論文の概要: Layered LLM Defenses as an Ensemble: Access Tiers, Inference Cost, and the Measured Failure Correlation Between Defense Layers

• arxiv url: http://arxiv.org/abs/2608.28327v1
• Date: Fri, 28 Aug 2026 13:36:06 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-08-31 17:16:04.3409
• Title: Layered LLM Defenses as an Ensemble: Access Tiers, Inference Cost, and the Measured Failure Correlation Between Defense Layers
• Title（参考訳）: アンサンブルとしての層状LDM防御-アクセスタイア, 推論コスト, および防衛層間の破壊相関の測定-
• Abstract要約: スタックはアンサンブルであり、LLMのセキュリティ文献が推奨する条件下でのみアンサンブルする。 スタックがどのように振る舞うかを導き、ディフェンダーが気を配ることに気を配ります。 7層スタックに対して1つの適応逆数を実行すると、故障相関は15の可測ペアすべてで正となる。
• 参考スコア（独自算出の注目度）: 0.3499870393443268
• License: http://creativecommons.org/licenses/by/4.0/
• Abstract: Practitioners defend large language models (LLMs) by stacking defenses, assuming the layers compound. A stack is an ensemble, and ensembles compound only under a condition the LLM security literature recommends but never measures: the members must fail on different inputs. Two instruments make that measurable. The Adversary Access-Tier Model (AATM) grades an adversary by the access it holds, from system-only (A0) to influence over training data (A4). A cost model sorts defenses into five classes of inference-time overhead; because two classes require training weights or reading activations, they tier the defender as AATM tiers the adversary. From these we derive how a stack behaves, and the quantities a defender cares about diverge: coverage saturates within a tier, cost rises by class, false refusals accumulate as a union, and residual attack success falls multiplicatively only under independence. We measure that independence. Running one adaptive adversary against a seven-layer stack, failure correlation is positive in all fifteen measurable pairs ($φ$ from $0.30$ to $0.75$), and the joint residual exceeds the multiplicative prediction by up to $0.172$. Stratifying on behavior difficulty dissolves most of the association, so the dependence is predominantly common-cause, but it survives permutation inference, majority-vote grader labels, and externally calibrated thresholds. The same stack refuses four in five benign prompts while remaining statistically indistinguishable from its strongest single layer. The dependence is architectural rather than sampling-based: members correlate through the model they all wrap, so no wider member pool weakens it. Diversity therefore selects stack members but does not predict what an assembled stack delivers, which has to be measured end to end.
• Abstract（参考訳）: 実践者は、レイヤーが複雑であると仮定して、防衛を積み重ねることで、大きな言語モデル(LLM)を守ります。 スタックはアンサンブルであり、LLMのセキュリティ文献が推奨する条件下でのみアンサンブルする。 2つの計器で測定できる。 Adversary Access-Tier Model(AATM)は、システム専用(A0)からトレーニングデータ(A4)に影響を及ぼすまで、保持するアクセスによって敵を格付けする。 コストモデルは、ディフェンスを5つのクラスの推論時間オーバーヘッドに分類する。2つのクラスはトレーニングの重みやアクティベーションを必要とするため、AATMが相手を格付けするにつれてディフェンダーを格付けする。 これらのことから、スタックがどのように振る舞うかを導い、ディフェンダーが気を配る量:カバレッジは階層内で飽和し、クラスごとにコストが上昇し、偽の拒絶が連合として蓄積され、残りの攻撃成功は独立の下でのみ多重化される。 私たちはその独立を測る。 7層スタックに対して1つの適応逆数を実行すると、故障相関は全15対(φ$ from $0.30$ to $0.75$)で正となり、結合残余は乗算予測を0.172$まで越える。 行動困難性の成層化は、ほとんどの関係を解消するので、依存は概ね一般的であるが、置換推論、多数投票のグレーダーラベル、および外部の校正しきい値で生き残る。 同じスタックは、最も強い単層と統計的に区別できないまま、5つの良性のプロンプトのうち4つを拒絶する。 依存度はサンプリングベースというよりアーキテクチャ的です – メンバはモデルを相互に関連付けるので,より広範なメンバプールがそれを弱めることはありません。 そのため、多様性はスタックメンバーを選択するが、組み立てられたスタックが何を提供するかは予測しない。

