論文の概要: Bounded Reachability & Jailbreak Detection via Contraction-Constrained State Space Models

• arxiv url: http://arxiv.org/abs/2610.02853v1
• Date: Fri, 02 Oct 2026 05:39:06 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-10-06 00:14:30.233078
• Title: Bounded Reachability & Jailbreak Detection via Contraction-Constrained State Space Models
• Title（参考訳）: 拘束状態空間モデルによる境界到達性と脱獄検出
• Abstract要約: 本研究では、状態空間モデルに基づく安全ヘッドが、有界埋め込み空間摂動内の全ての入力に対して同じ予測をすることができることを示す。 平均プールのMamba-130M埋め込みにおけるロジスティック回帰は、検出基準ごとにS4ヘッドと一致または超えている。 S4の安全責任者の貢献は優れた差別ではなく、プローブベースのアプローチが提供しない正式な認証である。
• 参考スコア（独自算出の注目度）: 0.0
• License: http://creativecommons.org/licenses/by/4.0/
• Abstract: Safety heads are lightweight classifiers attached to pretrained language models for flagging harmful inputs before generation. Their empirical detection performance has been studied, but their formal robustness properties remain largely unexplored. We ask when a State Space Model (SSM)-based safety head can be certified to produce the same prediction for all inputs within a bounded embedding-space perturbation. We prove that the answer turns on a single condition: the $l_\infty$ norm of the state transition matrix must satisfy $\norm{A}_\infty<1$ (the \emph{contraction condition}), which enables exact interval bound propagation (IBP) certification for linear time-invariant classifiers. When the contraction condition holds, the reachable output interval has bounded steady-state width and examples can be certified as robustly classified. When it fails, the interval grows exponentially with sequence length and certification is impossible at any practical perturbation radius. We enforce contraction with a hinge penalty and show on toxic comment data that certified fraction improves from 41\% to 59\%, with a sharp empirical phase transition at $\norm{A}_\infty=1$ matching the theory. Applying a contraction-regularized S4 head to jailbreak detection on JailbreakBench, we achieve a zero-shot transfer to AdvBench (DR=0.994) and HarmBench (DR=0.988). A logistic regression on mean-pooled Mamba-130M embeddings matches or exceeds the S4 head on every detection metric, confirming that harmful intent is already linearly separable in the embedding space. The S4 safety head's contribution is not superior discrimination but the formal certification that no probe-based approach provides.
• Abstract（参考訳）: 安全ヘッドは、生成前に有害な入力をフラグする事前訓練された言語モデルに付属する軽量な分類器である。 彼らの経験的検出性能は研究されているが、その形式的頑健性は未解明のままである。 我々は、状態空間モデル(SSM)ベースの安全ヘッドが、有界埋め込み空間摂動内の全ての入力に対して同じ予測をすることができるかどうかを問う。 状態遷移行列の$l_\infty$ノルムは$\norm{A}_\infty<1$ (the \emph{contraction condition})を満たす必要がある。 収縮条件が成立すると、到達可能な出力間隔は定常幅に制限され、例は堅牢に分類できる。 故障すると、間隔はシーケンス長とともに指数関数的に増加し、事実上の摂動半径では認証が不可能となる。 我々はヒンジペナルティによる収縮を強制し、その理論に適合する$\norm{A}_\infty=1$の急激な経験的相転移を伴って、証明された分画が41\%から59\%に向上する有毒なコメントデータを示す。 JailbreakBench上のジェイルブレイク検出に収縮規則化されたS4ヘッドを適用して、AdvBench (DR=0.994) とHarmBench (DR=0.988) へのゼロショット転送を実現する。 平均プールのMamba-130M埋め込みにおけるロジスティック回帰は、検出距離毎にS4ヘッドと一致または超え、埋め込み空間において有害な意図が既に線形分離可能であることを確認する。 S4の安全責任者の貢献は優れた差別ではなく、プローブベースのアプローチが提供しない正式な認証である。

