論文の概要: Recover, Decode, Reguard: Guard-Agnostic Defense Amplification againstEncoded VLM Jailbreaks

• arxiv url: http://arxiv.org/abs/2607.26574v1
• Date: Wed, 29 Jul 2026 07:53:35 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-07-30 21:06:25.573902
• Title: Recover, Decode, Reguard: Guard-Agnostic Defense Amplification againstEncoded VLM Jailbreaks
• Title（参考訳）: 再発見、デコード、リガード: 暗号化されたVLMジェイルブレイクに対するガード非依存の防御強化
• Abstract要約: 我々は視覚言語モデルのためのガード非依存のリカバリ・アンド・デコード増幅器を構築した。 我々はこれを11回の攻撃のアンサンブルに対して評価し、成功しても動作が失敗すると評価した。 これは我々の中心的な発見を露呈し、私たちが評価した非観念的回復防衛のための実証的な安全ユーティリティー天井である。
• 参考スコア（独自算出の注目度）: 7.287314790466206
• License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
• Abstract: Safety classifiers ("guards") are the dominant black-box defense for vision-language models, yet they judge an input's surface form, not its meaning: a harmful request re-encoded as set theory, formal logic, a rare language, code, or an image of text slips past a guard that would block it in plain language -- the decode gap. The natural fix is a guard-agnostic recover-and-decode amplifier that transcribes image content and restates encoded text into its plain payload before the guard, so any off-the-shelf classifier can screen the true request. We build this amplifier and evaluate it against the attacker's best case: an ensemble of eleven attacks, scoring a behavior as broken if any succeeds (best-of-suite, following AutoAttack) -- rarely reported for jailbreak defenses, yet ~3.5x the per-attack mean. This exposes our central finding: an empirical safety-utility ceiling for the non-iterative recovery defenses we evaluate, across five guards and two target VLMs. The amplifier only partly closes the gap -- the undefended ensemble breaks 89-91% of behaviors, and the best guard-plus-amplifier still leaves 63-65% -- and its gain over the guard alone is significant in only four of ten guard-target pairs. It is guard-agnostic at the interface, but not uniformly so in effect. A modular reguard layer closes much of the residual, yet drives benign over-refusal to 81-92% for well-calibrated guards; the one laxer guard that stays usable never reaches deployable safety (48% ensemble ASR). No configuration we evaluate reaches both low attack-success and low over-refusal, for the pipeline we study and for representation-shifting attacks -- encodings and cross-modal renders that leave a legible payload, not pixel- or embedding-space attacks. We contribute the amplifier, an ensemble evaluation that makes the trade-off visible, and a map of where recovery-based VLM defense works and where it does not.
• Abstract（参考訳）: 安全分類器(ガード)は、視覚言語モデルにおいて支配的なブラックボックス防御であるが、入力の表面形態を判断するが、その意味ではない。セット理論、形式論理、まれな言語、コード、あるいはテキストのイメージとして再エンコードされた有害な要求は、それを平易な言語(デコードギャップ)でブロックするガードを通り過ぎてしまう。 自然な修正はガード非依存のリカバリ・アンド・デコードアンプで、イメージコンテンツを書き起こし、ガードの前にエンコードされたテキストをプレーンペイロードに復元する。 このアンプを構築して、攻撃者のベストケースに対して評価する。11回の攻撃のアンサンブルで、もし成功した場合(AutoAttackに続くベスト・オブ・スーツ)に動作が失敗するとスコア付けします。 5つのガードと2つの目標VLMで評価した、非観念的回復防衛のための実証的な安全ユーティリティ天井が、私たちの中心的な発見を暴露します。 アンサンブルのアンサンブルは89-91%の動作を破り、最高のガード+アンプは63-65%を残している。 インターフェースはガードに依存しないが、一様ではない。 モジュラーリガード層は残留物の大半を閉じるが、良質なガードは81-92%に過度に拒否され、使用可能な1つのラキサーガードは、決して展開可能な安全性に到達しない(48%アンサンブルASR)。 私たちが評価した構成は、低アタックシューと低オーバーリフレクションの両方に到達せず、パイプラインの研究と表現シフトアタック -- エンコーディングとクロスモーダルなレンダリング -- ピクセルや埋め込みスペースアタックではなく、可視なペイロードを残す。 我々は、アンプ、トレードオフを可視化するアンサンブル評価、リカバリベースのVLMディフェンスの動作場所と、それができない場所のマップにコントリビュートする。

