論文の概要: Bait-and-Recover: Poisoning Internal Refusal Signals to Defend LLMs against White-Box Editing Jailbreaks

• arxiv url: http://arxiv.org/abs/2609.05794v1
• Date: Sat, 05 Sep 2026 01:08:24 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-09-10 19:44:08.137038
• Title: Bait-and-Recover: Poisoning Internal Refusal Signals to Defend LLMs against White-Box Editing Jailbreaks
• Title（参考訳）: ホワイトボックス編集のジェイルブレイクに対するLCMを守るために内部の拒否信号が削除される
• Abstract要約: オープンウェイトな大規模言語モデルは、表現工学攻撃による低コストのホワイトボックス脅威に直面している。 本研究では,攻撃者がアクティベーションを読み取る餌取りアダプタと,その後の層にペアリカバリアダプタを配置するウェイトレベルディフェンスであるBait-and-Recoverを提案する。 我々の弁護は、厳格な行動保存予算の下で、ホワイトボックス編集の検索を16.25%から71.75%に制限する最小の拒否率を上げている。
• 参考スコア（独自算出の注目度）: 39.211303097447136
• License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
• Abstract: Open-weight large language models face a low-cost white-box threat from representation engineering attacks. Attackers can estimate refusal directions and search for projection-matrix edits that suppress safety alignment while preserving general capabilities, within minutes on a single GPU and without gradient-based training. We propose Bait-and-Recover, a weight-level defense that places a bait adapter where attackers read activations and a paired recovery adapter at the subsequent layer. Trained via gradient routing, this decouples the observation path from the behavior path. By actively poisoning the residual signal used for measurement, Bait-and-Recover disrupts the attacker's edit search, while the recovery layer restores clean downstream computation. Across four open-weight models, our defense raises the minimum refusal rate against white-box edit searches from 16.25% to 71.75% under a strict behavior-preservation budget (KL <= 0.10), with negligible impact on general benchmarks. By invalidating the core measurement assumption of these attacks, observation-path poisoning offers a practical complement to behavior-level safety training.
• Abstract（参考訳）: オープンウェイトな大規模言語モデルは、表現工学攻撃による低コストのホワイトボックス脅威に直面している。 攻撃者は、単一のGPU上で数分以内に、勾配ベースのトレーニングなしで、拒絶方向を推定し、安全アライメントを抑えるプロジェクション・マトリクスの編集を検索することができる。 本研究では,攻撃者がアクティベーションを読み取る餌取りアダプタと,その後の層にペアリカバリアダプタを配置するウェイトレベルディフェンスであるBait-and-Recoverを提案する。 勾配ルーティングによってトレーニングされたこの方法は、観測経路を行動経路から切り離す。 Bait-and-Recoverは、測定に使用される残留信号に積極的に毒を盛ることで、攻撃者の編集検索を妨害し、リカバリ層は下流の計算をクリーンに復元する。 4つのオープンウェイトモデル全体で、我々の防衛は、厳格な行動保存予算(KL <= 0.10)の下で16.25%から71.75%までのホワイトボックス編集検索に対する最小拒否率を高め、一般的なベンチマークに無視できない影響を及ぼした。 これらの攻撃の中核的な測定仮定を無効にすることで、観察経路中毒は行動レベルの安全訓練を実践的に補完する。

