論文の概要: Same Bytes, Different Authority: Reserved-Token Representations in Chat-Template Prompt Injection

• arxiv url: http://arxiv.org/abs/2609.35932v1
• Date: Mon, 28 Sep 2026 14:51:21 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-09-30 21:28:46.898322
• Title: Same Bytes, Different Authority: Reserved-Token Representations in Chat-Template Prompt Injection
• Title（参考訳）: 同じバイト, 異なる権限: チャットテンプレートプロンプトインジェクションにおけるリザーブドトークン表現
• Abstract要約: |im_start|> は、単一の予約制御トークンまたは通常のサブワードトークンのシーケンスとしてモデルに到達することができる。 入力された命令の権限のどれだけが、学習された表現の予約トークンから来ているかを測定する。
• 参考スコア（独自算出の注目度）: 3.758569096703232
• License: http://creativecommons.org/licenses/by/4.0/
• Abstract: Prompt injection against LLM agents becomes much stronger when the injected instruction is wrapped in the model's own chat template. A forged template marker such as <|im_start|> can reach the model either as a single reserved control token or as a sequence of ordinary subword tokens. The two decode to exactly the same text, and because tokenization runs on the server, the defender rather than the attacker decides which one the model receives. We use this to measure how much of the injected instruction's authority comes from the reserved token's learned representation. Encoding the forged markers as subwords, with the text held fixed and a control for the extra tokens this adds, lowers attack success on the InjecAgent benchmark by 39 to 66 percentage points on three of four open-weight families, and the gap carries over to multi-turn agent tasks in AgentDojo. On Qwen3-8B the gap is 8 points, because without reserved ids the model still recognises the forged turn from its text by reasoning; suppressing the reasoning block widens the gap to 50. The authority sits in the single learned vector at the marker position: the mean of the marker's subword vectors does not reproduce it, the vector of the nearest ordinary token restores the attack on Llama-3.1, and an adaptive attacker who searches for non-reserved markers finds such embedding neighbours on three of four families. In every base and instruction-tuned pair we test, instruction tuning strengthens the model's preference for reserved markers. The standard mitigation, a tokenizer option that encodes special tokens as ordinary subwords, applies only to tokens a configuration declares special, so in 33 of 67 distinct tokenizer configurations, covering 255 of the 400 most-downloaded chat models on Hugging Face, it leaves intact the tool-protocol tokens through which agents read untrusted tool output, and the gap persists on that channel.
• Abstract（参考訳）: LLMエージェントに対するプロンプトインジェクションは、インジェクションされた命令がモデル独自のチャットテンプレートにラップされると、より強くなる。 forged template marker as as <|im_start|> can reach the model as a single reserved control token or as a sequence of ordinary subword tokens。 トークン化はサーバ上で実行されるので、攻撃者ではなくディフェンダーがモデルが受け取るものを決定する。 これを使って、注入された命令の権限のどれだけが、予約されたトークンの学習された表現に由来するかを測定する。 フォークされたマーカーをサブワードとしてエンコードし、テキストが固定され、追加トークンのコントロールが追加され、InjecAgentベンチマークの攻撃成功率は4つのオープンウェイトファミリーのうち3つで39から66ポイント減少し、ギャップはAgentDojoのマルチターンエージェントタスクへと引き継がれる。 Qwen3-8Bでは、リザーブドIDがなければ、モデルは推論によって偽のターンをテキストから認識し、推論ブロックを50に拡大する。 マーカーのサブワードベクトルの平均はそれを再現せず、最も近い通常のトークンのベクトルはLlama-3.1への攻撃を復元し、非保存マーカーを探索する適応攻撃者は、4つのファミリーのうち3つにそのような埋め込み隣人を見つける。 テストする各ベースおよび命令調整ペアにおいて、命令チューニングは、予約されたマーカーに対するモデルの嗜好を強化する。 通常のサブワードとして特別なトークンをエンコードするトークン化オプションである標準緩和は、トークンにのみ適用されるため、67の異なるトークン化設定のうち33の33では、Hugging Face上の400の最もダウンロードされたチャットモデルの255をカバーし、エージェントが信頼できないツール出力を読み取るツールプロトコールトークンをそのまま残し、ギャップはそのチャネルに持続する。

