論文の概要: The Injection Paradox: Brand-Level Suppression in Safety-Trained LLM Recommendations via RAG Context Injection

• arxiv url: http://arxiv.org/abs/2606.09204v1
• Date: Mon, 08 Jun 2026 08:38:33 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-06-09 14:42:06.840929
• Title: The Injection Paradox: Brand-Level Suppression in Safety-Trained LLM Recommendations via RAG Context Injection
• Title（参考訳）: インジェクションパラドックス:RAGコンテキストインジェクションによる安全訓練LDMレコメンデーションにおけるブランドレベル抑制
• Abstract要約: 安全訓練されたクロードモデルでは、プロンプトインジェクションを含む文書は、推奨率の急激な低下を被る。 この抑制は、同じブランドの未修正文書に注入された文書を超えて伝播する。 これらの知見は、相手が相手の文書にインジェクションを埋め込むリバースアタックシナリオの技術的可能性を高める。
• 参考スコア（独自算出の注目度）: 0.0
• License: http://creativecommons.org/licenses/by/4.0/
• Abstract: We present a reproducible failure mode of safety training in RAG-based LLM recommendation -- the Injection Paradox -- in which prompt injections embedded in retrieved documents backfire against the attacker, suppressing the target brand below the injection-free baseline. In safety-trained Claude models, documents containing prompt injections suffer a sharp drop in recommendation rate, and this suppression propagates beyond the injected document to unmodified documents of the same brand. In Claude Opus 4.6, the target brand drops from a 54% baseline to zero top-2 recommendations across all 50 trials, even though only 1 of 4 brand documents in the corpus contains an injection. The directional pattern is reproduced in counterfactual experiments and across three brands. A contrasting result across the GPT models tested, where the same injection instead increases recommendations, suggests model-family differences in how injection-like context affects recommendation behavior. These findings raise the technical possibility of a reverse-attack scenario in which an adversary embeds injections in a competitor's documents to suppress the competitor's brand via safety-sensitive model behavior.
• Abstract（参考訳）: RAGベースのLLMレコメンデーションであるインジェクションパラドックス(Injection Paradox)で再現可能な安全性トレーニングの失敗モードを提案し、そこでは、検索したドキュメントに埋め込まれたインジェクションを攻撃者にバックファイアさせ、インジェクションフリーベースラインの下にあるターゲットブランドを抑える。 安全訓練されたクロードモデルでは、プロンプトインジェクションを含む文書は推奨率を急落させ、この抑制は、同じブランドの修正されていないドキュメントに注入されたドキュメントを超えて伝播する。 Claude Opus 4.6では、コーパス内の4つのブランド文書のうち1つだけがインジェクションを含むにもかかわらず、54%のベースラインからトップ2のレコメンデーションをゼロにしている。 方向パターンは、カウンターファクト実験と3つのブランドで再現される。 同じインジェクションがレコメンデーションを増加させる、テストされたGPTモデル間の対照的な結果は、インジェクションのようなコンテキストがレコメンデーションの振る舞いにどのように影響するかというモデル固有の違いを示唆している。 これらの知見は、相手が相手の文書にインジェクションを埋め込んで、安全に敏感なモデル行動を通じて相手のブランドを抑圧する逆攻撃シナリオの技術的可能性を高める。

