論文の概要: Prefilling the Reasoning Channel: Output-Prefix Attacks on Reasoning LLMs

• arxiv url: http://arxiv.org/abs/2609.29775v1
• Date: Thu, 24 Sep 2026 13:18:21 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-09-25 21:10:09.951096
• Title: Prefilling the Reasoning Channel: Output-Prefix Attacks on Reasoning LLMs
• Title（参考訳）: 共振器チャネルの補充:共振器LLMに対するアウトプット・プレフィックスアタック
• Abstract要約: 大規模言語モデル(LLM)は、単一のテキスト列を消費し、生成する。 この出力攻撃技術は安価なブラックボックスプロンプトインジェクションである。 私たちは、2026年代のフロンティアモデルであるGemini Flash Preview、DeepSeek V4 Flash、Claude Haiku 4.5を攻撃します。
• 参考スコア（独自算出の注目度）: 0.5489289420720472
• License: http://creativecommons.org/licenses/by/4.0/
• Abstract: Large Language Models (LLMs) consume and produce a single sequence of text; hence, if text can be added to the beginning of the LLM's response, i.e., an output prefix, then all subsequent tokens will be conditioned on it. This output-prefix attack technique is a cheap black-box prompt injection. Prior work has shown this type of attack can reliably jailbreak non-reasoning models. Most reasoning models add an intermediate scratchpad reasoning step before the assistant's final response. The ability to edit this reasoning channel is exposed by some APIs and attack vectors can be leveraged for reasoning injection attacks. We present the first systematic, controlled study that isolates the scratchpad reasoning channel as an output-prefix attack vector, and the first to compare reasoning-only, output-prefix-only and reasoning-plus-output-prefix attacks across both exposed- and hidden-reasoning models. Using a factorial design of 3 prefix types $\times$ 2 reasoning injections over $1{,}800$ test cases drawn from AdvBench, we attack three 2026-era frontier models Gemini 3 Flash Preview, DeepSeek V4 Flash, and Claude Haiku 4.5. We find that injecting malicious reasoning alone is essentially inert ($\approx0\%$ attack success), but injecting the same reasoning together with a trivial output prefix raises the attack success rate to as high as $99\%$ for some models. For this type of attack we find that contextual prefixes work better than static prefixes; and that susceptibility is dependent on the model.
• Abstract（参考訳）: 大規模言語モデル(LLM)は、単一のテキスト列を消費し、生成する。したがって、LLMの応答の先頭にテキストを追加することができる場合、すなわち、出力プレフィックスは、後続のトークンを条件付けする。 このアウトプット・プレフィックス・アタック・テクニックは安価なブラックボックス・プロンプト・インジェクションである。 以前の研究では、この種の攻撃は確実に非放火モデルのジェイルブレイクを可能にすることが示されていた。 ほとんどの推論モデルは、アシスタントの最終応答の前に中間的なスクラッチパッド推論ステップを追加する。 この推論チャネルを編集する機能は、いくつかのAPIによって公開され、アタックベクターは推論インジェクションアタックに利用することができる。 我々は,スクラッチパッド推論チャネルを出力前修正攻撃ベクトルとして分離する最初の体系的制御された研究と,露出時と隠蔽時の両方のモデルにおいて,推論のみ,出力前修正のみ,および推論+出力前修正攻撃の比較を行う。 AdvBenchから引き出された${,}800$のテストケースに対して、$\times$2の推論インジェクションを3つのプレフィックスのファクター設計を使用することで、3つの2026以前のフロンティアモデルであるGemini 3 Flash Preview、DeepSeek V4 Flash、Claude Haiku 4.5を攻撃します。 悪意のある推論を単体で注入することは本質的に不活性($\approx0\%$攻撃成功)であるが、自明なアウトプットプレフィックスと共に同じ推論を注入することで、攻撃成功率が最大99\%まで上昇するモデルもある。 このタイプの攻撃では、文脈的な接頭辞は静的な接頭辞よりもうまく機能し、感受性はモデルに依存する。

