Sobrecarga cognitiva: cómo una baja resolución de imagen jailbreakea los LLM multimodales

¿De qué se trata?

En un artículo titulado «Hard to Read, Easy to Jailbreak: How Visual Degradation Bypasses MLLM Safety Alignment» (arXiv 2605.07250, publicado en mayo de 2026 y aceptado en Findings of ACL 2026), investigadores de Westlake University y UC Merced —Zhixue Song, Boyan Han, Yiwei Wang y Chi Zhang— describen un modo de fallo contraintuitivo en los LLM multimodales.

Los sistemas de contexto largo recurren cada vez más a la compresión de contexto visual: en lugar de un muro de tokens, el texto se renderiza como imagen y se pasa al codificador visual (enfoque popularizado por el framework Glyph en 2025). Los autores descubren que reducir la resolución de esa imagen aumenta drásticamente el éxito de los jailbreaks, incluso cuando el texto sigue siendo perfectamente legible para el modelo. Sin sufijo adversario, sin ofuscación: solo una imagen más borrosa de la misma petición maliciosa.

Cómo funciona

El equipo barrió la resolución de renderizado (DPI) de 15 a 300 en GPT-4.1, Claude Sonnet 4.5, Claude Haiku 4.5, Gemini 2.5 Flash, Qwen3-VL y Doubao-Seed-1.6, midiendo en cada paso dos magnitudes: la precisión OCR (¿sigue leyendo el modelo el texto?) y la tasa de éxito del ataque (¿se ejecuta la instrucción maliciosa?).

El resultado es una curva en U invertida. A alta resolución la imagen es nítida y la alineación se mantiene. A muy baja resolución el texto es ilegible y no ocurre nada. Pero en medio se extiende lo que los autores llaman la «zona de confort de ataque» (Attack Comfort Zone, ACZ), aproximadamente 45–150 DPI según el modelo, donde la precisión OCR sigue por encima del 80 % pero la tasa de éxito se dispara. Los picos reportados son contundentes: Claude Sonnet 4.5 pasó de 0,000 en entradas nítidas a ~0,92 hacia 60 DPI, GPT-4.1 de 0,127 a ~0,85, y Gemini 2.5 Flash a ~0,98 alrededor de 150 DPI.

Las sondas de seguridad capa por capa explican el mecanismo. En imágenes nítidas, el contenido dañino se marca en las capas superficiales. En imágenes ACZ, esa detección se retrasa hasta capas profundas —un «retraso de la característica de seguridad»—. La interpretación de los autores es la hipótesis de sobrecarga cognitiva: descifrar una imagen degradada monopoliza el cómputo de las primeras capas en la transcripción, dejando sin recursos al control de seguridad simultáneo. El efecto no es exclusivo de la baja resolución —el ruido, la distorsión geométrica y la oclusión producen el mismo pico— y se reproduce tanto en chino como en inglés.

Por qué importa

Es una propiedad del propio paradigma de compresión visual, no de un fallo aislado. A medida que los productos adoptan el contexto renderizado como imagen para ampliar la ventana de contexto a bajo coste, heredan una superficie de ataque que las pruebas de seguridad solo de texto nunca ven. El modelo aprueba sus evaluaciones con entradas limpias y aun así falla con una versión reducida de la instrucción idéntica. Cualquiera que construya agentes de OCR, comprensión de documentos o lectura de capturas de pantalla sobre MLLM de vanguardia está expuesto, porque el detonante —una fidelidad reducida— es indistinguible de una variación benigna y corriente de la calidad de imagen.

Defensas

El artículo propone una mitigación ligera, a nivel de prompt, llamada Structured Cognitive Offloading. En lugar de pedir al modelo que lea y juzgue en una sola pasada, impone un pipeline serializado: (1) transcribir la imagen a texto (OCR), (2) realizar una evaluación de seguridad independiente sobre el texto transcrito y solo entonces (3) generar una respuesta. Desacoplar el reconocimiento del razonamiento restaura la mayor parte de la integridad defensiva perdida, preservando la utilidad OCR legítima.

Recomendaciones prácticas:

• Ejecute su clasificador de seguridad sobre el texto transcrito, no solo sobre la imagen en bruto, y trate toda entrada «texto renderizado como imagen» como no confiable.
• Haga red-teaming en varias resoluciones y perturbaciones, no solo en imágenes limpias: barra el DPI, añada desenfoque/ruido/oclusión y pruebe prompts no anglófonos.
• No asuma que las evaluaciones de seguridad de solo texto se transfieren a los pipelines multimodales: el mismo prompt puede ser seguro como tokens y peligroso como imagen borrosa.

Estado

Elemento	Detalle
Divulgación	arXiv 2605.07250, mayo de 2026; Findings of ACL 2026
Afectados	MLLM de vanguardia que usan compresión de contexto visual (GPT-4.1, Claude Sonnet/Haiku 4.5, Gemini 2.5 Flash, Qwen3-VL, Doubao-Seed-1.6)
Detonante	Resolución de imagen intermedia («zona de confort de ataque», ~45–150 DPI) y otras degradaciones visuales
Mitigación	Structured Cognitive Offloading (transcribir → control de seguridad independiente → responder)