論文の概要: Your Model Is Leaking: Covert Information Transfer through LLM Residual Streams

• arxiv url: http://arxiv.org/abs/2609.27996v1
• Date: Wed, 23 Sep 2026 12:27:12 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-09-25 00:05:18.015123
• Title: Your Model Is Leaking: Covert Information Transfer through LLM Residual Streams
• Title（参考訳）: LLMの残差ストリームをカバーした情報伝達モデルがリーク
• Abstract要約: プライバシに敏感な組織は、制限されたまたは空調された環境で、大きな言語モデル(LLM)を実行することができる。 制限された環境を離れることが許される中間的アクティベーションにおいて、妥協されたランタイムコンポーネントがセンシティブな情報を隠蔽できることを示す。 オフラインオブザーバは、単純な線形デコーダでこの情報を復元することができる。
• 参考スコア（独自算出の注目度）: 23.948219402013617
• License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
• Abstract: Privacy-sensitive organizations may run large language models (LLMs) in restricted or air-gapped environments while exporting selected diagnostic artifacts. We show that a compromised runtime component can hide sensitive information in intermediate activations that are allowed to leave the restricted environment. An offline observer can recover this information with a simple linear decoder. The attack requires no model retraining or weight modification, no attacker-controlled egress, and no control over the recorder or transfer process. We introduce a residual-stream covert-channel attack that maps messages to codewords and injects them into an intermediate residual stream through a compromised runtime hook. To maintain recoverability, the injection strength is scaled with the local residual norm using the signal-to-residual-norm ratio. Across eleven models from seven architecture families, our evaluation shows 91--100% recovery on nine models with KL divergence 0.001--0.007, while evaluated activation-level detectors remain close to random guessing (AUC <= 0.56). Tested post-hoc defenses do not reliably eliminate the channel. Thus, an activation artifact can be schema-valid while carrying information that is not authorized to cross the boundary.
• Abstract（参考訳）: プライバシに敏感な組織は、指定された診断成果物をエクスポートしながら、制限されたまたは空調された環境で大きな言語モデル(LLM)を実行することができる。 制限された環境を離れることが許される中間的アクティベーションにおいて、妥協されたランタイムコンポーネントがセンシティブな情報を隠蔽できることを示す。 オフラインオブザーバは、単純な線形デコーダでこの情報を復元することができる。 この攻撃では、モデルの再訓練や重量修正、攻撃者が制御するエクスグレス、レコーダーや転送プロセスの制御は不要である。 我々は,メッセージをコードワードにマッピングし,漏洩した実行時フックを通じて中間的残留ストリームに注入する,残留ストリームのシークレットチャネルアタックを導入する。 回復性を維持するために、信号-残差-ノルム比を用いて局所残差ノルムで注入強度を拡大する。 その結果,KL分散0.001--0.007の9種類のモデルでは91-100%が回復し,アクティベーションレベル検出器はランダムな推測(AUC <= 0.56)に近づいた。 試験されたポストホック防御は、確実にチャネルを排除しない。 したがって、アクティベーションアーティファクトは、境界を越えることが許可されていない情報を持ちながらスキーマ検証することができる。

