The Pulse

White Circle: le protezioni di DALL·E 3 cedono nel 13% degli attacchi

Il metodo RISE di White Circle ha prodotto immagini esplicite, confermate da revisori umani, nel 13,33% dei prompt di attacco testati contro DALL·E 3, con percentuali inferiori per Nano Banana 2 di Google e GPT-Image-2 di OpenAI. Secondo i

AI.info Team · Scritto con l’IA · 2026-10-14

Il metodo di attacco di White Circle ha prodotto immagini esplicite, confermate da revisori umani, nel 13,33% dei prompt testati contro DALL·E 3, riferiscono i ricercatori. La percentuale scende al 9,47% contro Nano Banana 2 di Google e al 3,27% contro GPT-Image-2 di OpenAI. Questi dati misurano i risultati di un esercizio mirato di red teaming, non la quota di richieste degli utenti comuni che produrrebbe immagini simili.

I risultati provengono da RISE, un metodo per testare le protezioni dei generatori di immagini facendo evolvere strategie di attacco riutilizzabili. Il preprint di White Circle è apparso su arXiv il 28 settembre 2026. In un articolo pubblicato il 14 ottobre, Ars Technica ha inoltre riferito che il gruppo ha testato versioni più recenti, trovandole più facili da aggirare rispetto alle precedenti, ma non ha pubblicato percentuali per quei test.

Che cosa misura il 13%

Per i risultati principali, il team si è concentrato sulla nudità femminile vietata. Ogni prompt testato è stato inviato tre volte a un modello bersaglio ed è stato considerato efficace se almeno una delle immagini ottenute soddisfaceva il criterio dei ricercatori e i revisori umani confermavano una violazione esplicita. Il risultato del 13,33% proviene dalla fase di test di RISE con strategia fissa su DALL·E 3; le percentuali corrispondenti, confermate da revisori umani, sono state del 9,47% per Nano Banana 2 e del 3,27% per GPT-Image-2.

Il team afferma di aver raccolto valutazioni umane per circa 1.300 immagini generate, considerando diversi modelli, categorie di sicurezza e fasi del processo di test. Nei risultati principali sono state conteggiate come successi solo le immagini che i revisori avevano classificato come esplicite. La distinzione è importante: i sistemi automatici di valutazione delle immagini possono segnalare immagini innocue ma borderline o non rilevare violazioni effettive, scrivono gli autori, rendendo inaffidabili le percentuali basate soltanto sui punteggi automatici.

RISE cerca strategie, non parole magiche

Invece di riscrivere ripetutamente un singolo prompt vietato, RISE fa evolvere istruzioni per generare molti prompt in scenari diversi. Il modello che scrive i prompt è una variante pubblicamente disponibile di Qwen3-32B da cui è stato rimosso l’addestramento alla sicurezza; Gemini 2.5 Flash valuta le immagini candidate secondo criteri calibrati sulle classificazioni umane. I ricercatori affermano che il metodo non richiede modelli sviluppati appositamente né modelli di frontiera per generare gli attacchi.

Denis Shilov, amministratore delegato di White Circle, ha dichiarato ad Ars Technica: «Non servono modelli di frontiera per aggirare le difese di un modello di frontiera, ed è una cosa molto interessante». Il gruppo sta sviluppando il proprio approccio come test esterno dei sistemi commerciali, per i quali le valutazioni della sicurezza condotte dalle aziende stesse potrebbero non rivelare debolezze individuabili da un valutatore indipendente.

Le precedenti percentuali di aggiramento non hanno retto alla verifica

Gli autori di RISE hanno anche sottoposto nuovamente a test metodi precedenti usando la loro valutazione calibrata. Alcuni lavori precedenti avevano riportato percentuali di successo degli attacchi contro DALL·E 3 vicine al 30% o superiori, ma i ricercatori affermano che quelle di metodi rappresentativi sono scese quasi a zero quando hanno applicato i loro criteri più rigorosi. A loro avviso, valutatori automatici poco affidabili, successi legati a prompt iniziali scritti a mano e una limitata trasferibilità tra contesti hanno contribuito a gonfiare i risultati precedenti.

I ricercatori descrivono questi confronti come riproduzioni condotte con le migliori risorse a disposizione, non come repliche definitive: alcuni metodi precedenti dipendono da raccolte di prompt selezionati o da dati di addestramento privati che il team non è riuscito a recuperare. Lo studio limita inoltre il suo confronto più solido tra modelli alla nudità, che secondo i ricercatori è più facile da definire in modo coerente rispetto a categorie come la violenza o l’autolesionismo.

Modelli più recenti, senza percentuali pubblicate

White Circle ha riferito ad Ars che i test condotti con lo stesso approccio generale hanno trovato ChatGPT Images 2.5 di OpenAI e Nano Banana 2.1 di Google «significativamente più facili da aggirare» rispetto alle versioni precedenti. L’articolo non fornisce percentuali di successo per nessuno dei due prodotti più recenti. Ars ha riferito che nessuna delle due aziende ha risposto alle sue richieste di commento sui risultati riportati.

Lo studio afferma che il team prevede di rendere pubblici la procedura usata per riprodurre i test, l’ambiente di test locale e alcuni criteri di valutazione, senza divulgare le strategie di attacco scoperte, i prompt finali e le immagini non sicure generate. I risultati pubblici quantificano i fallimenti di tre versioni precedenti dei modelli; i dati pubblicati non mostrano ancora se le versioni più recenti abbiano colmato questa lacuna.