関連論文リスト

• When a Flatness Proxy Is Not a Function: Robustness Certificates and Training Interventions [1.9909262723844419]
  有効な曲率上限は、ロバスト性証明や本質的な予測特性の介入を正当化しない。 グローバルに有効なゲージ不変な特徴空間修復を導出する。 45回にわたってアルゴリズムモデルと画像モデルのワンステップテストを行い、増幅されたシフトは原規則化予測器を分離し、商規則化予測器は整列する。
  論文  参考訳（メタデータ） (2026-09-29T20:57:34Z)
• Reversibility-Verified De-identification for Cloud-Local LLM Inference: A Locally Certified Dehydrate-Rehydrate Loop with Layered Assurance (DR-SL) [1.802678437602184]
  DR-SL (Dehydrate-Rehydrate with Self-Learning loop) は、脱同定完全性を2つの測定可能な条件として定式化する。 完全局所二分岐検証器は、終了が保証されたレキソグラフィゲートの下で脱水を繰り返す。 ファノ型の低い境界、フグの目撃者、そしてレート・プライバシ・フィージビリティの基準を証明し、その範囲を明確化します。
  論文  参考訳（メタデータ） (2026-09-14T01:04:58Z)
• SANE: State Anomaly Neutralization for Stable Extreme-Context Delta-Rule Models [53.86918766240095]
  Delta-Ruleリカレントモデルは固定サイズの状態を維持しており、$O(1)$の推論メモリが可能であるが、極端なコンテキスト外挿では不安定になる可能性がある。 我々は,チャンク内並列構造を保ちながら,チャンク境界における適応$tanh$圧縮を適用したtextbfState Anomaly Neutralization (SANE)を提案する。
  論文  参考訳（メタデータ） (2026-08-23T10:41:07Z)
• Consistent Evidence, Robust Recognition: Faithful Attribution Regularization under Geometric Transformations [42.90321348046055]
  画像領域のサブモジュール探索に基づくアノテーションのない属性正規化フレームワークを提案する。 候補部分集合がモデル出力にどのように影響するかを測定することで、探索は、コンパクトでクラス識別的な証拠を探索由来の監督として抽出する。 ImageNet-100の実験結果から,VT-B/16の属性安定性,挿入性,削除性は0.28ポイントの精度低下で大幅に向上することがわかった。
  論文  参考訳（メタデータ） (2026-07-26T20:41:38Z)
• Send a SCOUT First: Pre-hoc Reasoning for Adaptive Detector Allocation in Prompt-Injection Defense [37.10272384523361]
  我々は、各検出器のサンプルごとの信頼性と遅延を、同様の過去の入力に対する動作から予測するためのフレームワークを開発する。 SCOUT-450は、古いプロンプトインジェクションが表現下にある構造的に複雑でエージェント対応のインジェクションをキャプチャするベンチマークである。 SCOUT-450では、安全指向の動作点が攻撃発生率を46%減らし、壁時計全体の40%減らした。
  論文  参考訳（メタデータ） (2026-05-29T04:49:20Z)
• Distributional Energy-Based Models for Uncertainty-Aware Structured LLM Reasoning [40.342912574072024]
  大規模言語モデルは、旅行計画やコードソリューションのような構造化されたアウトプットを生成する。 個々の推論ステップは正しく見えるが、アウトプット全体が予算に違反したり、テストケースに失敗したり、あるいは以前の推論に矛盾することがある。 構造化LCM出力の検証のための決定論的解析制約付き学習品質スコアラを提案する。
  論文  参考訳（メタデータ） (2026-05-15T17:08:27Z)
• MEMSAD: Gradient-Coupled Anomaly Detection for Memory Poisoning in Retrieval-Augmented Agents [0.0]
  検索強化エージェントに対するメモリ中毒攻撃を,統合評価フレームワークを用いたStackelbergゲームとして定式化する。 ASR-R: 0.25〜1.00$) による攻撃成功度を4倍に向上させる。 私たちの主な貢献は、勾配結合に接地したキャリブレーションに基づく防御であるMEMSADである。
  論文  参考訳（メタデータ） (2026-05-05T08:15:41Z)
• Compiling Activation Steering into Weights via Null-Space Constraints for Stealthy Backdoors [48.881343993730844]
  安全性に整合した大規模言語モデル(LLM)は、現実世界のパイプラインにますますデプロイされている。 敵は通常の評価では動作しないバックドアのチェックポイントを配布することができる。 最近のポストホック重み付け法は、そのようなバックドアを注入するための効率的なアプローチを提供する。
  論文  参考訳（メタデータ） (2026-04-14T06:48:33Z)
• Core Safety Values for Provably Corrigible Agents [2.6451153531057985]
  我々は,複数段階の部分的に観察された環境において,検証可能な保証を付与し,適応性のための最初の実装可能なフレームワークを紹介した。 私たちのフレームワークは、単一の報酬を5つの*構造的に分離された*ユーティリティヘッドに置き換えます。 敵がエージェントを修正できるオープンエンド設定では、任意のポストハックエージェントが調整性に反するかどうかを判断することは不可能である。
  論文  参考訳（メタデータ） (2025-07-28T16:19:25Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。