論文の概要: When the World Lies: Backdoor Attacks on Latent World Models for Downstream Control

• arxiv url: http://arxiv.org/abs/2609.15781v1
• Date: Mon, 14 Sep 2026 16:01:13 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-09-16 07:15:06.48153
• Title: When the World Lies: Backdoor Attacks on Latent World Models for Downstream Control
• Title（参考訳）: 世界が倒れた時:下流制御のための潜在世界モデルへのバックドア攻撃
• Abstract要約: 我々は、リリースしたチェックポイントのみを制御する敵が下流のコントローラをハイジャックできることを示します。 攻撃は、明示的なトリガー・ツー・アクション・ルールを符号化しない。毒殺されたモデルは、選択された潜在領域にトリガー・ベアリングの観測をルートする。
• 参考スコア（独自算出の注目度）: 16.24023192805139
• License: http://creativecommons.org/licenses/by/4.0/
• Abstract: Pretrained world models, learned simulators that encode an observation into a latent state and predict how it evolves under actions, are beginning to be reused as off-the-shelf dynamics backbones for control, like pretrained encoders and language models are reused today. We show that this reuse opens a supply-chain backdoor: an adversary who controls only a released checkpoint can hijack the downstream controller, even though the victim trains and evaluates entirely on clean data and never sees the trigger. The attack encodes no explicit trigger-to-action rule. Instead, the poisoned model routes trigger-bearing observations into a chosen latent region and reshapes the local dynamics there, so that the victim's own optimization (Dreamer-style actor training in imagination, or MPC/CEM planning over predicted futures) re-discovers the attacker's target action on its own. Across several control tasks and trigger families, the trigger steers the controller's action toward the attacker's target, controlling every action dimension and hijacking 100\% of triggered steps on the strongest settings. The checkpoint still passes the clean-data diagnostics a victim would run before deployment, with clean-task success retaining at least $\sim$75\%. The effect is temporally gated: it appears only while the trigger is present and disappears when the trigger is removed. Trigger-blind repair is budget-dependent: moderate clean fine-tuning can preserve clean utility while leaving the triggered failure intact, whereas sufficiently aggressive adaptation can remove it only after substantially degrading clean control. The world-model backbone itself is therefore an emerging and underexamined attack surface for control. The full code and artifacts are available in our repository.
• Abstract（参考訳）: 事前学習された世界モデル、観察を潜伏状態にエンコードし、アクションの下でどのように進化するかを予測する学習されたシミュレータは、現在、事前学習されたエンコーダや言語モデルのように、制御のためのオフザシェルフダイナミックスバックボーンとして再利用され始めている。 我々は、この再利用がサプライチェーンバックドアを開放することを示した。リリースしたチェックポイントのみを制御する敵は、被害者がクリーンなデータで完全にトレーニングし、トリガーを見ることなく、下流のコントローラを乗っ取ることができる。 攻撃は明示的なトリガー・ツー・アクション・ルールを符号化しない。 その代わり、毒殺されたモデルは、選択された潜伏領域にトリガーを発射する観察をルートし、そこで局所的なダイナミクスを再評価し、被害者自身の最適化(想像上のDreamerスタイルのアクタートレーニング、または予測される未来を計画するMPC/CEM)が攻撃者の標的行動を再発見する。 いくつかの制御タスクとトリガーファミリにまたがって、トリガーは、アタッカーのターゲットに対するコントローラのアクションを操縦し、すべてのアクションディメンションを制御し、最も強い設定でトリガーステップの100\%をハイジャックする。 チェックポイントは、被害者がデプロイ前に実行するクリーンデータ診断をパスし、クリーンタスクの成功率は少なくとも$\sim$75\%である。 トリガーが存在する間だけ現れ、トリガーが取り除かれたときに消える。 トリガーブラインド修復は予算に依存しており、適度なクリーン微調整はクリーンユーティリティを維持でき、トリガーブラインド修復はトリガーブラインド修復の失敗をそのまま残すことができるが、十分なアグレッシブ適応はクリーンコントロールを著しく劣化させた後にのみ除去することができる。 したがって、ワールドモデルバックボーン自体は、制御のための新興かつ過小評価された攻撃面である。 完全なコードとアーティファクトは、私たちのリポジトリで利用可能です。

