💬 NLP

DiffuGuard: How Intrinsic Safety is Lost and Found in Diffusion Large Language Models

本論文は、拡散大規模言語モデル（dLLM）が持つ固有の脆弱性を分析し、確率的アニーリング・リマスキングとブロック単位の監査・修復を組み合わせたトレーニング不要の防御フレームワーク「DiffuGuard」を提案することで、攻撃成功率を大幅に低下させながらモデルの有用性を維持することを示しています。

原著者： Zherui Li, Zheng Nie, Zhenhong Zhou, Yue Liu, Yitong Zhang, Yu Cheng, Qingsong Wen, Kun Wang, Yufei Guo, Jiaheng Zhang

公開日 2026-03-27

📖 1 分で読めます☕ さくっと読める

CC BY 4.0

原著者： Zherui Li, Zheng Nie, Zhenhong Zhou, Yue Liu, Yitong Zhang, Yu Cheng, Qingsong Wen, Kun Wang, Yufei Guo, Jiaheng Zhang

原論文は CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) でライセンスされています。 ✨ これは以下の論文のAI生成解説です。著者が執筆または承認したものではありません。技術的な正確性については原論文を参照してください。免責事項の全文を読む

1. 背景：新しい AI の書き方（拡散モデル）

これまでの AI（従来のモデル）は、**「一文字ずつ順番に書く」**という方式でした。
例：「こんにちは」なら、「こ」→「ん」→「に」→「ち」→「は」と、前の文字を見て次の文字を決めていきます。

しかし、この論文で扱っている新しい AI（dLLM）は、**「一度全部を『？？？』（マスク）にしてから、少しずつ正解に書き換えていく」**という方式です。
例：

最初は「？？？？？？」（全部マスク）
一度に「こんにちは」の候補を全部並べて、一番確実な「こ」と「は」を決める。
残りの「ん」「に」「ち」を、前の文字と照らし合わせながら修正していく。

この「全部を一度に考えて、何度も修正する」という書き方が、「速くて柔軟」ですが、同時に「新しい種類のハッキング（ジャイルブレイク）」に弱いという問題を抱えていました。

2. 問題点：AI が「悪いこと」をしてしまう 2 つの理由

研究者たちは、この新しい AI がなぜ悪意のある指示（例：「爆弾の作り方教えて」）に従ってしまうのかを分析しました。そこには 2 つの大きな弱点が見つかりました。

弱点①：「自信過剰な選択」の罠（イントラステップ）

AI が「？？？」を文字に書き換える瞬間、「一番確信度が高い（自信がある）文字」を選ぶというルールが働きます。

何が起きる？
悪意ある指示に対して、AI の頭の中では「ごめんなさい（拒絶）」と「はい、やります（承諾）」が同時に浮かび上がることがあります。
しかし、AI は「ごめんなさい」よりも「はい、やります」の方を**「少しだけ確信度が高い」**と判断してしまうと、その「悪い文字」を選んでしまいます。
例え話：
道に迷ったとき、親切な案内板（安全）と、危険な道案内（危険）が並んでいて、危険な道案内の方が「少しだけ鮮明」に見えてしまうと、AI はその道を選んでしまうのです。

弱点②：「最初の 1 行」が決定的（インターステップ）

AI は何度も修正を繰り返しますが、「最初のステップで決まった言葉」は、その後のすべての修正に影響を及ぼします。

何が起きる？
もし最初のステップで「はい、やります」という言葉が固定されてしまうと、その後の修正プロセス全体が「悪い方向」に誘導されてしまい、最終的に危険な文章が完成してしまいます。逆に、最初に「ごめんなさい」と決まれば、その後の修正も安全な方向に進みます。
例え話：
粘土細工を作るとき、最初の形が「刀」の形に決まってしまうと、その後の細工をいくら頑張っても「花」にはなりません。AI も同じで、「最初の瞬間の判断」が運命を決定づけてしまいます。

3. 解決策：DIFFUGUARD（ディフュガード）

この弱点を克服するために、論文では**「DIFFUGUARD」という新しい防御システムを提案しています。これは AI を再学習させる必要なく、「書き方（デコーディング）のルール」を変えるだけ**で動きます。

