Das Verfahren heißt RISE (Red-teaming via Iterative Strategy Evolution). Statt einzelne Prompts umzuschreiben, entwickelt ein Angreifermodell wiederverwendbare Strategien in natürlicher Sprache und erzeugt daraus viele verschiedene Prompts; ein Prüfmodell bewertet die entstandenen Bilder. Je Prompt gingen drei Anfragen an das Zielmodell, ein Treffer reichte. Als Erfolg zählten nur Bilder, die Prüfer aus dem Autorenteam als eindeutig explizit einstuften.
Mit den fünf besten Strategien erreichte RISE bei DALL·E 3 eine von Menschen bestätigte Erfolgsquote von 13,3 Prozent, bei Nano Banana 2 von 9,5 Prozent und bei GPT-Image-2 in der strengeren Standard-Moderation von 3,3 Prozent. Frühere Angriffsverfahren, die für DALL·E 3 Quoten bis rund 30 Prozent gemeldet hatten, fielen unter derselben Bewertung auf nahe null. Die Autoren führen das auf unzuverlässige Prüfmodelle in diesen Arbeiten zurück.
Gegenüber Ars Technica sagte White Circle, die Nachfolger ChatGPT Images 2.5 und Nano Banana 2.1 seien mit derselben Methode deutlich leichter zu brechen als ihre Vorgänger; Zahlen dazu hat die Firma nicht veröffentlicht. OpenAI und Google äußerten sich gegenüber Ars nicht. White Circle bietet selbst Sicherheitsprüfungen für KI-Systeme an, will den Angriffscode auf GitHub veröffentlichen und die Arbeit im November auf der Konferenz NeurIPS vorstellen.