関連論文リスト

• TrojanWorld: Backdooring World-Model Agents via Imagination Steering [65.38754125569848]
  TrojanWorldは、世界モデルエージェントのためのバックドアフレームワークで、内部の想像力を操ることで攻撃者が特定した振る舞いを誘導する。 トリガーアクティベーションの下では、トロイジャンワールドは0.026までの目標アクション偏差を達成し、対応するクリーンパフォーマンスの少なくとも98.8%を維持している。
  論文  参考訳（メタデータ） (2026-09-07T05:14:10Z)
• Once Poisoned, Arbitrarily Controlled: A Programmable Backdoor in VLMs [23.18705886598491]
  視覚言語モデル(VLM)のバックドアは通常静的脆弱性として扱われる。 プログラム可能なバックドアをVLMに埋め込むことができる。 任意のキャプション制御パラダイムの提案は、トレーニング後の標的選択を中毒から切り離す。
  論文  参考訳（メタデータ） (2026-08-11T14:25:29Z)
• ToxScreen: Detecting Whether an LLM Has Been Poisoned [1.2598422062985144]
  ToxScreenは、攻撃目標、トリガーメカニズム、中毒率、モデルスケール、バックドアトレーニングメカニズムにまたがる約800のバックドアモデルのベンチマークです。 一方,攻撃成功率で候補をランク付けするトークン検索では,バックドアが有効である場合にトリガを復元する。 すべてのバックドアを確実に覆う方法は存在しないが、広い範囲のジェイルブレイク可能なモデルはそれ自体異常であり、正確なトリガーが回収されない場合でも有用な信号である。
  論文  参考訳（メタデータ） (2026-07-29T12:35:58Z)
• Beyond Attack Success Rate: Examining Trigger Leakage in Vision-Language Agentic Systems [36.30772806498619]
  VLAS(Vision-Language Agentic Systems)は、視覚を計画、道具の使用、身体行動に結びつけるシステムである。 バックドアタイプのトリガーは、決定パイプラインと接続されたインターフェースの両方を通じて伝搬することができる。
  論文  参考訳（メタデータ） (2026-06-10T18:33:52Z)
• Compiling Activation Steering into Weights via Null-Space Constraints for Stealthy Backdoors [48.881343993730844]
  安全性に整合した大規模言語モデル(LLM)は、現実世界のパイプラインにますますデプロイされている。 敵は通常の評価では動作しないバックドアのチェックポイントを配布することができる。 最近のポストホック重み付け法は、そのようなバックドアを注入するための効率的なアプローチを提供する。
  論文  参考訳（メタデータ） (2026-04-14T06:48:33Z)
• Self-Purification Mitigates Backdoors in Multimodal Diffusion Language Models [74.1970982768771]
  確立されたデータポゾンパイプラインは,MDLMにバックドアを埋め込むことに成功した。 拡散自己浄化(Diffusion Self-Purification)と呼ばれるMDLMのバックドア防御フレームワークについて紹介する。
  論文  参考訳（メタデータ） (2026-02-24T15:47:52Z)
• Mask and Restore: Blind Backdoor Defense at Test Time with Masked Autoencoder [50.1394620328318]
  既存のバックドア防御手法では、いくつかのバリデーションデータとモデルパラメータにアクセスする必要があることが多い。 Masked AutoEncoder (BDMAE) を用いたブラインドバックドアディフェンスの提案 BDMAEは、画像の構造的類似性と、テスト画像とMAE復元の間のラベルの整合性を用いて、可能な局所的なトリガを検出する。
  論文  参考訳（メタデータ） (2023-03-27T19:23:33Z)
• Untargeted Backdoor Attack against Object Detection [69.63097724439886]
  我々は,タスク特性に基づいて,無目標で毒のみのバックドア攻撃を設計する。 攻撃によって、バックドアがターゲットモデルに埋め込まれると、トリガーパターンでスタンプされたオブジェクトの検出を失う可能性があることを示す。
  論文  参考訳（メタデータ） (2022-11-02T17:05:45Z)
• Sleeper Agent: Scalable Hidden Trigger Backdoors for Neural Networks Trained from Scratch [99.90716010490625]
  バックドア攻撃者は、トレーニングデータを改ざんして、そのデータに基づいてトレーニングされたモデルに脆弱性を埋め込む。 この脆弱性は、モデル入力に"トリガー"を配置することで、推論時にアクティベートされる。 我々は,工芸過程において,勾配マッチング,データ選択,ターゲットモデル再トレーニングを利用した新しい隠れトリガ攻撃,Sleeper Agentを開発した。
  論文  参考訳（メタデータ） (2021-06-16T17:09:55Z)
• Red Alarm for Pre-trained Models: Universal Vulnerability to Neuron-Level Backdoor Attacks [98.15243373574518]
  事前訓練されたモデル(PTM)は、下流の様々なタスクで広く使われている。 本研究では,バックドアアタックによって微調整されたPTMを容易に制御できるPTMの普遍的脆弱性を実証する。
  論文  参考訳（メタデータ） (2021-01-18T10:18:42Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。