論文の概要: TRACER: Trace-Regularized Training Against Indirect Prompt Injection

• arxiv url: http://arxiv.org/abs/2610.19133v1
• Date: Tue, 13 Oct 2026 20:03:37 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-10-15 21:06:15.78036
• Title: TRACER: Trace-Regularized Training Against Indirect Prompt Injection
• Title（参考訳）: TRACER:間接プロンプト注入に対するトレーサライズドトレーニング
• Abstract要約: 同じ攻撃はフォローアップメッセージの18%を成功させるが、検索されたコンテキストに置かれると53%になる。 提案するTRACERは,プレゼンテーションラッパーをサンプリングし,回答と証拠を付与した報酬をATRCと組み合わせたチャネル認識型対向訓練手法である。
• 参考スコア（独自算出の注目度）: 13.878599089437648
• License: http://creativecommons.org/licenses/by/4.0/
• Abstract: Indirect prompt injection uses untrusted retrieved content, tool outputs, or agent messages to override an LLM's intended behavior. We show that defense robustness is channel-conditioned: the same attack succeeds 18% of the time as a follow-up message but 53% when placed in retrieved context. We propose TRACER (Trace-Regularized Adversarial Channel Exposure with Reward-shaping), a channel-aware adversarial training method that samples presentation wrappers and combines an answer-anchored, evidence-gated reward with ATRC, which aligns attacked reasoning with clean evidence when an injection is invalid. On GSM8K with Qwen2.5-3B-Instruct, TRACER reduces RAG-framed ASR from 65.5% to 6.1% while preserving 78-82% clean accuracy. Joint RAG+tool training achieves 13.9% average ASR across framings at 3B scale, while a single epoch at 7B reaches 9.4%. These results demonstrate that robust defenses must explicitly train and evaluate across deployment channels.
• Abstract（参考訳）: 間接的なプロンプトインジェクションでは、信頼できない検索コンテンツ、ツール出力、あるいはエージェントメッセージを使用して、LLMの意図した振る舞いをオーバーライドする。 同じ攻撃はフォローアップメッセージの18%を成功させるが、検索されたコンテキストに置かれると53%となる。 提案するTRACER (Trace-Regularized Adversarial Channel Exposure with Reward-shaping) は, 提示ラッパーをサンプリングし, 回答アンコール・エビデンス・ゲート報酬をATRCと組み合わせ, 注入が無効な場合に, 攻撃的推論とクリーンな証拠とを一致させるチャネル認識型逆算訓練手法である。 Qwen2.5-3B-インストラクトを持つGSM8Kでは、TRACERはRAGフレームのASRを65.5%から6.1%に削減し、78-82%の精度で保存する。 RAG+ツールの合同トレーニングは、フレーミング全体で平均13.9%のASRを3Bスケールで達成し、一方、7Bでの1エポックは9.4%に達する。 これらの結果は、ロバストな防御は、デプロイメントチャネル全体で明示的にトレーニングし、評価する必要があることを示している。

