論文の概要: Fool's Gold: Defensive Deception Against Safety-Removal Attacks on Open-Weight Models

• arxiv url: http://arxiv.org/abs/2608.17202v1
• Date: Mon, 17 Aug 2026 23:26:32 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-08-19 21:40:53.161844
• Title: Fool's Gold: Defensive Deception Against Safety-Removal Attacks on Open-Weight Models
• Title（参考訳）: フォールズゴールド:オープンウェイトモデルに対する安全回避攻撃に対する防御的偽証
• Abstract要約: 我々の防衛はデコイの硬化であり、拒絶の帯を譲り受け、その支払いを毒する。 5つのファミリー(9B-122B、高密度と混合)から7つのモデルでインスタンス化する。
• 参考スコア（独自算出の注目度）: 4.1626636325601405
• License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
• Abstract: Safety alignment in open-weight language models is trivially removable: abliteration projects a refusal-mediating direction out of the weights in minutes, and no release-time defense we are aware of prevents it durably. What cannot be prevented can be deceived. Our defense, decoy hardening ("Fool's Gold"), concedes the refusal strip and poisons its payoff: once refusal is stripped, most answers to hazardous operational requests are confident, fluent decoys whose critical elements are falsified. Decoys are trained inside a differentiable simulation of the attack, expressing only in the attacked state; a refusal pin and benign leash hold clean-state behavior to the original. We instantiate it on seven models from five families (9B-122B, dense and mixture-of-experts). On the six models passing our pre-registered efficacy gate, 0.51-0.90 of attacked-state responses to held-out prompts are decoys, +0.27-0.84 attributable to the defense; all six stay within registered benign-behavior and capability budgets; the seventh (smaller) fails the gate (boundary case). Rates replicate on a frozen test split or untouched strata. The claim is epistemic: without independent ground truth, no observation surface we tested separates falsified answers from correct ones - on external red-team benchmarks' CBRNE-adjacent slice, the defended 122B is fatally wrong on 0.82-0.86 of matched-quality answers vs at most 0.10 undefended. Repeated sampling does not restore trust: element-wise consensus at K=64 reconstructs a fully usable procedure on 0.083-0.625 of prompts where the instrument validates, vs 0.58-0.96 undefended, with no label-free way to tell the regimes apart; on the weakest such model the claim is per-draw only. We evaluate chemical and biological hazards; the defense does not address in-context jailbreaks and protects only the initially released defended weights.
• Abstract（参考訳）: オープンウェイトな言語モデルにおける安全性の整合性は、簡単に取り除くことができる。 予防できないものはだますことができる。 我々の防衛、デコイ硬化("Fool's Gold")は、拒絶されたストリップを放棄し、その支払いを毒する: 拒絶が取り除かれたら、有害な運用要求に対する答えは自信があり、重要な要素がファルシ化されている流動的なデコイである。 ディコイは攻撃状態のみを表現し、攻撃の異なるシミュレーションの中で訓練される。 5つのファミリー(9B-122B、密集度と専門知識の混合)から7つのモデルでインスタンス化します。 事前登録された有効ゲートを通過する6つのモデルでは、攻撃状態の反応の0.51-0.90がデコイで、+0.27-0.84が防御に寄与し、登録された良性行動と能力予算内に6つ全てが留まり、7つ目(より小さい)がゲートに失敗する(境界ケース)。 凍結したテストスプリットまたは未接触層で複製する。 外部のレッドチームベンチマークのCBRNE対応スライスでは、防御された122Bは、一致した品質の回答の0.82-0.86で致命的な誤りである。 繰り返しサンプリングは信頼を回復しない: K=64 の要素ワイドコンセンサス(英語版)は 0.083-0.625 のプロンプトで完全に使用可能な手順を再構築する。 我々は化学物質や生物の危険性を評価し、防御はコンテキスト内ジェイルブレイクに対処せず、最初に解放された防御重量のみを保護する。

