論文の概要: Ranked by Position: Order Sensitivity as an Exploitable Attack Surface in LLM Listwise Recommenders

• arxiv url: http://arxiv.org/abs/2607.24869v1
• Date: Sun, 26 Jul 2026 22:32:12 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-07-29 20:50:42.562888
• Title: Ranked by Position: Order Sensitivity as an Exploitable Attack Surface in LLM Listwise Recommenders
• Title（参考訳）: ランク付け:LLMリコメンダにおける爆発性攻撃面としての秩序感性
• Abstract要約: リストワイズ・リランカとして使用される大規模言語モデル(LLM)は、候補集合をプロンプトにシリアライズする際に位置バイアスに悩まされる。 この順序の感度が、悪用可能な攻撃面を生み出すことを示す。 攻撃者は、候補を並べ替えることだけで、ラベル0ターゲットをトップ$k$にプロモートすることができる。
• 参考スコア（独自算出の注目度）: 10.604893155368702
• License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
• Abstract: Large language models (LLMs) used as listwise rerankers in recommendation systems suffer from position bias when serializing candidate sets into prompts. We show this order sensitivity creates an exploitable attack surface: an attacker can promote a label-0 target into the top-$k$ solely by reordering candidates, without changing item content, labels, or model parameters. We introduce $\mathrm{promo}@k$ to quantify this vulnerability, measuring the fraction of label-0 targets that can be elevated into top-$k$ rankings via permutation. Evaluating across three domains (MovieLens, Amazon Books, and Amazon Fashion), $\mathrm{promo}@5$ reaches up to 0.57 at an attack budget of $R$ = 50 orderings. Furthermore, ordinary permutation stability predicts vulnerability without running the attack. While a bidirectional T5 encoder scorer reduces exposure, permutation-consistency regularization and architectural invariance effectively mitigate it. Pointwise scoring avoids the bias issue but degrades ranking quality. These results demonstrate that input candidate order in listwise LLM reranking is a security-relevant attack vector. Code and data are available at https://github.com/geoz-lab/position_bias_attack.
• Abstract（参考訳）: 推薦システムでリストワイズ・リランカとして使用される大規模言語モデル(LLM)は、候補集合をプロンプトにシリアライズする際に位置バイアスに悩まされる。 攻撃者は、アイテムの内容やラベル、モデルパラメータを変更することなく、候補を並べ替えることだけで、ラベル0ターゲットをトップ$k$にプロモートすることができる。 この脆弱性を定量化するために、$\mathrm{promo}@k$を導入し、置換によって上位のk$に上昇できるラベル0ターゲットの比率を測定します。 3つのドメイン(MovieLens、Amazon Books、Amazon Fashion)で評価すると、$\mathrm{promo}@5$は、R$ = 50の攻撃予算で最大0.57ドルに達する。 さらに、通常の置換安定性は攻撃を実行せずに脆弱性を予測する。 双方向のT5エンコーダスコアラは露光、置換一貫性の正則化、アーキテクチャの不変性を効果的に軽減する。 ポイントワイズスコアリングはバイアスの問題を回避するが、ランキング品質を低下させる。 これらの結果は、リストワイズLSMにおける入力候補順序がセキュリティ関連攻撃ベクトルであることを示す。 コードとデータはhttps://github.com/geoz-lab/position_bias_ attackで公開されている。