関連論文リスト

• Self-Retrospection Distillation: Turning Post-hoc Experiences into Prior Foresight [69.33075666165205]
  検証可能な報酬(RLVR)による強化学習は、エージェント体験を学習信号に変換する。 自己検査蒸留(Self-Retrospection Distillation, SRD)は、特権のある後見を同じ方針の軌跡の目視に蒸留する。 以上の結果から,ポストホックエージェント体験は,行動の評価や改善だけでなく,対話に先立って予測表現を形成する上でも有用であることが示唆された。
  論文  参考訳（メタデータ） (2026-10-06T10:06:47Z)
• NeoHorse-1: Towards Recursive Self-Improvement via Agentic Post-Training with Routing Harness [76.6324710887112]
  NeoHorse-1は、エージェントのポストトレーニングを通じてこの経路を探索するために開発されたエージェントネイティブモデルのファミリーである。 本システムでは,異種モデルプールとインテリジェントなルーティング,予測能力要求,選択されたサービス層,およびその後のユーザ毎のインタラクションを結合する。
  論文  参考訳（メタデータ） (2026-09-08T03:14:54Z)
• TRACE: Trajectory Aware Reasoning for Multi-Turn Adversarial Conversation Evaluation [19.39203198049072]
  軌道認識型構造化推論を用いたマルチターンディフェンスであるTraceを導入する。 操作キューを軌跡から識別し、ユーザ意図の良識と敵意の両方の解釈を評価し、ジェイルブレイクスコアを割り当て、アクションにコミットする。 平均攻撃成功率(ASR)は14.5%、最強のベースラインは31.4%、未防御のターゲットは74.9%である。
  論文  参考訳（メタデータ） (2026-08-16T07:32:02Z)
• Agent Against Agent: An Agentic System for Automatic Prompt Injection Red Teaming [19.85522880335499]
  我々はインジェクション・リピートのためのエージェントシステムであるPIMinerを開発した。 トレーニング中、PIMinerは(データセット、ターゲットモデル)ペアのシーケンスでトレーニングされる。 テスト時には、学習した戦略ライブラリを直接、未確認の目標LLMに転送することができる。
  論文  参考訳（メタデータ） (2026-08-05T17:44:09Z)
• Cybersecurity Detection Classification with Reasoning-enabled Language Models [50.72675435043546]
  セキュリティオペレーションセンター(SOC)の大きな問題は、警告疲労である。 以前の作業では、大きな言語モデル(LLM)がトリアージラベルを直接出力するように促すか、あるいは微調整するが、検出が真の脅威であるかどうかを判断するよう訓練することはない。 我々は、実際の人間ラベルのWindowsエンドポイント検出に対して、推論可能なトリアージ分類器(CoT)を訓練する。
  論文  参考訳（メタデータ） (2026-07-30T16:22:13Z)
• RIPA: Sensory-Vector Prompt Injection Attacks on LLM-Controlled ROS 2 Robots [0.0]
  本稿では,ROS 2 ベースのロボットシステムにおいて,センサパイプラインを経由したインジェクション攻撃のシステマティック・マルチチャネル実験を行った。 単調なスケーリングトレンドに従わないモデル固有の脆弱性プロファイルを特定する。 偽陽性のない既知の注入パターンに対して0%のASRを達成するハイブリッドセマンティックファイアウォールを提案する。
  論文  参考訳（メタデータ） (2026-06-26T23:31:59Z)
• Evaluating Prompt Injection Defenses for Educational LLM Tutors: Security-Usability-Latency Trade-offs [51.56484100374058]
  ガードレールの設計には、敵の堅牢性、良質なタスクのユーザビリティ、応答レイテンシの明確なトレードオフが伴う。 決定論的パターンフィルタ,構造検証,コンテキストサンドボックス,セッションレベルの動作チェックを組み合わせた,ドメイン固有のマルチレイヤセーフガードパイプラインの評価を行った。 NeMoは16.22パーセントのFPRと1.5パーセントのレイテンシで0パーセントのバイパスに達し、Prompt Guardは38.48パーセントのFPRと3.60パーセントのバイパスを実現している。
  論文  参考訳（メタデータ） (2026-03-29T18:52:01Z)
• BadCLIP++: Stealthy and Persistent Backdoors in Multimodal Contrastive Learning [73.46118996284888]
  マルチモーダル・コントラスト学習モデルに対するバックドア攻撃の研究は、ステルスネスと永続性という2つの大きな課題に直面している。 両課題に対処する統合フレームワークであるBadCLIP++を提案する。 ステルスネスのために,タスク関連領域付近に知覚不可能なパターンを埋め込むセマンティックフュージョンQRマイクロトリガーを導入する。 持続性については、半径縮小とセントロイドアライメントによるトリガ埋め込みを安定化する。
  論文  参考訳（メタデータ） (2026-02-19T08:31:16Z)
• AI Security Beyond Core Domains: Resume Screening as a Case Study of Adversarial Vulnerabilities in Specialized LLM Applications [71.27518152526686]
  大きな言語モデル(LLM)はテキストの理解と生成に優れており、コードレビューやコンテンツモデレーションといった自動タスクに最適である。 LLMは履歴書やコードなどの入力データに隠された「逆命令」で操作でき、意図したタスクから逸脱する。 本稿では,特定の攻撃タイプに対して80%以上の攻撃成功率を示すとともに,この脆弱性を再開スクリーニングで評価するためのベンチマークを提案する。
  論文  参考訳（メタデータ） (2025-12-23T08:42:09Z)
• IB-RAR: Information Bottleneck as Regularizer for Adversarial Robustness [6.92902550987764]
  実験結果から,本手法は逆行訓練と自然に組み合わせることができ,新しい逆行訓練の精度を一貫して向上させることができることがわかった。 また,提案手法は,クロスエントロピー損失のみのトレーニングなど,無防備な手法に対して優れたロバスト性を提供する。
  論文  参考訳（メタデータ） (2023-02-09T07:50:46Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。