関連論文リスト

• AlcaTRAz - Anchored Tree-Rule Defense Against Jailbreaks [0.08699280339422538]
  大規模言語モデル(LLM)は、慎重に構築されたプロンプトを通じて安全アライメントをバイパスするジェイルブレイク攻撃に対して脆弱である。 本稿では,AlcaTRAzを提案する。AlcaTRAzは,入力テキストのみで動作するルールツリーに基づく,プロンプトレベルの防御手法である。 提案手法は,33のオープンウェイトモデル,22のジェイルブレイク攻撃タイプ,および短い単ターンベニグナーのベンチマークで評価した。
  論文  参考訳（メタデータ） (2026-09-03T11:30:08Z)
• Whose Refusal Is It? The Unmeasured Contribution of Black-Box Multimodal Guardrails [24.794304039477495]
  ガードレールの実際の安全のシェアは、そのすべてから本質的には、どれにも及ばない。 ガードブロックがモデルの応答を置き換えるため、スプリットは余分なコストでリカバリ可能である。
  論文  参考訳（メタデータ） (2026-08-09T11:19:30Z)
• DeepInvert: Semi-Supervised Embedding Inversion Against Obfuscated Language Models [8.719976368689826]
  クラウドベースの言語モデルサービスプロセスは、機密情報を含むプロンプトである。 難読化ベースのディフェンスは、送信前のプロンプト表現を変換し、暗号化ソリューションの軽量な代替手段を提供する。 これらの防御は、以前考えられていたよりもはるかに少ない保護を提供することを示す。 本稿では,従来の手法よりも高精度に,難読化表現からオリジナルトークンを復元する半教師付き埋め込みインバージョンアタックであるDeepInvertを提案する。
  論文  参考訳（メタデータ） (2026-08-05T06:02:51Z)
• When Are Reasoning-Based Guardrails Not Efficient? ResponseGuard: A Fast Vision-Language Guard for Real-Time Moderation [9.68749971398651]
  視覚言語AIアシスタントは、生成されたトークンのストリームとして回答を返す。 その答えを監視できる安全ガードは、ストリームに追随し、ユーザーがそれを読む前に有害な応答を止める必要がある。 最近の視覚言語ガードレールは、判決を出す前に一連の思考を生成する。
  論文  参考訳（メタデータ） (2026-07-23T15:02:24Z)
• SentGuard: Sentence-Level Streaming Guardrails for Large Language Models [40.00517152303363]
  本稿では,文レベルのストリーミングガードレールであるSentGuardを提案する。 構造化された文毎アノテーションによるベンチマークは、推論と応答セグメントの両方にわたる安全性リスクの進化をキャプチャする。 実験の結果、SentGuardは既存のベースラインを上回り、2文以内に90.5%の安全でないケースを検出し、低ストリーミングの偽陽性率7.41%を維持した。
  論文  参考訳（メタデータ） (2026-06-01T10:30:08Z)
• TrapSuffix: Proactive Defense Against Adversarial Suffixes in Jailbreaking [52.72486831074384]
  サフィックスベースのジェイルブレイク攻撃は、敵のサフィックス、すなわち短いトークンシーケンスを付加し、LLMを安全でない出力にステアリングする。 提案するTrapSuffixは,推論パイプラインを変更することなく,トラップアラインな動作をベースモデルに注入する,軽量な微調整手法である。 様々なサフィックスベースのジェイルブレイク設定で、TrapSuffixは平均攻撃成功率を0.01%以下に下げ、平均追跡成功率87.9%を達成する。
  論文  参考訳（メタデータ） (2026-02-06T11:43:56Z)
• TRYLOCK: Defense-in-Depth Against LLM Jailbreaks via Layered Preference and Representation Engineering [0.0]
  提案するTRYLOCKは,推論スタックをまたいだ4つのメカニズムを組み合わせた,最初のディフェンス・イン・ディースアーキテクチャである。 Mistral-7B-Instructが249プロンプト攻撃セットに対して評価された場合、TRYLOCKは88.0%の相対的なASR減少を達成する。
  論文  参考訳（メタデータ） (2026-01-06T03:02:20Z)
• Multi-Faceted Attack: Exposing Cross-Model Vulnerabilities in Defense-Equipped Vision-Language Models [54.61181161508336]
  MFA(Multi-Faceted Attack)は、防衛装備型ビジョンランゲージモデル(VLM)の一般的な安全性上の脆弱性を明らかにするフレームワークである。 MFAの中核となるコンポーネントはアテンション・トランスファー・アタック(ATA)であり、競合する目的を持ったメタタスク内に有害な命令を隠す。 MFAは58.5%の成功率を獲得し、既存の手法を一貫して上回っている。
  論文  参考訳（メタデータ） (2025-11-20T07:12:54Z)
• Bag of Tricks for Subverting Reasoning-based Safety Guardrails [62.139297207938036]
  推論に基づくガードレールを覆い隠すジェイルブレイク手法の袋を提示する。 攻撃対象は白、グレー、ブラックボックスの設定で、無駄なテンプレート操作から完全に自動化された最適化までさまざまです。
  論文  参考訳（メタデータ） (2025-10-13T16:16:44Z)
• Bypassing Prompt Guards in Production with Controlled-Release Prompting [11.65770031195044]
  我々は、彼らの制限を強調して、プロンプトガードを回避できる新しい攻撃を導入する。 我々の手法は、応答品質を維持しながら生産モデルを継続的にジェイルブレイクする。 これは、現代のLLMアーキテクチャにおいて、軽量プロンプトガードに固有の攻撃面を明らかにしている。
  論文  参考訳（メタデータ） (2025-10-02T00:04:21Z)
• The VLLM Safety Paradox: Dual Ease in Jailbreak Attack and Defense [56.32083100401117]
  Vision Large Language Models(VLLMs)のジェイルブレイク攻撃に対する脆弱性は、驚くにあたらない。 これらの攻撃に対する最近の防御機構は、ベンチマーク評価においてほぼ飽和状態に達している。
  論文  参考訳（メタデータ） (2024-11-13T07:57:19Z)
• Defending Large Language Models against Jailbreak Attacks via Semantic Smoothing [107.97160023681184]
  適応型大規模言語モデル(LLM)は、ジェイルブレイク攻撃に対して脆弱である。 提案するSEMANTICSMOOTHは,与えられた入力プロンプトのセマンティック変換されたコピーの予測を集約するスムージングベースのディフェンスである。
  論文  参考訳（メタデータ） (2024-02-25T20:36:03Z)
• TextGuard: Provable Defense against Backdoor Attacks on Text Classification [83.94014844485291]
  テキスト分類に対するバックドア攻撃に対する最初の証明可能な防御であるTextGuardを提案する。 特にTextGuardは、(バックドアされた)トレーニングデータをサブトレーニングセットに分割し、各トレーニング文をサブ文に分割する。 本評価では,3つのベンチマークテキスト分類タスクにおけるTextGuardの有効性を示す。
  論文  参考訳（メタデータ） (2023-11-19T04:42:16Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。