関連論文リスト

• Cross-Layer Interaction under Weight-Space Ablation: A Closed-Form Attention Jacobian Bound and a Test on a Real Pretrained Model [0.0]
  本稿では, 理想化モデルにおいて, 活性化パッチと重み空間のアブレーションが一致する場合について検討する。 これは、正規化のみを減らし、ヘッドも減らせば二階境界となる、正確な一階相互作用公式を導出する。 本論文は,両限界を超えて結果を拡張し,まず,複数の層を切断するキャリアからの相互作用を,正確に同じブロック項に分解する。 第二に、残りの部分は2つの層に対して、混合二階微分の二重積分として正確に分離し、それを束縛するために必要な欠成分を、注意サブブロックに対するヤコビアン境界(Jacobian bound for the attention sub-block)と呼ぶ。
  論文  参考訳（メタデータ） (2026-08-04T13:14:55Z)
• Adaptive operator-generated subspaces for effective many-body Hamiltonians [0.0]
  適応型Clifford-Algebra Subspacesolver (A-CASE) について述べる。 オーバーラップ、ハミルトン、観測可能、および応答行列は、共通のパウリ観測バンクから再構成される。 グループ化された反復は、しきい値、ルートマッチング、スペクトル重み、感受性、拡張を通じて有限ショットの変動を伝播する。
  論文  参考訳（メタデータ） (2026-08-01T09:51:25Z)
• Harnessing LLMs for Reliable Academic Supervision: A Comparative Study [0.0]
  大規模言語モデルは、単発プロンプトに対する流動的な回答を日常的に生成するが、それらをドメイン決定システムの信頼性の高いコンポーネントとしてデプロイするのは、かなり難しい。 このギャップを埋めるのは、決定論的足場を意図的に構成する、ハーネスエンジニアリングの作業である。 本稿では,高評価,経時的アカウンタビリティ,構造化された運用研究を併用した,学術的監督の事例を紹介する。
  論文  参考訳（メタデータ） (2026-07-16T08:14:27Z)
• Which Defense Closes Which Threat? Attributing OWASP-LLM-Top-10 Coverage and Its Brittleness Under Paraphrasing [51.56484100374058]
  プロダクションLLMアプリケーションは、いくつかの防衛ファミリを積み重ねる -- 拒絶フレーズフィルタ、トークンバッジコントロール、モデル許容度リスト、レート制限、ツール登録認証 -- が、BASベンチマークでは、単一の集計カバレッジ番号を報告している。 21エージェントベースラインスキャナに4つのLLM-Top-10対応エージェントを追加し、4つの合成LDMエンドポイントの格子をターゲットとした。
  論文  参考訳（メタデータ） (2026-06-01T19:39:25Z)
• The Infinite Mutation Engine? Measuring Polymorphism in LLM-Generated Offensive Code [0.6359663723794672]
  商用モデルの多型容量を自動マルウェア発生器として測定する。 機能要件のみを規定するプロンプトと、事前結果の構造的履歴を注入して分散を強制するプロンプトの2つの設定でペイロードを生成します。
  論文  参考訳（メタデータ） (2026-05-05T10:44:49Z)
• Cross-Session Threats in AI Agents: Benchmark, Evaluation, and Algorithms [0.0]
  CSTM-Benchは、キルチェーンステージとクロスセッション操作によって分類された26の実行可能な攻撃である。 Hugging FaceでIntrinsec-ai/cstm-benchとしてリリースされた。
  論文  参考訳（メタデータ） (2026-04-22T22:40:31Z)
• Dependence-Aware Label Aggregation for LLM-as-a-Judge via Ising Models [55.94503936470247]
  大規模なAI評価は、審査員を含む、$K$アノテータからのバイナリ判断を集約することにますます依存している。 ほとんどの古典的なメソッドは、アノテータが条件的に独立であると仮定するが、真のラベルは$Yin0,1$であり、この仮定は LLM の審査員によってしばしば違反される。 我々はIsingグラフィカルモデルと潜在因子に基づく依存認識モデルの階層構造を通してラベルアグリゲーションを研究する。
  論文  参考訳（メタデータ） (2026-01-29T21:26:50Z)
• Exploring the limits of strong membership inference attacks on large language models [70.49900359876595]
  最先端メンバーシップ推論攻撃 (MIA) は通常、多くの参照モデルを訓練する必要がある。 事前訓練された言語モデルでは強力なMIAが成功するが,その有効性は限られている。
  論文  参考訳（メタデータ） (2025-05-24T16:23:43Z)
• Efficient Adversarial Training in LLMs with Continuous Attacks [99.5882845458567]
  大規模言語モデル(LLM)は、安全ガードレールをバイパスできる敵攻撃に対して脆弱である。 本稿では,2つの損失からなる高速対向訓練アルゴリズム(C-AdvUL)を提案する。 C-AdvIPOは、対向的に堅牢なアライメントのためのユーティリティデータを必要としない、対向型のIPOである。
  論文  参考訳（メタデータ） (2024-05-24T14:20:09Z)
• Towards Defending Multiple $\ell_p$-norm Bounded Adversarial Perturbations via Gated Batch Normalization [120.99395850108422]
  既存の敵防衛は、個々の摂動に対するモデル堅牢性を改善するのが一般的である。 最近の手法では、複数の$ell_p$球における敵攻撃に対するモデルロバスト性を改善するが、各摂動型に対するそれらの性能は、まだ十分ではない。 我々は,複数の$ell_pの有界摂動を守るために,摂動不変予測器を逆向きに訓練するGated Batch Normalization (GBN)を提案する。
  論文  参考訳（メタデータ） (2020-12-03T02:26:01Z)
• Deep Partition Aggregation: Provable Defense against General Poisoning Attacks [136.79415677706612]
  アドリアリン中毒は、分類器の試験時間挙動を損なうために訓練データを歪ませる。 毒殺攻撃に対する2つの新たな防御策を提案する。 DPAは一般的な中毒脅威モデルに対する認証された防御である。 SS-DPAはラベルフリップ攻撃に対する認証された防御である。
  論文  参考訳（メタデータ） (2020-06-26T03:16:31Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。