研究發現：OpenAI、Google 新一代生圖模型，裸照防線比舊版更好破

AI 安全公司 White Circle 用公開可取得的現成工具，發現同一套能繞過限制的方法在 OpenAI 與 Google 的新模型，成功率是上一代的兩倍多。
（前情提要：Google 上線 Nano Banana 2.1：生圖成本砍半價、跑分全面勝過前代）
（背景補充：OpenAI、Anthropic 赴英國國會：請立法控管我們的 AI）

本文目錄

想讓 OpenAI、Google 的生圖 AI 畫出裸照，大多數時候會碰壁，但不是每一次。AI 安全公司 White Circle 就用網路上公開可取得的現成工具，找到能反覆繞過這道防線的方法；更麻煩的是，兩家最新推出的模型，比上一代更容易被繞過。

到底有多容易繞過？

商用生圖服務通常有好幾層：輸入端先擋可疑的提示詞，輸出端再審查生成的圖片，模型本身也被訓練成避開違規內容。要同時突破三層，不是隨便打一句話就行。

White Circle 的做法，是讓 AI 自己演化出「寫提示詞的套路」。一個套路能產出大量不同的提示詞，不必逐句手工試。團隊先讓套路互相競爭、演化，再固定最好的 5 個套路大量產出攻擊。具體套路與提示詞都沒有公開，程式碼則在 GitHub 開源。

寫提示詞的，是從 Hugging Face 下載、已被拿掉安全訓練的開源模型 Qwen3-32B。裁判是 Google 的 Gemini 2.5 Flash，團隊再用約 1,300 張人工標註的圖校準。White Circle 執行長 Denis Shilov 向 Ars Technica 表示：「你不需要前沿模型，就能攻破前沿模型的防線。」

成功率怎麼算？每個提示詞送出 3 次，3 張圖裡至少 1 張被人工確認為露骨，就算這個提示詞成功。標註員是作者團隊內部人員。主要測試類別是女性裸露，因為每個服務都禁止，人工判讀也最一致。

結果如下：OpenAI 舊款 DALL·E 3 為 13.3%，Google 的 Nano Banana 2 為 9.5%，OpenAI 的 GPT-Image-2 在預設、較嚴格的審查設定下為 3.3%。13.3% 是所有目標裡最高的人工確認數字，不是平均值，GPT-Image-2 則是最難攻破的目標。

這不代表防線形同虛設。論文自己寫道，現在的商用生圖系統成功違規已經很少見；過去文獻宣稱對 DALL·E 3 有 30% 左右、甚至 85% 成功率的方法，用同一套人工校準標準重測，幾乎都掉到 0。

新模型為什麼反而更好破？

論文投稿後，OpenAI 與 Google 各推出新模型。White Circle 把同一套方法、完全沒改，直接重測，結果貼在官網。

OpenAI 9 月推出的 GPT-Image-2.5 Flare（ChatGPT Images 2.5 背後的模型，官方定位為快速的日常版本），成功率從 GPT-Image-2 的 3.3% 升到 7.8%，約 2.4 倍。Google 10 月初上線的 Nano Banana 2.1，則從 9.5% 升到 20.7%，約 2.2 倍。

原因是什麼？White Circle 官網寫道，從外部無法判斷，可能來自模型本身，也可能來自較便宜版本較寬鬆的審查設定，或兩者都有。他們向 Ars Technica 提出的假設是，新模型能力更強、能畫的東西更廣，或是安全的優先順序讓位給了能力。

Google 在 Nano Banana 2.1 模型卡寫道，由模型開發團隊以外的專門團隊做人工紅隊測試，在內容安全政策（含兒少安全）上表現與 Gemini 3 Flash 相近或更好，並「持續改善越獄抵抗力」。OpenAI 與 Google 都沒有回應 Ars Technica 提供的新結果，也沒回應先前針對舊模型漏洞的詢問。

防線薄一點有差嗎？誰來把關？

真正想製作非自願私密影像的人，常用專門的「脫衣」App，不一定需要主流大模型。不過，今年 7 月發表、有 Google 研究人員參與的研究發現，承認做過 AI 裸照的人，有 20% 說是「好玩」或「開玩笑」，將近三分之一僅是「試試技術」。研究認為，開發者有責任在模型層級建立防護，替原本會被技術門檻勸退的人關上入口。

AI 生成的性剝削內容也在快速增加。英國網路觀察基金會（IWF）10 月 5 日發布，2026 年 1 月到 6 月，分析師確認 6,310 張符合法律定義的 AI 生成兒少性虐待圖片，比 2025 年全年的 4,512 張多 40%。

那誰來檢查？Shilov 向 Ars Technica 表示，AI 公司在安全上投入不夠，他主張獨立第三方安全測試應該強制，White Circle 正與政府官員初步洽談。他也批評，打造這些系統的實驗室自己評估安全、自己發布結果、自己訂標準。White Circle 則表示，不會簽任何可能阻止公開重要發現的限制性保密協議。