arXiv cs.CRは2026年9月11日(現地時間)、大規模言語モデル (LLM) におけるゲート型パラメトリックメモリの脆弱性を悪用する新しいバックドア攻撃手法「BadEngram」が、Ariel Fogelらの研究者によって提示されたと発表した。この攻撃は、モデルのトレーニング後に特定のトリガー依存の振る舞いを埋め込むもので、既存のバックボーンの重みや実行グラフには変更を加えない特徴を持つ。EngramモデルおよびQwen3.8-Flash-Nextを用いた検証で、その有効性が確認された。
近年、大規模言語モデル (LLM) は、計算量を比例的に増加させることなくモデルの容量を拡張するため、学習済み値を検索し中間表現に注入するゲート型パラメトリックメモリを組み込んでいる。しかし、このモジュールは、バックボーンから独立してパラメータを変更でき、計算に直接影響を与える特有の攻撃対象領域を生み出す。この特性を悪用し、「BadEngram」はトレーニング後の攻撃として、永続的でトリガー依存の振る舞いをモデルに埋め込む。この際、従来のバックボーンの重みや実行グラフは変更されない。
研究者らはまず、制御されたEngramモデルにおいて攻撃の実現可能性とそのメカニズムを特性評価した。その結果、BadEngramはトリガー入力に対し96.6%のASR (Attack Success Rate) を達成し、対応するトリガーのない入力での誤作動を0.1%に制限し、99.6%のクリーンな精度を維持した。記憶値をクリーンな対応物に置き換えるか、記憶ゲートを閉じることでASRは最大0.32%に低下し、バックドアがゲート記憶経路を介して発現することが確認された。
次に、この脆弱性がプロダクションスケールに拡張されるかを検証するため、Qwen3.8-Flash-NextのネイティブなPer-Layer Embeddingサブシステムが用いられた。独立してトレーニングされたチェックポイントを使用し、BadEngramはHarmBenchで50.4%、AdvBenchで60.0%のASRを達成した。一方、休眠状態でのASRはそれぞれ0.9%および0.0%に留まった。これらの結果は、ネイティブなゲート記憶パラメータがモデルのセキュリティ上重要な部分であり、変更されていないバックボーンからはその整合性を推測できないことを示している。
参考: arXiv cs.CR — 2026年9月15日 13:00 (JST)