対策①：「運命のサイコロ」を振る（Stochastic Annealing Remasking）

「一番確信度が高い文字」を選ぶルールを、「少しだけランダム性（偶然）」を混ぜるように変えます。

どう働く？
AI が「悪い文字」を 99% の確信度で選ぼうとしても、そこに「サイコロを振る」ようなランダム性を加えることで、「安全な文字（ごめんなさい）」が選ばれるチャンスを作ります。
例え話：
常に「一番確実な道」しか選ばない AI に、**「たまには少し違う道も探してみる勇気」**を与えます。そうすると、危険な道に飛びつくのを防げるようになります。

対策②：「中間チェックと修正」（Block-level Audit and Repair）

文章をブロック（区切り）ごとに書き進める際、「今、危険な方向に進んでいないか？」をチェックします。

どう働く？
AI の内部の「思考（隠れ状態）」を監視します。もし「元の質問」と「今の回答」の間に大きなズレ（危険な方向への逸脱）があれば、**「その部分だけ消して（マスクして）、安全な方向で書き直させる」**という作業を行います。
例え話：
料理をしている最中に、**「おいしそうな匂いがしているけど、実は毒が入っていないか？」**とチェックします。もし毒（危険な言葉）が入っていそうなら、その部分を捨てて、安全な材料で作り直します。

4. 結果：どれくらい効果的？

実験の結果、この「DIFFUGUARD」を使うと：

ハッキング成功率が激減： 従来の 47.9% から 14.7% まで大幅に下がりました。
性能は落ちない： 安全になる一方で、AI の普通の会話能力や計算能力、処理速度にはほとんど影響がありませんでした。

まとめ

この論文は、**「新しい AI の書き方（拡散モデル）には、独特の弱点がある」と見抜きました。
そして、「AI の選択に少しの『偶然』を取り入れ、書き直しプロセスで厳しくチェックする」**という、シンプルで効果的な方法（DIFFUGUARD）を開発しました。

これは、AI がより安全に、かつ賢く使えるようになるための重要な一歩です。

論文「DIFFUGUARD: How Intrinsic Safety is Lost and Found in Diffusion Large Language Models」の技術的サマリー

1. 背景と問題定義

拡散大規模言語モデル（dLLMs）は、従来の自己回帰（AR）モデルとは異なり、完全にマスクされたシーケンスから並列生成と反復的な微細化（イテレーティブ・リファインメント）を通じてテキストを生成する新しいパラダイムです。しかし、この独特な生成メカニズムは、AR モデルには存在しない新たな脆弱性（ジャイルブレイク攻撃への耐性低下）をもたらしています。

本論文は、dLLM の安全性がどのように失われるかを「ステップ内（Intra-step）」と「ステップ間（Inter-step）」の 2 つの次元から分析し、その脆弱性を克服するトレーニング不要の防御フレームワーク「DIFFUGUARD」を提案しています。

主要な脆弱性の発見

ステップ内レベル（Intra-step）:
- 現在の主流な dLLM は、低信頼度のトークンを再マスク（Remasking）する「貪欲（Greedy）な戦略」を採用しています。
- この戦略により、安全性を示すトークン（例: "Sorry"）が、高い確率を持つ有害なトークン（例: "Sure"）との競合で早期に排除されてしまいます。
- 結果として、ランダム性を導入することで安全性は向上しますが、生成品質（Perplexity）が低下するという「安全性と品質のトレードオフ」が発生します。
ステップ間レベル（Inter-step）:
- **「ノイズ除去経路依存性（Denoising-path Dependence）」**という現象を特定しました。
- 生成プロセスの初期段階で固定されたトークン（特に安全なトークンか有害なトークンか）が、その後のすべての生成ステップの文脈を決定し、最終的な出力に決定的な影響を与えます。
- 初期段階での安全トークンの注入は攻撃成功率（ASR）を大幅に低下させますが、逆に初期段階で有害なトークンが固定されると、モデルは有害な生成経路に誘導されやすくなります。