関連論文リスト

• Local Sparsity Enables Unsupervised LLM Safety Detection [72.36186449615774]
  大規模言語モデル(LLM)のデプロイ時の安全性メソッドは、主に教師付きであり、安全でないトレーニングデータへのアクセスを前提としている。 新たな攻撃や危害のカテゴリーは定期的に発生し、そのような教師付き方式で訓練されたモデルでは捕捉されない。 本稿では,理論的正当性に支えられた局所的なSAEによる異常検出のための枠組みを提案する。
  論文  参考訳（メタデータ） (2026-09-17T12:23:04Z)
• The Model's Tell: Measuring Context-Leakage Attack Signals with Behavior Gauges [21.36981988877626]
  LeakGaugeはリークの動作を調査し、プリフィルトークンの確率を攻撃リスクスコアにマップする。 LeakGaugeは未確認攻撃でAUROCの0.944--0.996の範囲に達した。
  論文  参考訳（メタデータ） (2026-08-18T14:28:51Z)
• Adaptive Intrusion Detection System using Transformer-Based Neural Networks and Continual Learning Approach with Adversarial Investigation [1.90296757424868]
  ネットワーク侵入検知システム (IDS) は, 脅威分布のシフトに伴い, 配置後無音で停止する。 リプレイベースの連続学習はこれに反論するが、既存の手法では、ベニティトラフィックを1つの初期タスクに非現実的に限定し、リプレイバッファを潜在的攻撃面として無視する。 より忠実なストレステストとして新しい攻撃と共に良心が流れるクラスインスタンスインクリメンタル(CII)シナリオを導入し、オーバートラベルのフリップとステルスバックドア中毒攻撃でバッファーを探索する。
  論文  参考訳（メタデータ） (2026-08-05T09:06:45Z)
• Compiling Activation Steering into Weights via Null-Space Constraints for Stealthy Backdoors [48.881343993730844]
  安全性に整合した大規模言語モデル(LLM)は、現実世界のパイプラインにますますデプロイされている。 敵は通常の評価では動作しないバックドアのチェックポイントを配布することができる。 最近のポストホック重み付け法は、そのようなバックドアを注入するための効率的なアプローチを提供する。
  論文  参考訳（メタデータ） (2026-04-14T06:48:33Z)
• CLIP-Inspector: Model-Level Backdoor Detection for Prompt-Tuned CLIP via OOD Trigger Inversion [9.120160208679133]
  本稿では,CLIPモデルのためのバックドア検出手法であるCLIP-Inspector(CI)を紹介する。 CIは、モデルがバックドア動作を示すかどうかを決定するために、クラス毎に可能なトリガを再構築する。 私たちは、CIの再構成されたトリガを使用して、正しくラベル付けされたトリガ入力を微調整することで、モデルを再調整できることを実証した。
  論文  参考訳（メタデータ） (2026-04-10T08:33:56Z)
• Kelp: A Streaming Safeguard for Large Models via Latent Dynamics-Guided Risk Detection [29.51645496888383]
  Kelpは、LM生成パイプライン内でのストリーミングリスク検出を可能にする、新しいプラグインフレームワークである。 Kelpは、最先端のポストホックガードレールと以前のプラグインプローブを一貫して上回っている。
  論文  参考訳（メタデータ） (2025-10-09T14:42:50Z)
• Robust Anti-Backdoor Instruction Tuning in LVLMs [53.766434746801366]
  大規模視覚言語モデル(LVLM)のための軽量で認証に依存しない防御フレームワークについて紹介する。 私たちのフレームワークは、命令チューニングの下で、アダプタモジュールとテキスト埋め込み層のみを微調整します。 Flickr30kとMSCOCOに対する7つの攻撃に対する実験は、我々の攻撃の成功率をほぼゼロに低下させることを示した。
  論文  参考訳（メタデータ） (2025-06-04T01:23:35Z)
• Backdoor Cleaning without External Guidance in MLLM Fine-tuning [76.82121084745785]
  Believe Your Eyes (BYE)は、アテンションエントロピーパターンを自己教師信号として活用して、バックドアサンプルを特定してフィルタリングするデータフィルタリングフレームワークである。 クリーンタスクのパフォーマンスを維持しながら、ほぼゼロの攻撃成功率を達成する。
  論文  参考訳（メタデータ） (2025-05-22T17:11:58Z)
• Lazy Layers to Make Fine-Tuned Diffusion Models More Traceable [70.77600345240867]
  新たな任意の任意配置(AIAO)戦略は、微調整による除去に耐性を持たせる。 拡散モデルの入力/出力空間のバックドアを設計する既存の手法とは異なり,本手法では,サンプルサブパスの特徴空間にバックドアを埋め込む方法を提案する。 MS-COCO,AFHQ,LSUN,CUB-200,DreamBoothの各データセットに関する実証研究により,AIAOの堅牢性が確認された。
  論文  参考訳（メタデータ） (2024-05-01T12:03:39Z)
• DAAIN: Detection of Anomalous and Adversarial Input using Normalizing Flows [52.31831255787147]
  我々は、アウト・オブ・ディストリビューション(OOD)インプットと敵攻撃(AA)を検出する新しい手法であるDAINを導入する。 本手法は,ニューラルネットワークの内部動作を監視し,活性化分布の密度推定器を学習する。 当社のモデルは,特別なアクセラレータを必要とせずに,効率的な計算とデプロイが可能な単一のGPUでトレーニングすることが可能です。
  論文  参考訳（メタデータ） (2021-05-30T22:07:13Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。