関連論文リスト

• AgentDrift: A Step-Labeled Benchmark of Injection-Hijacked LLM Agent Trajectories [0.0]
  LLMエージェントは、ツールコールのシーケンスを発行することでタスクを完了し、彼らが読んだすべての観察は、間接的なプロンプトインジェクションが入力できるチャネルである。 既存のベンチマークは、そのような攻撃がライブエージェントに対して成功するかどうかを測定し、既存のガードモデルは全体のトレースを判断する。 我々は5つのエージェントドメインにまたがる12,536の合成ツールコールトラジェクトリのベンチマークであるAgentDriftを提案する。
  論文  参考訳（メタデータ） (2026-09-07T03:10:23Z)
• Defending Retrieval-Augmented Intrusion Detection Against Knowledge Poisoning and Prompt Injection [0.0]
  本稿では,検索境界ディフェンスを用いた3層マルチエージェント侵入検出フレームワークであるRAG-IDSを提案する。 即時注入では、複数文書検索ではラベルフリップが0.6-2.4%に制限され、シングルドキュメント検索では35-55%に制限された。
  論文  参考訳（メタデータ） (2026-08-08T12:29:47Z)
• BASIS: Breach-Aware Selective Prompt Injection Shielding with Prefill Attention Probes [28.166699360211993]
  既存の検出方法は、注入の有無のみを検出し、検出に応答しない。 本稿では,この過度な拒絶問題に対処するために,ロバストネス・アウェア・プロンプト・インジェクション・ディフェンス(Robustness-Aware Prompt Injection Defense)を提案する。 実験により、ロバスト性は、安全な攻撃サンプルに対する過剰な拒絶を著しく低減しつつ、ほぼ完璧な噴射検出を維持していることが示された。
  論文  参考訳（メタデータ） (2026-08-08T09:32:07Z)
• PURPOSE: Poisoning Conflict Resolution in RAG via Proxy-Fact-Grounded Updates [10.748336834513855]
  我々は、抗弁論としてではなく、対立を最小限に抑えるアップデートとして、インジェクションを再設定する厳格なブラックボックス中毒攻撃を提案する。 3つのQAベンチマーク、5つのジェネレータ、3つのコンフリクト解決方法において、PURPOSEは45設定中35の攻撃成功率(ASR)を達成している。 以上の結果から,本法はRAGの競合解消に有効であり,非接触注射は中毒攻撃を増強するための実用的な方法であると考えられた。
  論文  参考訳（メタデータ） (2026-08-05T12:23:24Z)
• GoodDiffusion: Proactive Copyright Protection for Diffusion Bridge Models via Learnable Sample-specific Signatures [88.63093209858387]
  モデルレベルの使用時間制御を実現するために,バックドア機構にインスパイアされたGoodDiffusionを提案する。 GoodDiffusionは、有効なシグネチャを持つ認証クエリの高品質な生成を保存するが、許可されていないインプットの生成を拒否する。 セキュリティを強化するために,各入力に条件付きサンプル固有署名を割り当てるLearningable Signature Network(LSN)を導入する。
  論文  参考訳（メタデータ） (2026-06-29T04:07:09Z)
• TopicAttack: An Indirect Prompt Injection Attack via Topic Transition [92.26240528996443]
  大規模言語モデル(LLM)は間接的なインジェクション攻撃に対して脆弱である。 提案するTopicAttackは,LLMに生成した遷移プロンプトを生成し,徐々にトピックをインジェクション命令にシフトさせる。 提案手法は, インジェクトからオリジナルへのアテンション比が高く, 成功確率が高く, ベースライン法よりもはるかに高い比を達成できることがわかった。
  論文  参考訳（メタデータ） (2025-07-18T06:23:31Z)
• T2V-OptJail: Discrete Prompt Optimization for Text-to-Video Jailbreak Attacks [67.91652526657599]
  我々は、T2Vジェイルブレイク攻撃を離散最適化問題として定式化し、T2V-OptJailと呼ばれる共同目的ベース最適化フレームワークを提案する。 いくつかのT2Vモデルに対して大規模な実験を行い、オープンソースモデルと実際の商用クローズドソースモデルの両方をカバーする。 提案手法は,攻撃成功率の観点から既存手法よりも11.4%,10.0%向上する。
  論文  参考訳（メタデータ） (2025-05-10T16:04:52Z)
• Can Indirect Prompt Injection Attacks Be Detected and Removed? [94.67980597764245]
  間接的インジェクション攻撃の検出・除去の可能性について検討した。 検出のために,既存のLCMとオープンソースの検出モデルの性能を評価する。 そこで本研究では,(1) インジェクション命令を含む部分をセグメント化して除去するセグメンテーション除去法,(2) 抽出モデルを訓練してインジェクション命令を識別・除去する抽出除去法,の2つの直感的手法を評価する。
  論文  参考訳（メタデータ） (2025-02-23T14:02:16Z)
• CopyrightShield: Enhancing Diffusion Model Security against Copyright Infringement Attacks [61.06621533874629]
  拡散モデルは、攻撃者が戦略的に修正された非侵害画像をトレーニングセットに注入する著作権侵害攻撃に弱い。 まず、上記の攻撃に対して防御するための防御フレームワーク、PhiliptyShieldを提案する。 実験により,PhiliptyShieldは2つの攻撃シナリオで有毒なサンプル検出性能を著しく向上することが示された。
  論文  参考訳（メタデータ） (2024-12-02T14:19:44Z)
• Protecting Model Adaptation from Trojans in the Unlabeled Data [120.42853706967188]
  本稿では,よく設計された毒物標的データによるモデル適応に対するトロイの木馬攻撃の可能性について検討する。 本稿では,既存の適応アルゴリズムとシームレスに統合可能なDiffAdaptというプラグイン・アンド・プレイ手法を提案する。
  論文  参考訳（メタデータ） (2024-01-11T16:42:10Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。