関連論文リスト

• Borrowed Strength: Best-of-N Search over a Code EncodingBreaks Self-Check Jailbreak Defenses [7.287314790466206]
  セルフチェックディフェンスは、応答する前に、ターゲットモデルに要求を評価するように要求する。 個々の攻撃に対して無害な2つの攻撃を構成することで、違反する可能性があることを示す。
  論文  参考訳（メタデータ） (2026-07-29T09:01:26Z)
• RAGuard: A Layered Defense Framework for Retrieval-Augmented Generation Systems Against Data Poisoning [0.0815557531820863]
  本稿では,パイプラインに対する擬似コーパス攻撃に対する層状防御であるRAGuardを紹介する。 第1層は、合成有毒文書(偽事実、矛盾、推論トラップ)に密集したレトリバーを微調整する。 2番目の層であるZeroKnowledge Patch ZKIPは、ラベルのないブラックボックスフィルタである。
  論文  参考訳（メタデータ） (2026-07-28T23:21:04Z)
• Train the Model, Not the Reader: Decodability Supervision for Verifiable Activation Explanations [0.11280931253550518]
  テストは2つの方法でパスされますが、忠実ではありません。 リリースされた Qwen-2.5-7B では、説明はチャンスよりもはるかに早く再構築されている。 AI安全性のために、RECAPは指定された内部コンテンツを独立してチェック可能にする。
  論文  参考訳（メタデータ） (2026-07-22T17:10:23Z)
• Closing the Activation-Cone Blind Spot: Response-Time Probing and Unified Defense [0.0]
  大規模言語モデルの推論時安全性手法は増加してきたが、体系的な比較は存在しない。 5つの防衛パラダイム(防御、静的ステアリング、CAST、AlphaSteer、プローブゲート)を7つの命令調整モデルで評価する。 AlphaSteerはGCG、AutoDAN、インテント洗浄において0%の攻撃成功を達成するが、プリフィルでは50%である。
  論文  参考訳（メタデータ） (2026-06-28T15:05:12Z)
• Thinking Wrong in Silence: Backdoor Attacks on Continuous Latent Reasoning [1.3011345529764784]
  新しい世代の言語モデルは、完全に連続的な隠蔽状態であり、トークンは生成せず、監査証跡も残っていない。 ThoughtSteer は >=99% の攻撃成功率をほぼベースラインのクリーンな精度で達成している。 個々の潜在ベクトルは、モデルが間違った解を出力したとしても、正しい解を符号化する。
  論文  参考訳（メタデータ） (2026-04-01T11:34:55Z)
• Turning Logic Against Itself : Probing Model Defenses Through Contrastive Questions [50.40122190627256]
  非倫理的反応を引き起こすために、対照的な推論を利用する新しいジェイルブレイク手法であるPOATEを導入する。 PoATEは意味論的に意図に反し、敵のテンプレートと統合し、有害なアウトプットを驚くほど微妙に操る。 これに対応するために、悪意のある意図と理性を検出するためにクエリを分解して、有害な応答を評価し、拒否するIntent-Aware CoTとReverse Thinking CoTを提案する。
  論文  参考訳（メタデータ） (2025-01-03T15:40:03Z)
• Evaluating the Robustness of the "Ensemble Everything Everywhere" Defense [90.7494670101357]
  あらゆるものをアンサンブルすることは、敵の例に対する防御である。 この防御は敵の攻撃に対して堅牢ではないことを示す。 次に、標準的なアダプティブアタック技術を用いて、防御の堅牢な精度を低下させる。
  論文  参考訳（メタデータ） (2024-11-22T10:17:32Z)
• Certified Robustness to Clean-Label Poisoning Using Diffusion Denoising [56.04951180983087]
  我々は、$ell$-normの条件で、クリーンラベル毒殺攻撃に対する認証された防御を提示する。 $randomized$$smoothingによって達成された対向的堅牢性に触発されて、オフザシェルフ拡散復調モデルが、改ざんしたトレーニングデータの衛生化をいかに行うかを示す。
  論文  参考訳（メタデータ） (2024-03-18T17:17:07Z)
• Increasing Confidence in Adversarial Robustness Evaluations [53.2174171468716]
  本稿では,弱い攻撃を識別し,防御評価を弱めるテストを提案する。 本テストでは,各サンプルに対する逆例の存在を保証するため,ニューラルネットワークをわずかに修正した。 これまでに公表された13の防衛のうち、11の防衛について、元の防衛評価は我々のテストに失敗し、これらの防衛を破る強力な攻撃はそれを通過する。
  論文  参考訳（メタデータ） (2022-06-28T13:28:13Z)
• Provable Defense Against Delusive Poisoning [64.69220849669948]
  本研究は, 対人訓練が妄想性中毒に対する防御法であることを示す。 これは、敵の訓練が妄想的中毒に対する原則的な防御方法であることを意味している。
  論文  参考訳（メタデータ） (2021-02-09T09:19:47Z)
• Deep Partition Aggregation: Provable Defense against General Poisoning Attacks [136.79415677706612]
  アドリアリン中毒は、分類器の試験時間挙動を損なうために訓練データを歪ませる。 毒殺攻撃に対する2つの新たな防御策を提案する。 DPAは一般的な中毒脅威モデルに対する認証された防御である。 SS-DPAはラベルフリップ攻撃に対する認証された防御である。
  論文  参考訳（メタデータ） (2020-06-26T03:16:31Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。