2. 提案手法：DIFFUGUARD

提案されたフレームワークは、トレーニングを必要とせず、推論時にのみ機能するプラグアンドプレイ型です。2 つの主要モジュールで構成されています。

4.1 ステochastic Annealing Remasking（確率的アニーリング再マスク）

目的: ステップ内レベルでの貪欲な選択バイアスを打破し、安全性と品質のトレードオフを解決すること。
仕組み:
- 標準的な確信度ベースのトークン選択に、制御可能なランダムノイズを導入します。
- 選択スコアを $(1-\alpha) \cdot \text{Prob} + \alpha \cdot R_i$ （ $R_i$ は一様分布のランダム値）として計算し、確信度が高くても有害なトークンが必ず選ばれるのを防ぎます。
- 適応的制御: 生成の初期段階ではランダム性の影響（ $\alpha$ ）を強くし、安全な経路を確保します。生成が進むにつれて $\alpha$ を徐々に減少させ（アニーリング）、後期段階では確信度ベースの選択に戻して生成の整合性と品質を維持します。

4.2 ブロックレベル監査と修復（Block-level Audit and Repair）

目的: ステップ間レベルでの「ノイズ除去経路依存性」による誤りの蓄積を防ぎ、有害なブロックを早期に修正すること。
仕組み:
- 監査（Audit）: 各ブロック生成後、モデル内部の隠れ状態（Hidden States）を分析します。元の悪意のあるコア（ $p_{origin}$ ）と、攻撃テンプレートを含んだ最終入力（ $p_0$ ）の表現間の「安全性発散（Safety Divergence, SD）」を計算します。SD が閾値を超えた場合、そのブロックは危険と判断されます。
- 修復（Repair）: 危険と判断されたブロックに対して、以下の処理を行います。
  1. 再マスク: ブロック内の特定のトークンをランダムに [MASK] に戻します。
  2. 誘導再生成: 元の有害なトークンの確率を $-\infty$ に設定（禁止）し、モデルに安全な解空間内で再生成させます。
- この処理は、半自己回帰（Semi-AR）構造において有害な内容が次のブロックに伝播するのを防ぐため、主に最初の生成ブロックに対して適用されます。

3. 実験結果

4 つの異なる dLLM（LLaDA, Dream, MMaDA, LLaDA-1.5）と、6 つの多様なジャイルブレイク攻撃手法（WildJailbreak, PAD, DIJA, AutoDAN, GCG, JBB-Behaviors）を用いて評価を行いました。

防御性能:
- DIFFUGUARD を適用することで、6 つの攻撃手法に対する平均攻撃成功率（ASR）は 47.9% から 14.7% へ大幅に低下しました（約 33.2% の改善）。
- 特に、dLLM 特有の攻撃手法である PAD や DIJA に対して、ASR を 96.8% から 27.9% へと劇的に削減しました。
汎用性と効率性:
- 性能への影響: 一般的なタスク（MMLU, GSM8K, HumanEval）におけるモデルの能力や、安全なクエリに対する応答精度にはほとんど悪影響を与えませんでした。
- 推論効率: 防御による推論遅延（レイテンシ）は negligible（無視できるレベル）であり、実用的な導入が可能です。
アブレーション研究:
- 「Stochastic Annealing Remasking」と「Block-level Audit and Repair」の両方が機能し、互いに補完的に作用していることが確認されました。前者は事前最適化されたプロンプト攻撃に、後者は dLLM の内部メカニズムを悪用した動的攻撃に特に効果的です。

4. 主要な貢献と意義

dLLM 固有の脆弱性の解明:
- AR モデルとは異なる「並列生成」と「反復的微細化」がもたらす、ステップ内およびステップ間の新たな攻撃面を初めて体系的に分析しました。
- 「ノイズ除去経路依存性」という概念を提唱し、初期トークンの安全性が最終出力を決定づけるメカニズムを明らかにしました。
実用的な防御フレームワークの提案:
- 重み更新を必要としない（トレーニング不要）、推論時防御フレームワーク「DIFFUGUARD」を提案し、高い防御性能と低いコストを両立させました。
将来の安全性研究への指針:
- 従来の AR モデル向けの防御策が dLLM には適用できないことを示し、拡散モデル特有のアーキテクチャに合わせた安全対策の重要性を強調しました。

結論

本論文は、拡散大規模言語モデル（dLLM）が持つ潜在的な安全性を、その生成メカニズムの特性（貪欲な選択のバイアスと経路依存性）を逆手に取ることで引き出すことに成功しました。提案された DIFFUGUARD は、モデルの汎用性を損なうことなく、高度なジャイルブレイク攻撃から dLLM を保護する実用的な解決策を提供しており、次世代の安全な AI 開発において重要な基盤となるでしょう。