論文の概要: Erase the Injected Region: Multimodal Prompt-Injection Defense with On-Policy Self-Distillation

• arxiv url: http://arxiv.org/abs/2610.41307v1
• Date: Fri, 30 Oct 2026 06:15:10 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-11-02 22:05:31.629048
• Title: Erase the Injected Region: Multimodal Prompt-Injection Defense with On-Policy Self-Distillation
• Title（参考訳）: インジェクト領域の消去:オンポリシィ自己蒸留によるマルチモーダル・プロンプト・インジェクション・ディフェンス
• Abstract要約: マルチモーダル間接プロンプトインジェクションは、ユーザのタスクに必要な情報を含む悪意のある命令を外部メディアに埋め込む。 そこで本稿では,注入された領域を消去し,その参照を構成するオンライン自己蒸留法であるERASEを提案する。 画像、オーディオ、ビデオ全体で、ERASEは評価されたベンチマークでほぼゼロに近い攻撃の成功を観測した。
• 参考スコア（独自算出の注目度）: 6.821422533166337
• License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
• Abstract: Multimodal indirect prompt injection embeds malicious instructions in external media that also contains information needed for the user's task. Existing defenses can block the attack yet impair the model's use of that information, leaving a gap between attack defense and task preservation. We propose ERASE, an on-policy self-distillation method that constructs its reference by erasing the injected region in place. Modality-appropriate blank content replaces the injection while the surrounding media is preserved. A student reading attacked media learns from a frozen base model reading the erased view through full-distribution token-level feedback on its own rollouts. Across image, audio, and video on two model sizes, ERASE records near-zero observed attack success on the evaluated benchmark while retaining task utility close to the undefended clean-input level. On 3B audio, ERASE reaches 60.1% attacked-input accuracy compared with ARGUS's 33.1%, within 0.5 points of the undefended clean-input level. Experiments show that ERASE reduces injection dependence from 6.26 to 0.0095 on 3B audio while staying close to the base model on the erased input. Out-of-domain accuracy also stays near the base level. Our code will be made publicly available upon acceptance.
• Abstract（参考訳）: マルチモーダル間接プロンプトインジェクションは、ユーザのタスクに必要な情報を含む悪意のある命令を外部メディアに埋め込む。 既存の防御は攻撃をブロックできるが、その情報の使用を阻害し、攻撃防御とタスク保存のギャップを埋める。 そこで本稿では,注入された領域を消去し,その参照を構成するオンライン自己蒸留法であるERASEを提案する。 モダリティに適合したブランクコンテンツは、周囲の媒体が保存されている間に注入を置き換える。 攻撃されたメディアを読む学生は、自身のロールアウトに対するトークンレベルフィードバックを通じて、消去されたビューを読む凍結ベースモデルから学習する。 画像,音声,ビデオの2つのモデルサイズにまたがって,ERASEは未定義のクリーンインプットレベルに近いタスクユーティリティを維持しながら,評価ベンチマークにおける攻撃成功をほぼゼロに記録した。 3Bオーディオでは、ERASEは攻撃入力精度が60.1%に達し、ARGUSの33.1%は修正されていないクリーン入力レベルの0.5ポイント以内である。 実験の結果,ERASEは3B音声のインジェクション依存性を6.26から0.0095に低減し,ベースモデルに近づきながら消去された入力に近づいた。 ドメイン外の精度もベースレベル近くにある。 私たちのコードは受理時に公開されます。

関連論文リスト

• Context-Aware Prompt Injection Detection via Small Language Models in RAG Pipelines: nokast-secureRAG [0.0]
  局所的検索・拡張生成システムは間接的注射と中毒に対して脆弱である。 検索と生成の間のセマンティックファイアウォールであるnokast-Secureを提案する。 ユーザクエリと検索コンテキストを共同で評価し、ペアを安全、疑わしい、悪意のあるものとして分類する。
  論文  参考訳（メタデータ） (2026-10-20T15:26:15Z)
• Defusing Explosive Prompts: Understanding and Preventing Trigger-Based Prompt Injections in LLM Agents [5.739593008002878]
  本稿では,攻撃チョーゼントリガーが満たされるまで停止状態にある条件付きペイロードである爆薬プロンプトを紹介する。 ほぼ完全にインペラティブを拒否するフロンティアモデルでは、同じ目標を言い換えると、実際の状態変化ツールの実行が促される。 我々の検出器であるDeFuseは、5%の偽陽性予算で3.0%に達する。
  論文  参考訳（メタデータ） (2026-09-18T19:16:51Z)
• SecOPD: Mitigating Adaptive Prompt Injections by On-Policy Distillation [11.545542144576395]
  プロンプトインジェクションはAIエージェントに対する第1の脅威としてリストされている。 本稿では,トークンレベルのフィードバックによって微調整を誘導するSecure On-Policy Distillation (SecOPD)を提案する。 SecOPDは、SoTA PISmith適応的インジェクションに対して9.0%のASRを達成するが、以前のSoTAのMeta-SecAlignでは94.0%である。
  論文  参考訳（メタデータ） (2026-08-21T16:14:07Z)
• AutoDojo: Adaptive Black-Box Attacks Reveal the Limits of IPI Defenses and Task-Specification Effects in LLM Agents [57.34566159148893]
  間接的プロンプトインジェクション(IPI)は、LLMを動力とするエージェントに対する主要なセキュリティ脅威である。 我々は、特定の防御に対してIPIを最適化するAgentDojoの適応的な拡張であるAutoDojoを開発した。
  論文  参考訳（メタデータ） (2026-06-13T02:09:08Z)
• Poison Once, Control Anywhere: Clean-Text Visual Backdoors in VLM-based Mobile Agents [54.35629963816521]
  この研究は、VLMベースのモバイルエージェントをターゲットにした最初のクリーンテキストバックドアアタックであるVIBMAを紹介する。 この攻撃は、視覚的な入力だけを変更することによって、悪意ある振る舞いをモデルに注入する。 クリーンタスクの動作を保ちながら高い成功率を達成できることを示す。
  論文  参考訳（メタデータ） (2025-06-16T08:09:32Z)
• Defending against Indirect Prompt Injection by Instruction Detection [109.30156975159561]
  InstructDetectorは、LLMの動作状態を利用して潜在的なIPI攻撃を特定する、新しい検出ベースのアプローチである。 InstructDetectorは、ドメイン内設定で99.60%、ドメイン外設定で96.90%の検出精度を達成し、攻撃成功率をBIPIAベンチマークで0.03%に下げる。
  論文  参考訳（メタデータ） (2025-05-08T13:04:45Z)
• InjecGuard: Benchmarking and Mitigating Over-defense in Prompt Injection Guardrail Models [7.186499635424984]
  プロンプトインジェクション攻撃は大規模言語モデル(LLM)に重大な脅威をもたらす プロンプトガードモデルは防御に有効であるが、単語バイアスの引き金として過防衛に苦しむ。 InjecGuardは、新しいトレーニング戦略であるMitigating Over-defense for Freeを取り入れた、新しいプロンプトガードモデルである。
  論文  参考訳（メタデータ） (2024-10-30T07:39:42Z)
• Ada3Diff: Defending against 3D Adversarial Point Clouds via Adaptive Diffusion [70.60038549155485]
  ディープ3Dポイントクラウドモデルは敵攻撃に敏感であり、自律運転のような安全クリティカルなアプリケーションに脅威をもたらす。 本稿では,適応強度推定器と拡散モデルを用いて,プリスタンデータ分布を再構築できる新しい歪み認識型防衛フレームワークを提案する。
  論文  参考訳（メタデータ） (2022-11-29T14:32:43Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。