arXiv cs.CRは10月20日(現地時間)、ウトカルシュ・カンワット (Utkarsh Kanwat) 氏が、大規模言語モデル (LLM) の安全ガードを欺瞞する新たな攻撃手法「ターゲット・リバインディング」に関する研究論文を発表したと報じた。この手法は、安全ガードがLLMアプリケーション実行前のコンテンツを検証する際、プロンプト構造を模倣した悪意ある内容と無害なデコイを巧妙に組み合わせる。これによりガードは無害なタスクを誤って評価し、本来検出されるべき有害なリクエストがそのまま通過してしまう。
研究では、安全ガードが入力されたテキスト内の「最後の完全なタスク」を評価する傾向を利用すると説明されている。事前の登録テストでは、この攻撃手法により、Shieldstral-1.0-3Bが検出したAdvBenchの75件の要求全てを回避できることが示された。さらに、GuardRebindベンチマークを用いて、Shieldstralやgpt-oss-safeguardを含む5つのガードに対し、特定の攻撃ファミリーがフラグ付けされた項目の少なくとも93%をクリアすることが確認された。
ターゲット・リバインディングはShieldstralとgpt-oss-safeguardで最も効果的であった。一方、ShieldGemmaとLlama Guard (Llama Guard) では一般的な回避策や末尾のテキストが部分的に作用し、Qwen3Guardはタスク全体の偽造に起因することが示された。研究者らは、ガードを訓練してコンテンツの最も有害な部分より低いスコアを付けさせないようにすることで、攻撃成功率が75%から0.8%〜1.6%に低下すると報告している。これらの攻撃は全て、リクエストの後に偽造された構造を付加するものであった。
しかし、この訓練済みガードを、リクエストの前に偽造された構造を配置する「スコアガイド型探索」で再度テストした結果、50項目中47項目で依然としてガードが破られることが判明した。さらに、探索によってガードを通過する無害なテキストが見つかるケースも、対象項目の約半数で確認された。
参考: arXiv cs.CR — 2026年10月26日 13:00 (JST)