関連論文リスト

• Nameless Tokenization: A Lossless Tokenizer-Level Defense Against Control-Token Forgery in Open-Weight LLMs [18.27640770574978]
  オープンウェイトな言語モデルは、チャットテンプレートを使用して、ターン、ロール、ツール結果を示す文字列をパブリッシュする。 したがって、プロンプトでテキストを制御する人は、サービススタックが書いたものと区別できないターン境界を書くことができる。 制御エントリに予約された識別子を残さず、サーフェス文字列を含まない無名トークン化を提案する。
  論文  参考訳（メタデータ） (2026-09-15T11:00:03Z)
• Codebook Agent: Amortized Topology Design for LLM Multi-Agent Systems [67.04448659688579]
  クエリ非依存の16エントリのコードブックを開発し、上位のデコード候補を1回のバッチフォワードパスでランク付けする。 反復検索がなく、テスト時にメッセージパッシングがないため、Codebook Agentは6つのベンチマークでもっとも正確な方法である。
  論文  参考訳（メタデータ） (2026-09-02T08:10:22Z)
• Semantic Overlays: Mitigating Prompt Injection with Annotations Beyond Tokens and Steering Vectors [0.0]
  インジェクション攻撃から言語モデルを保護する方法を示す。 モデルを保護するためにセマンティックオーバーレイと呼ばれるテクニックを使用します。 スパンを"実行不可能"とマークしたオーバーレイは、幅広いプロンプトインジェクションのクラスに対して防御する。
  論文  参考訳（メタデータ） (2026-08-24T22:26:58Z)
• GRID: Grammar-Railed Decoding for Enterprise SQL Generation [0.0]
  文法制約付き復号エンジンGRID(Grammar-Railed Decoding)を提案する。 LALR(1)自体を実行可能なオラクルとして使用する。 4つの保証(音量、完全性、終了、およびほぼ一定に近いコスト)は明示的な前提条件で記述される。
  論文  参考訳（メタデータ） (2026-07-11T19:25:23Z)
• Skill-as-Pseudocode: Refactoring Skill Libraries to Pseudocode for LLM Agents [50.78646963535282]
  Skill-as-Pseudocode (SaP) はマークダウンスキルライブラリの型付き擬似コードへの自動変換である。 1つ以上のスキルから引き出された類似の手続きパスのクラスタごとに、SaPは型付きコントラクトを抽出し、それを4チェック決定性検証器を通じてフィルタリングする。 プロモートされた契約は、復元された具体的なアクションテンプレートと共に書き直されたスキルスケルトンにインライン化され、エージェントは2つの補完的な信号を与える。
  論文  参考訳（メタデータ） (2026-05-27T04:48:40Z)
• Defense Against Syntactic Textual Backdoor Attacks with Token Substitution [15.496176148454849]
  トレーニング段階では、慎重に選択されたトリガを犠牲者モデルに組み込んで、特定のクラスと同じトリガを含む入力を誤って予測する。 本稿では,構文ベースと特別なトークンベースのバックドア攻撃を効果的に対処する新しいオンライン防御アルゴリズムを提案する。
  論文  参考訳（メタデータ） (2024-07-04T22:48:57Z)
• Object Recognition as Next Token Prediction [99.40793702627396]
  オブジェクト認識を次のトークン予測として提案する。 その考え方は、画像埋め込みからフォームラベルへのテキストトークンの自動回帰予測を行う言語デコーダを適用することである。
  論文  参考訳（メタデータ） (2023-12-04T18:58:40Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。