論文の概要: Refusal Localizes, the Damage Relocates: Safety Layers Under Few-Sample Fine-Tuning

• arxiv url: http://arxiv.org/abs/2610.00320v1
• Date: Tue, 29 Sep 2026 04:12:28 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-10-03 01:19:23.609669
• Title: Refusal Localizes, the Damage Relocates: Safety Layers Under Few-Sample Fine-Tuning
• Title（参考訳）: 障害の局所化, 損傷の移動: わずかな細調整下での安全層
• Abstract要約: 微調整は、大規模な言語モデルを下流タスクに適応させるが、数十の有害な例は、有害な要求の拒絶を排除できる。 以前の作業では、特定のレイヤ、方向、トークンに安全関連の振る舞いをローカライズし、保護のターゲットを提案する。 攻撃における変化を乗り越える防衛策として, 局所化と回復を成功させるかどうかを検証した。
• 参考スコア（独自算出の注目度）: 23.983814631213278
• License: http://creativecommons.org/licenses/by/4.0/
• Abstract: Fine-tuning adapts aligned large language models (LLMs) to downstream tasks, but a few dozen harmful examples can remove their refusal of harmful requests. Prior work localizes safety-related behavior to specific layers, directions, and tokens, suggesting targets for protection. We test whether successful localization and recovery support defenses that survive changes in the attack. Across six checkpoints from four model families, harmful and benign prompts remain linearly separable after attack, and patching full clean hidden states into the compromised model restores refusal at a reproducible transition depth. Building on a prior layer-freezing defense, we freeze every layer up to this depth and repeat the attack. At a hundred harmful examples, refusal remains near zero on all six checkpoints, with recovery transitions above the frozen boundary. In a second study, removing the update's top two singular directions restores refusal after short attention-only fine-tunes on four checkpoints. On Llama-3.1-8B, ordinary training changes weaken this repair and an attacker who spreads the update defeats it. A spectral detector calibrated on benign Llama fine-tunes misses most repair failures on that checkpoint. Localized freezing can nevertheless help preserve refusal when a few harmful examples enter training data unintentionally. These results show that an attacker can bypass a region identified by recovery and defeat a repair that works across multiple checkpoints, motivating five checks for defenses against adaptive fine-tuning. Code is available at https://github.com/js-lee-AI/refusal-relocates.
• Abstract（参考訳）: 微調整は、下流タスクに大言語モデル(LLM)を適応させるが、数十の有害な例は、有害な要求の拒絶を排除できる。 以前の作業では、特定のレイヤ、方向、トークンに安全関連の振る舞いをローカライズし、保護のターゲットを提案する。 攻撃における変化を乗り越える防衛策として, 局所化と回復を成功させるかどうかを検証した。 4つのモデルファミリーの6つのチェックポイントのうち、有害なプロンプトと良性的なプロンプトは攻撃後に線形に分離可能であり、完全にクリーンな隠れた状態を妥協されたモデルにパッチすることで、再現可能な遷移深さで拒絶される。 事前の層凍結防御の上に構築することで、すべての層をこの深さまで凍結し、攻撃を繰り返します。 数百の有害な例では、解凍は6つのチェックポイントすべてでほぼゼロであり、凍結した境界より上の回復遷移である。 第2の研究では、4つのチェックポイント上の短い注意のみの微調整の後、更新の上位2つの特異な方向を除去することが拒否される。 Llama-3.1-8Bでは、通常の訓練が修正を弱め、更新を広める攻撃者がそれを破る。 良質のラマ細管で校正された分光検出器は、チェックポイントのほとんどの修理失敗を見逃している。 ローカライズされた凍結は、いくつかの有害な例が意図せずにトレーニングデータを入力すると、拒絶を防げる。 これらの結果は、攻撃者が回復によって特定された領域をバイパスし、複数のチェックポイントにまたがって機能する修復を倒すことで、適応的な微調整に対する防御の5つのチェックを動機付けることを示している。 コードはhttps://github.com/js-lee-AI/refusal-relocatesで入手できる。

