RedEdit：照片编辑序列规避图像安全分类器

摘要

RedEdit 把用户式照片编辑规避建模为黑盒组合搜索：VLM 提议有语义针对性的编辑，Monte Carlo Tree Search（MCTS）选择路径并回退无效操作。作者在 UnsafeBench 报告，平均少于两次编辑即可让 76.2% 不安全图像逃过检测，同时保留 93.0% 的恶意语义。

核心创新与差异

已有研究主要关注提示或单一图像扰动；本文新增真实用户可执行的编辑序列、规划回退和跨检测器比较。风险是决策边界被组合编辑绕过，不是图像内容本身消失。

威胁模型与攻击链

攻击者只需黑盒查询分类器并使用普通裁剪、滤镜、文本和构图操作；资产是平台内容审核召回率。首个失效控制是把单次图像表示当作稳定安全证据。研究不涉及生成式图像工具或生产平台。

攻击方法与复现材料

本文不提供可规避真实内容审核的编辑序列。以下为本站依据公开评测机制重构的无害配对夹具，只对带 TEST_ONLY 水印的合成图像执行颜色和裁剪变换：

source = synthetic_image(label="TEST_ONLY")
sequence = [crop_safe_border, adjust_brightness_within_limit]
candidate = apply(source, sequence)
assert semantic_label(candidate) == semantic_label(source)
record(classifier_delta = guard(candidate) - guard(source))
assert no_external_uploads

夹具用于检查分类器是否对语义不变的编辑序列出现异常决策漂移；检测信号包括单步与组合变换差异、置信度突变和预处理不一致。省略论文攻击搜索策略、真实敏感图像和可迁移编辑参数。

实验设计与实际过程

作者在公开 UnsafeBench 上比较 VLM 与传统分类器，包含方法对照、动作和检测器消融及迁移分析。成功图像不随论文发布，框架拟采用研究用途许可并协调披露。

关键结果与实际影响

少量编辑即可产生高规避率，说明审核验证应加入编辑轨迹、语义保持和跨变换一致性，而不能只在上传时分类一次。76.2% 与 93.0% 是作者在该数据集和模型集合上的报告，不是任意平台的漏洞率。

防护措施与验证方法

对同一内容生成受限编辑变体做一致性检测；记录变换链并对高风险类别触发人工复核；评测应报告编辑次数、语义保持率、误报和延迟，并加入自适应编辑者。

局限与待验证问题

当前仅覆盖非生成式照片编辑、图像分类器和公开基准，尚未覆盖视频、上下文融合和生成式编辑；成功样本不公开，独立复现受限。

参考链接

• RedEdit 原论文
• 安全分类器与防护模型规避综述