関連論文リスト

• How Does Prefix Matter in Reasoning Model Tuning? [57.69882799751655]
  推論(数学)、コーディング、安全性、事実性の3つのコアモデル機能にまたがる3つのR1シリーズモデルを微調整します。 その結果,プレフィックス条件付きSFTでは安全性と推論性能が向上し,Safe@1の精度は最大で6%向上した。
  論文  参考訳（メタデータ） (2026-01-04T18:04:23Z)
• Prompt-Induced Over-Generation as Denial-of-Service: A Black-Box Attack-Side Benchmark [5.996470719961205]
  大規模言語モデル(LLM)はオーバージェネレーションに駆動され、EOS(End-of-sequence)トークンを生成する前に数千のトークンを発行する。 これは、応答品質を低下させ、レイテンシとコストを膨らませ、DoS(DoS)攻撃として武器化することができる。 このようなベンチマークを導入し、プロンプトのみの攻撃者2名について検討する。
  論文  参考訳（メタデータ） (2025-12-29T13:42:08Z)
• No, of Course I Can! Deeper Fine-Tuning Attacks That Bypass Token-Level Safety Mechanisms [22.667573777927203]
  我々は、まずモデルに応答する前に有害な要求を拒否するよう訓練する新しい微調整攻撃を提案する。 この "refuse-then-comply" 戦略は浅い防御をバイパスし、出力フィルタを回避する有害な応答を生成する。 われわれの攻撃はOpenAIから2000ドルのバグ報奨金を受け、Anthhropicによって脆弱性として認識された。
  論文  参考訳（メタデータ） (2025-02-26T20:20:01Z)
• An Interpretable N-gram Perplexity Threat Model for Large Language Model Jailbreaks [87.64278063236847]
  本研究では,ジェイルブレイク攻撃の原理的比較のための統一的脅威モデルを提案する。 私たちの脅威モデルは、あるジェイルブレイクがテキストの配布で起こりそうなかどうかをチェックします。 私たちはこの脅威モデルに人気のある攻撃を適応させ、これらの攻撃を同等の足場でベンチマークしました。
  論文  参考訳（メタデータ） (2024-10-21T17:27:01Z)
• Prompt as Triggers for Backdoor Attack: Examining the Vulnerability in Language Models [41.1058288041033]
  本稿では,プロンプトに基づくクリーンラベルバックドア攻撃の新規かつ効率的な方法であるProAttackを提案する。 本手法では, 外部からのトリガーを必要とせず, 汚染試料の正確なラベル付けを保証し, バックドア攻撃のステルス性を向上させる。
  論文  参考訳（メタデータ） (2023-05-02T06:19:36Z)
• Preprocessors Matter! Realistic Decision-Based Attacks on Machine Learning Systems [56.64374584117259]
  決定に基づく攻撃は、ハードラベルクエリのみを作成することによって、機械学習(ML)モデルに対する逆例を構築する。 我々は,(i)プリプロセッサをリバースエンジニアリングし,(ii)この抽出した情報を用いてエンド・ツー・エンド・システムを攻撃する手法を開発した。 我々のプリプロセッサ抽出法は数百のクエリしか必要とせず、我々のプリプロセッサ・アウェア・アタックはモデルのみを攻撃する場合と同じ効果を回復する。
  論文  参考訳（メタデータ） (2022-10-07T03:10:34Z)
• Concealed Data Poisoning Attacks on NLP Models [56.794857982509455]
  逆攻撃はテスト時間入力の摂動によってNLPモデル予測を変化させる。 我々は,入力に所望のトリガーフレーズが存在する場合,相手がモデル予測を制御できる新しいデータ中毒攻撃を開発した。
  論文  参考訳（メタデータ） (2020-10-23T17:47:06Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。