関連論文リスト

• Bait-and-Recover: Poisoning Internal Refusal Signals to Defend LLMs against White-Box Editing Jailbreaks [39.211303097447136]
  オープンウェイトな大規模言語モデルは、表現工学攻撃による低コストのホワイトボックス脅威に直面している。 本研究では,攻撃者がアクティベーションを読み取る餌取りアダプタと,その後の層にペアリカバリアダプタを配置するウェイトレベルディフェンスであるBait-and-Recoverを提案する。 我々の弁護は、厳格な行動保存予算の下で、ホワイトボックス編集の検索を16.25%から71.75%に制限する最小の拒否率を上げている。
  論文  参考訳（メタデータ） (2026-09-05T01:08:24Z)
• The Misattribution Gap: When Memory Poisoning Looks Like Model Failure in Agentic AI Systems [1.0262304700896199]
  EmphSemantic Norm Drift (SND) をエージェント不正行為の第3の経路として定式化する。 SNDでは、ポリシーフォーマットの文書が通常のアップロードを通じて共有ベクターストアに入り、その後、信頼されたシステムコンテキストとして再現れる。 偽合成検査は87.5%の精度と偽陽性のゼロの因果関係を識別する。
  論文  参考訳（メタデータ） (2026-05-12T20:21:47Z)
• Any-Depth Alignment: Unlocking Innate Safety Alignment of LLMs to Any-Depth [19.670368480802725]
  提案するAny-Depth Alignment(ADA)は,オーバーヘッドを無視できる効果的な推論時防御法である。 ADAは有害性を再評価し、世代毎に拒絶を回復するモデルを誘導する。 数十から数千のトークンにわたる敵のプリフィル攻撃に対して、約100%の拒絶率を確保している。
  論文  参考訳（メタデータ） (2025-10-20T20:18:59Z)
• Bag of Tricks for Subverting Reasoning-based Safety Guardrails [62.139297207938036]
  推論に基づくガードレールを覆い隠すジェイルブレイク手法の袋を提示する。 攻撃対象は白、グレー、ブラックボックスの設定で、無駄なテンプレート操作から完全に自動化された最適化までさまざまです。
  論文  参考訳（メタデータ） (2025-10-13T16:16:44Z)
• A Granular Study of Safety Pretraining under Model Abliteration [64.24346997570275]
  本稿では,リフレクションに敏感な方向を除去する軽量プロジェクション技術であるモデルアブリーブレーションについて検討する。 我々は、バランスのとれた有害かつ無害なケースで100のプロンプトを発行し、複数の判断を用いて**Refusal*または***Non-Refusal*として応答を分類し、判断の忠実さを検証する。 本研究は,データ中心の安全コンポーネントが失語中も頑健であるチェックポイントレベルの特徴付けを行う。
  論文  参考訳（メタデータ） (2025-10-03T07:01:45Z)
• Revisiting Backdoor Attacks on LLMs: A Stealthy and Practical Poisoning Framework via Harmless Inputs [54.90315421117162]
  完全無害データを用いた新しい毒殺法を提案する。 自己回帰型LPMの因果推論に着想を得て,トリガーと肯定的応答プレフィックスの堅牢な関連性を確立することを目指す。 LLMは最初は同意するように見えるが,その後回答を拒む興味深い抵抗現象を観察する。
  論文  参考訳（メタデータ） (2025-05-23T08:13:59Z)
• Refuse Whenever You Feel Unsafe: Improving Safety in LLMs via Decoupled Refusal Training [67.30423823744506]
  我々は,LLMに対して,いかなる応答位置においても有害なプロンプトへのコンプライアンスを拒否する権限を付与する,新しいアプローチであるDecoupled Refusal Training(DeRTa)を導入する。 DeRTaは,(1)安全応答の開始に有害な応答のセグメントを付加することにより,安全でないコンテンツの認識と回避をモデルに訓練する,(2)有害応答シーケンスを通して潜在的障害から安全拒絶へ移行する能力をモデルに装備する強化遷移最適化(RTO)という,2つの新しいコンポーネントを組み込んでいる。
  論文  参考訳（メタデータ） (2024-07-12T09:36:33Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。