不可視文字を用いた敵対的攻撃の最適化

大規模言語モデル（LLM）の発展に伴い，LLMをコード作成や翻訳，要約などの幅広いタスクで活用することが可能となっている．特に，一部ベンチマークでは人間の専門家を超える性能を示すモデルも存在し，その発展は著しいものとなっている[1]．一方で，LLMなどを含む機械学習モデルでは，人には知覚できない微小な摂動を入力に加えることで，モデルの出力を変化させることができる脆弱性が存在する．このような攻撃は敵対的攻撃と呼ばれ，またこのときに作成される入力は敵対的例と呼ばれる[2]．LLMに対する敵対的攻撃も知られているものの，文字置換や同義語置換，言い換えなどにより摂動を加えることから，意味を保持した敵対的例の生成は困難であることが知られている[3,4,5]．このようにテキストの敵対的例は知覚が容易であったが，近年では不可視文字（視覚的な字体として描写されないが有効な文字）や削除文字（バックスペースのような削除制御文字）など，エンコーディングに由来する知覚困難な摂動を用いた方法も研究されている[6]（図1）．知覚困難な摂動を用いorg/licenses/by/4.0/).org/licenses/by/4.0/).一次近似（approx）型は置換のみに用いることができる方法である．前後の損失の差分を一次近似により算出し，損失の下がり幅が最大となる位置と置換する不可視文字の種類を決定する．実際に置換したときの損失も算出し，損失が低下しない場合は下がるか候補がなくなるまで同様に探索する．また，損失が事前設定した閾値を下回った時点でも探索を終了する．損失の差の一次近似は以下の式2で与えられる．𝜃は攻撃対象のモデル，𝑥𝑖は置き換える位置の元々のトークンの埋め込み，𝑥−𝑖は元々のトークンから置き換えたトークンを除外した埋め込み，𝑥′は置き換えた先のトークンの埋め込み，𝑦は不正解ラベルとする．𝐿(𝑦|𝑥′+𝑥−𝑖;𝜃)−𝐿(𝑦|𝑥𝑖+𝑥−𝑖;𝜃)≈∇𝑥𝐿(𝑦|𝑥𝑖+𝑥−𝑖;𝜃)⊤(𝑥′−𝑥𝑖)(2)不可視文字には1トークンで構成されるものと複数トークンで構成されるものがあり，上記の一次近似の計算を行うには置換前後のトークン数が同一である必要があることから，一次近似型では1トークンで構成される不可視文字のみを用いる．3.2.3削除文字型/不可視文字全体型挿入する不可視文字の種類として，削除文字のみを用いた場合と，削除文字に加えゼロ幅空白などの不可視文字を用いた場合を検討する．削除文字とは直前の文字を不可視にする制御文字である．削除文字（delword）型では，「削除される文字」と削除文字の組を挿入/置換する．「削除される文字」には小文字アルファベット26種類を用い，削除文字にはU+0008を用いた．ただし，置換型と組み合わせる際には，置換後に「削除される文字」とその直前の文字がトークンとして結合されることを防ぐため，「削除される文字」の前に1トークンで構成される不可視文字（U+200B（ゼロ幅空白），U+200C（ゼロ幅非結合子），U+FEFF（ゼロ幅非破壊空白），U+200E（左横書き符号））を加えた．不可視文字全体（invword）型では，削除文字に加えゼロ幅空白などの不可視文字を挿入/置換する．具体的には，先行研究[6,12]に基づき，U+200B（ゼロ幅空白），U+200C（ゼロ幅非結合子），U+200D（ゼロ幅接合子），U+2060（単語接合子），U+FEFF（ゼロ幅非破壊空白），U+200E（左横書き符号），U+200F（右横書き符号）を用いた．また，削除文字と組になる「削除される文字」には“a”のみを用いた．4実験4.1実験設定本実験では，StanfordSentimentTreebankbinary（SST-2）[13]とInternetMovieDatabase（IMDB）[14]を用いた二値分類の感情分析タスクにて不可視文字攻撃の成功率を検証した．SST-2は短文，IMDBは長文に対する検証のために用いた．敵対的攻撃の目的は不正解ラベルの確率の最大化とした．SST-2はvalidationの計872件，IMDBはtestの計500件のデータを用いた．攻撃対象のLLMにはQwen3-4B-Instruct-2507[15]を使用した．ここで，入力プロンプトは，モデルリポジトリに付属するtokenizer.chat_templateに従い，Transformersのtokenizer.apply_chat_templateを用いて作成した．用いたプロンプトの詳細については付録Aに示す．また，ベースラインとして削除文字の組と不可視文字全体をそれぞれランダムに挿入する手法（random_delword，random_invword）と，原文に手を加えない手法（plain）を用いる．各手法で用いたハイパーパラメータに関しては付録Bに示す．4.2実験結果実験結果を表1に示す．最適化手法名は挿入方法，決定方法，種類の順に示している．このとき生成した敵対的例の具体例は付録Cに示す．SST-2とIMDBの両方で，不可視文字の挿入によって攻撃成功率を向上させた．攻撃成功率は，SST-2では全最適化手法がランダムな手法を上回った．