconsistentie bestaat in de manier waarop multimedia-voorbewerking plaatsvindt. De auteurs pleiten daarom voor de ontwikkeling van "scale-consistent visual-language inference" om te voorkomen dat schaalveranderingen in afbeeldingen worden misbruikt voor kwaadaardige prompt-injecties. De volledige details van het onderzoek zijn terug te vinden in het .