PHANTOM：用 4.7 万条样本压力测试视觉语言模型的安全性
2026 年 6 月的一篇论文发布了 PHANTOM——一个包含 47,524 条多模态对抗样本、覆盖 55 个危害子类的开放数据集，旨在让视觉语言模型的鲁棒性评估变得可复现且低成本。
这是什么？
2026 年 6 月，研究者发布了 PHANTOM——一个面向视觉语言模型（VLM）的、预先生成的多模态对抗攻击开放数据集。该数据集共收录 47,524 条对抗样本，覆盖 10 个高层危害类别和 55 个子类，构建于从既有基准整合并扩展而来的 7,826 条有害意图之上。数据集已发布在 Hugging Face 上，任何人均可下载。
PHANTOM 的价值不在于一种新攻击，而在于它是一种基础设施。批量生成多模态对抗样本既昂贵又繁琐：需要攻击代码、算力以及参考意图。PHANTOM 把这部分工作预先算好，以可复用的评估集形式交给社区，使防御方无需先重建攻击流水线，就能衡量某个 VLM 在面对大量、有代表性的”图像加文本”攻击时的表现。我们报道它，是因为可共享、可复现的评估集，正是多模态安全的防御一侧长期缺失的东西。
它如何运作
VLM 会同时接收图像与文本，并对二者进行推理。第二个输入通道——图像——是一个纯文本护栏往往并不监视的攻击面。对抗内容可以藏在像素中（不可察觉的扰动）、藏在图像内嵌入的文字中，或藏在一张看似无害的图片与一条看似无害的指令的组合里——二者融合后才显出危害。这与纯图像提示注入以及绕过护栏的视觉提示注入属于同一类问题。
PHANTOM 是数据集，而非攻击工具包，因此这里值得关注的是它的结构，而非任何具体载荷：
层级 PHANTOM 内容
--------------- ---------------------------------------------------
意图 7,826 条有害意图种子，
从多个基准整合而来 + 新增 1 个类别
分类体系 10 个高层类别 / 55 个危害子类
样本 47,524 条预先生成的多模态对抗样本
方法 采用近期公开文献中的前沿攻击策略生成
用途 鲁棒性评分、护栏压力测试、
训练/微调攻击检测模型有两项设计使其具备防御价值。其一，分类体系让防御方能够按危害类别报告鲁棒性，而不是给出一个含糊的平均值——一个模型可能在某一类上很稳、在另一类上很脆，而总分会掩盖这种差异。其二，由于样本是预先生成且可共享的，两支团队可以把相同的输入喂给不同模型，得到可比的数字——正是这一性质把个案变成了基准。作者将整项工作定位为降低对抗研究的门槛、让 VLM 安全评估更可复现、更可比较，这一方向在更广泛的多模态攻击综述文献中也有呼应。
为什么重要
多模态部署的推进速度，快于围绕它的评估工具。接入浏览智能体、文档流水线或客服流程的 VLM，会把它被要求查看的每一张图像都当作不可信输入承接下来；而迄今为止的大部分安全测试都严重依赖文本指令。一个规模大、有分类、可自由获取的对抗集改变了测试的经济账：鲁棒性度量从一项独立的研究课题，变成中等规模团队在上线前就能完成的事。
有一层双重用途的张力值得点明。同样这 4.7 万条样本，既能让防御方压力测试护栏，原则上也可用于微调攻击生成模型——论文把这一用途列了出来。但这些样本整合自已经公开的基准、由已经公开的技术生成；它交给攻击者的边际能力很小，而交给防御方与评估方的边际能力很大。共享、标准化的测试集之所以一再推动安全进步，恰恰是因为攻防双方看到的是同一把标尺。
防御
这样一个数据集，只有接入某个流程时才有用。请把它当作评估的输入，而非一个打勾项。
-
上线前就测，且按类别测。 用一份有代表性的子集喂给你的 VLM，并按危害子类报告鲁棒性。单一的平均通过率会掩盖你的模型最薄弱的类别。
-
显式守住图像通道。 假定纯文本过滤看不见藏在像素或内嵌文字里的攻击。在视觉内容抵达模型之前，加入对图像敏感的审核以及”OCR 加策略”检查。
-
每次改模型或改指令后都要重测。 VLM 的行为会随微调、system prompt 修改和版本升级而变化。一个固定、共享的评估集，能让你察觉回归，而不是在生产中才发现它。
-
把不可信媒体与指令分开。 施加信息流控制，让图像内容始终被当作数据、绝不当作命令——与文本适用的语境完整性原则相同。
-
持续追踪你自己的残余率。 真正重要的数字不是”我们测过了”，而是”经过防御后仍有多大比例能穿透”，以及这个比例是否在一版接一版地下降。
状态
| 项目 | 参考 | 日期 | 备注 |
|---|---|---|---|
| PHANTOM 数据集论文 | arXiv:2606.24388 | 2026-06 | 开放数据集，47,524 条多模态对抗样本 |
| 分类体系 | 论文 | 2026-06 | 10 个类别 / 55 个子类，7,826 条意图 |
| 分发 | Hugging Face（it4lia/PHANTOM） | 2026-06 | 可自由下载 |
| 背景 | 多模态攻击综述（arXiv:2603.27918） | 2026-03 | VLM 对抗方法的更广泛全景 |
要点不是 VLM 突然被攻破了——图像通道本就是已知的弱点。要点是：衡量它们被攻破到什么程度、按危害类别、并以另一支团队可复现的方式来衡量，如今变得便宜多了。对于任何接受图像的模型，这正是安全团队应当纳入上线前检查清单的那种共享工件。