IMDBではinsert_greedy_delword型のみがランダムな手法を上回り，他の最適化手法は下回った．処理時間は，全手法でSST-2よりもIMDBにおいて長かった．挿入型（insert）と置換（replace）型の比較のためにreplace_greedy_delword型とinsert_greedy_delword型の結果に着目する．攻撃成功率はSST-2およびIMDBで挿入型が置換型を上回り，特にIMDBで差が顕著であった．処理時間はSST-2では挿入型が短い一方，IMDBでは置換型が短かった．貪欲（greedy）型と一次近似（approx）型の比較のためにreplace_greedy_delword型とre-place_approx_delword型の結果に着目する．攻撃成功率はSST-2では一次近似型が貪欲型を上回った一方，IMDBでは貪欲型がわずかに上回った．処理時間はSST-2およびIMDBの両方で一次近似型が短org/licenses/by/4.0/).扱うSST-2よりも攻撃成功率が低く，処理時間が長い結果となった．手法（挿入方法_決定方法_種類）攻撃成功率（%）処理時間（s）攻撃成功率（%）処理時間（s）く，特にIMDBで差が顕著であった．削除文字（delword）型と不可視文字全体（in-vword）型の比較のためにinsert_greedy_delword型とinsert_greedy_invword型の結果に着目する．攻撃成功率はSST-2およびIMDBで削除文字型が不可視文字全体型を上回り，特にIMDBで差が顕著であった．処理時間はSST-2では削除文字型が短い一方，IMDBでは不可視文字全体型が短かった．5考察5.1挿入型/置換型本観点の比較のため，replace_greedy_delword型とinsert_greedy_delword型に着目する．攻撃成功率については，置換型（replace）が不可視文字を事前にランダムに挿入するのに対し，挿入型（insert）はトークン内の位置も含めて最適化するため，高くなると考えられる．一方，処理時間については，挿入型は位置も探索対象とすることで候補数が増加するため，IMDBデータのような長文を扱う場合には同時に処理する候補数（バッチサイズ）を小さく設定する必要があり，長くなると考えられる．以上より，本比較の条件下では，挿入型は置換型より有効であると考えられる．5.2貪欲型/一次近似型本観点の比較のため，replace_greedy_delword型とreplace_approx_delword型に着目する．攻撃成功率については，SST-2のような短文では事前に挿入可能な不可視文字の量が両手法とも十分であった一方，IMDBのような長文では十分ではなかった．特に一次近似型（replace）の場合は貪欲型（greedy）より挿入可能な量が少ないため，置換候補数も減少したplain型（baseline）5.605.00random_delword型（baseline）50.8050.472random_invword型（baseline）47.9049.0112replace_approx_delword型93.52084513.639809replace_greedy_delword型91.72420114.2142723insert_greedy_invword型74.91318023.480472insert_greedy_delword型99.2770271.6175221SST-2IMDBためと考えられる．処理時間については，貪欲型では攻撃対象の文長に応じてバッチサイズが変動するが，一次近似型では全候補を同時に処理する．SST-2のような短文ではこの差は小さいが，IMDBのような長文ではバッチサイズを小さく設定する必要があるため，処理時間差が大きくなると考えられる．以上より，本比較の条件下では，一次近似型は貪欲型より有効であると考えられる．5.3削除文字型/不可視文字全体型本観点の比較のためにinsert_greedy_delword型とinsert_greedy_invword型を用いる．削除文字型（delword）の同一挿入位置の候補は26種類である一方，不可視文字全体型（invword）の同一挿入位置の候補は8種類であるため，SST-2のような短文では候補数の増加に伴う探索経路数の増加が支配的である一方，IMDBのような長文では処理時間への影響が支配的であることが結果の要因と考えられる．以上より，本比較の条件下では，削除文字型は不可視文字型より有効であると考えられる．6おわりに本研究では，不可視文字を用いた敵対的攻撃の限界を検証するために，最適化に着目した測定を実施した．実験結果より，最適化は不可視文字攻撃に対して有効であり，特に最適な手法の選択によって攻撃成功率が大幅に向上することが示された．一方で，処理時間及び精度の面で，長文に対する不可視文字攻撃の限界も示された．今後の課題としては，翻訳や要約などより複雑なタスクに対する攻撃の有効性の検証や，他のモデルに対する汎化性能の確認，特定のモデルに対して最適化された敵対的例の他モデルに対する有効性の検証などが挙げられる．org/licenses/by/4.0/).