関連論文リスト

• Robust Estimation of Sparse Numerical Vectors under Local Differential Privacy [61.848691894557426]
  ローカルディファレンシャルプライバシ(LDP)プロトコルは、中毒攻撃に対して脆弱である。 本稿では,頑健なスパースベクトル平均推定問題に対処する。 本稿では,バイアスの正確な表現を行うための注意深い分析に基づく補正手法を提案する。
  論文  参考訳（メタデータ） (2026-07-30T07:55:09Z)
• Isolating LLM Alignment from Regex: Zero Coverage and Metric-Dependent Divergence Under Adversarial Mutation [51.56484100374058]
  以前の作業では、アクティブフィルタの背後にライブのGeminiバックエンドを追加することで、測定可能なカバレッジが得られなかった。 L_4$-real(Gemini-2.5-flash, token-budget cap, rate limit, output scrub)と同様の$L_5$-no-regexを導入するが、9パターンフィルタは無効である。 3つのサブ言語にまたがる敵対的プローブに対して評価を行った。
  論文  参考訳（メタデータ） (2026-06-12T18:54:24Z)
• Which Defense Closes Which Threat? Attributing OWASP-LLM-Top-10 Coverage and Its Brittleness Under Paraphrasing [51.56484100374058]
  プロダクションLLMアプリケーションは、いくつかの防衛ファミリを積み重ねる -- 拒絶フレーズフィルタ、トークンバッジコントロール、モデル許容度リスト、レート制限、ツール登録認証 -- が、BASベンチマークでは、単一の集計カバレッジ番号を報告している。 21エージェントベースラインスキャナに4つのLLM-Top-10対応エージェントを追加し、4つの合成LDMエンドポイントの格子をターゲットとした。
  論文  参考訳（メタデータ） (2026-06-01T19:39:25Z)
• One Pass, Any Order: Position-Invariant Listwise Reranking for LLM-Based Recommendation [2.5827686695037335]
  大規模言語モデル(LLM)は、再ランク付けにますます使用されるが、それらのリストワイズ予測は、候補が提示される順序に依存する可能性がある。 これにより、セットベースのレコメンデーションとデコーダのみのLLMのシーケンスベースの計算のミスマッチが生成される。 InvariRankは、アーキテクチャレベルでこの依存に対処する置換不変なリストワイド・リグレード・フレームワークである。
  論文  参考訳（メタデータ） (2026-04-30T08:49:44Z)
• Poisoning Attacks to Local Differential Privacy for Ranking Estimation [8.14832255549522]
  ローカルディファレンシャルプライバシ(LDP)は、ユーザが入力を摂動させ、データの可視的識別性を提供する。 本稿では,まず,ランキング推定のための新規な毒殺攻撃について紹介する。 我々はkRR, OUE, OLHプロトコルの対応戦略を提案する。
  論文  参考訳（メタデータ） (2025-06-30T16:39:02Z)
• QuadAttack: A Quadratic Programming Approach to Ordered Top-K Attacks [8.826642352173035]
  ディープニューラルネットワーク(DNN)の敵対的脆弱性は広く知られ、広く懸念されている。 本稿は、攻撃的な最上位の$K$攻撃を学習することで、この懸念がはるかに深刻であることを示している。
  論文  参考訳（メタデータ） (2023-12-12T05:08:45Z)
• Found in the Middle: Permutation Self-Consistency Improves Listwise Ranking in Large Language Models [63.714662435555674]
  大規模言語モデル(LLM)は、文脈の使い方に位置バイアスを示す。 我々は,ブラックボックスLLMのランキングリスト出力に対して,自己整合性(permutation self-consistency)を提案する。 LLaMA v2 (70B) では GPT-3.5 では 7-18% , LLaMA v2 (70B) では 8-16% である。
  論文  参考訳（メタデータ） (2023-10-11T17:59:02Z)
• Under-confidence Backdoors Are Resilient and Stealthy Backdoors [35.57996363193643]
  バックドア攻撃は、被害者モデルが事前に設計されたバックドアで注入された任意の入力に対して設計された出力を生成することを目的としている。 高攻撃成功率を達成するため、既存の攻撃手法のほとんどは、汚染されたサンプルのラベルをターゲットクラスに変更している。 この慣行は、しばしば被害者モデルをバックドアに過度に適合させ、攻撃は出力制御に非常に効果的であるが、人間の検査や自動防御アルゴリズムによって容易に識別できる。
  論文  参考訳（メタデータ） (2022-02-19T01:31:41Z)
• Practical Relative Order Attack in Deep Ranking [99.332629807873]
  ディープランキングシステム、すなわちオーダーアタックに対する新しい敵の攻撃を定式化します。 順序攻撃は、攻撃者が特定した順列に応じて、選択された候補群間の相対順序を暗黙的に変更する。 主要なeコマースプラットフォームでうまく実装されている。
  論文  参考訳（メタデータ） (2021-03-09T06:41:18Z)
• Composite Adversarial Attacks [57.293211764569996]
  敵対攻撃は、機械学習(ML)モデルを欺くための技術です。 本論文では,攻撃アルゴリズムの最適組み合わせを自動的に探索するための複合攻撃法(Composite Adrial Attack,CAA)を提案する。 CAAは11の防衛でトップ10の攻撃を破り、時間の経過は少ない。
  論文  参考訳（メタデータ） (2020-12-10T03:21:16Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。