2026年5月，某头部电商的AI审核系统误将12款商品的卡通装饰贴纸判定为“真实管制刀具”，导致商家累计损失超200万元，申诉后平台赔付的同时，也彻底炸出了多模态模型在视觉审核场景下的严重幻觉漏洞。
这不是个例。据阿里安全2026年6月发布的《多模态内容安全报告》，2026年Q2国内主流多模态审核模型的幻觉误判率中位数达17.3%，其中72%的误判源于视觉输入对文本对齐结果的劫持——也就是行业说的“对齐劫持”：模型明明经过RLHF对齐，不会主动判定普通内容违规，但视觉输入里的干扰元素（比如贴纸、光影、异形文字）会直接劫持对齐逻辑，输出完全错误的结论。类似的问题在文本侧也曾出现，我们此前在《GPT-5o半年考：那些被撤回的Agent决策与误操作日志》中拆解过文本幻觉越权的问题，但视觉侧的干扰维度比文本侧复杂得多，文本最多是语义歧义，视觉侧可能是遮挡、贴纸、光影、角度各种物理干扰，对齐劫持的发生概率高得多。
“纯文本RLHF在视觉输入面前基本没用。”阿里安全视觉审核组高级算法工程师张磊（化名）告诉我，他们的团队2026年Q1刚处理完一例极端案例：某用户上传的截图里，聊天背景的文字被光影折射出了类似违规内容的轮廓，模型不仅识别出了内容，还直接封禁了用户账号，后来人工复核发现是光影干扰，整个过程模型甚至没有输出“不确定”的表述，直接给出了高置信度的错误结论。
问题出在数据管线。张磊说，他们2025年上线的第一版多模态审核模型，训练数据里90%是文本标注，视觉标注只覆盖了常规的清晰图片，对于带水印、贴纸、遮挡、异形文字的图片，根本没有对应的标注样本，模型在训练阶段就没见过这些干扰，上线之后自然会被劫持。
他们2026年2月开始重写整个数据管线，第一步是加视觉质量校验层：所有输入图片先过分辨率校验、水印检测、遮挡度检测，低于阈值的直接打回，不进模型推理；第二步是扩充视觉标注样本，专门针对贴纸、光影、异形文字等干扰场景做了10万+的对抗样本标注，注入训练集；第三步是拆分对齐逻辑，不再只做文本侧的RLHF，而是给视觉分支单独做对齐训练，模型遇到视觉不确定的内容，直接触发拒识机制，输出“无法识别”而不是瞎猜。
改造后的模型在2026年5月的灰度测试里，误判率从之前的17.3%降到了5.8%，视觉拒识机制的上线让需要人工复核的案例占比从32%降到了11%。但张磊也坦言，人工成本并没有出现预期中的暴跌：“纯文本审核的时候人工复核率只有5%，现在虽然比之前的32%降了，但还是比纯文本高，因为很多视觉干扰的内容确实需要人工判断，模型不敢瞎出结果。”
对于做多模态业务的开发者，张磊给了三个掏心窝子的实操建议： 第一，不要只做文本RLHF。多模态模型必须给视觉分支单独做对齐训练，至少要做1000条以上的视觉干扰场景的对抗样本测试，确认模型不会被贴纸、光影、遮挡劫持再上线。此前我们在《用多模态模型做视觉质检：一条产线省下三个质检员的实操路》里提到的东莞3C厂落地经验就验证了这一点：他们上线多模态质检模型之前，专门做了3个月的视觉数据清洗，把带油污、划痕的异常样本全部过滤，最终漏检率才降到0.5%以下，和当前大厂审核组改造管线的逻辑完全一致。 第二，一定要加置信度阈值和拒识机制。模型对视觉内容的识别置信度低于90%的，直接转人工，不要硬出结果。否则一个幻觉就可能带来合规风险，甚至像我们之前处理的案例一样，直接封错用户账号，引发公关危机。 第三，数据管线优先做视觉清洗。低分辨率、带水印、遮挡度超过30%的图片直接过滤，不要进训练和推理环节。脏数据是多模态幻觉的最大来源，比换模型、加算力管用得多。
类似的问题也出现在其他多模态落地场景里。比如我们此前在《MCP协议落地避坑：打通数据库后，查询乱码与权限穿透怎么防》里提到的多模态Agent调用外部视觉接口时，如果接口返回的是被干扰的图片，也会导致Agent输出错误结论，本质都是视觉输入的可靠性没有被校验。
现在国内大厂已经在集体行动。字节、阿里、腾讯的安全团队都在2026年Q2上线了视觉拒识机制，预计到2026年底，主流多模态审核模型的幻觉误判率会降到5%以下。但张磊说，对齐劫持的问题不会根本消失：“新的贴纸、新的光影、新的干扰方式层出不穷，模型只能不断迭代，视觉审核的管线改造是一场持久战。”