関連論文リスト

• Decoy Direction Optimization: A Post-Hoc Defense Against LLM Abliteration [37.700303596218184]
  RFA(Refusal Feature Ablation)を用いたオープンウェイト言語モデルの安全ガードレールのバイパス 本稿では,DDO(Decoy Direction Optimization)について紹介する。 この効果を定式化するスペクトル境界を証明し、6つのモデルファミリーでDDOを評価し、標準RFA下で10%のASRを達成する。
  論文  参考訳（メタデータ） (2026-09-14T18:36:35Z)
• Hiding Directions, Leaking Structure: Breaking ArrowCloak through Low-Rank Structure [11.442729593360738]
  TEEシールド推論は、線形代数を信頼できない加速器にオフロードしながら、信頼された実行環境(TEE)においてセンシティブな状態を維持する。 Wang et al. は Game of Arrows (USENIX Security 2025) で、広く採用されている5つの軽量防御がベクトル方向を保存することを示し、この漏れを利用するためにArrowMatchを導入した。 本稿では,ArowCloakを提案する。これは各ベクトルに1つの共有マスク方向の異なる倍数を追加し,その重み付きハードネス引数をLearning with Errors (LWE) に基づける。 この構造を、エンドツーエンドのクエリフリーリカバリアタックである、提案したアタックで活用する。
  論文  参考訳（メタデータ） (2026-08-21T20:30:26Z)
• Crushing the Evidence: A Dual-Penalty Evasion Framework for Fooling White-Box Explainable AI Auditors [4.377640147713394]
  ポストホックモデルの説明器は、高感度ドメインのモデルを監査するために広くデプロイされている。 説明可能性パイプラインにおける潜在的な攻撃について、いくつかの研究がなされている。 より強力なホワイトボックス、勾配調整型回避攻撃フレームワークを導入する。
  論文  参考訳（メタデータ） (2026-08-01T10:03:14Z)
• Rapid Poison: Practical Poisoning Attacks Against the Rapid Response Framework [38.96400184175405]
  プロンプトインジェクションはパイプラインに浸透し、有毒なサンプルをトレーニングセットに届けることを示す。 我々は、新しい現象を利用するOmission Attackでこの問題に対処する: 概念を欠いた安全でないサンプルを訓練する際、分類器はその概念の存在を安全なラベルと誤認する。
  論文  参考訳（メタデータ） (2026-06-15T05:40:50Z)
• Localization then Neutralization: Gradient-guided Token Suppression against Visual Prompt Injection Attack [78.02110947708535]
  敵対的なイメージは、プロンプトインジェクションを通じて、マルチモーダルな大規模言語モデルに深刻なセキュリティ上の脅威をもたらす。 敵の攻撃を成功させるには、画像全体を一様に依存するのではなく、重要な画像トークンの小さなサブセットに依存していることを示す。 本稿では,これらのトークンを勾配解析により局所化し,マスキングにより中和するグラディエントトークンマスキング(GTM)を提案する。
  論文  参考訳（メタデータ） (2026-05-24T17:51:34Z)
• Illuminating the Black Box: Real-Time Monitoring of Backdoor Unlearning in CNNs via Explainable AI [0.0]
  バックドア攻撃は、誤分類を強制する悪意のあるトリガーを埋め込むことで、ディープニューラルネットワークに深刻なセキュリティ脅威を引き起こす。 本稿では,Grad-CAM(Grad-CAM)を学習プロセスに統合し,リアルタイムモニタリングと説明可能性を実現する新しいフレームワークを提案する。 BadNets攻撃によるCIFAR-10の実験では、我々のアプローチが96.51%から5.52%に減少し、99.48%のクリーン精度(82.06%)を維持した。
  論文  参考訳（メタデータ） (2025-11-26T11:29:11Z)
• A Granular Study of Safety Pretraining under Model Abliteration [64.24346997570275]
  本稿では,リフレクションに敏感な方向を除去する軽量プロジェクション技術であるモデルアブリーブレーションについて検討する。 我々は、バランスのとれた有害かつ無害なケースで100のプロンプトを発行し、複数の判断を用いて**Refusal*または***Non-Refusal*として応答を分類し、判断の忠実さを検証する。 本研究は,データ中心の安全コンポーネントが失語中も頑健であるチェックポイントレベルの特徴付けを行う。
  論文  参考訳（メタデータ） (2025-10-03T07:01:45Z)
• Robust Anti-Backdoor Instruction Tuning in LVLMs [53.766434746801366]
  大規模視覚言語モデル(LVLM)のための軽量で認証に依存しない防御フレームワークについて紹介する。 私たちのフレームワークは、命令チューニングの下で、アダプタモジュールとテキスト埋め込み層のみを微調整します。 Flickr30kとMSCOCOに対する7つの攻撃に対する実験は、我々の攻撃の成功率をほぼゼロに低下させることを示した。
  論文  参考訳（メタデータ） (2025-06-04T01:23:35Z)
• Revisiting Backdoor Attacks on LLMs: A Stealthy and Practical Poisoning Framework via Harmless Inputs [54.90315421117162]
  完全無害データを用いた新しい毒殺法を提案する。 自己回帰型LPMの因果推論に着想を得て,トリガーと肯定的応答プレフィックスの堅牢な関連性を確立することを目指す。 LLMは最初は同意するように見えるが,その後回答を拒む興味深い抵抗現象を観察する。
  論文  参考訳（メタデータ） (2025-05-23T08:13:59Z)
• SEEP: Training Dynamics Grounds Latent Representation Search for Mitigating Backdoor Poisoning Attacks [53.28390057407576]
  現代のNLPモデルは、様々なソースから引き出された公開データセットでしばしば訓練される。 データ中毒攻撃は、攻撃者が設計した方法でモデルの振る舞いを操作できる。 バックドア攻撃に伴うリスクを軽減するために、いくつかの戦略が提案されている。
  論文  参考訳（メタデータ） (2024-05-19T14:50:09Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。