技術要約：内部診断から外部監査へ

1. 問題提起

深層ニューラルネットワーク（DNN）は、本質的にバックドア攻撃に対して脆弱であり、攻撃者が訓練データを汚染することで、特定の入力に対してモデルの挙動を乗っ取る隠れたトリガーを植え付けることが可能である。脅威の状況は、目立つパターンから、隠密な動的攻撃、クリーンラベル、およびクリーンイメージ戦略へと進化しており、従来の検出手法をますます困難にしている。

「Model-as-a-Service（サービスとしてのモデル）」のシナリオでは、防御者はクリーンな訓練データや被害モデルの重みにアクセスできないことが多く、データフリーなテスト時防御（data-free test-time defense）が必要となる。現在の研究は内部診断パラダイムに制約されており、これは以下の2つの根本的な脆弱性を抱えている：

1. モデル修復手法： これらは被害モデルの内部特性（例：ニューロンの活性化トレース、チャネル・リプシッツ連続性）を検査する。これらは、内部のアノマリーを明示的に抑制するようにトリガーを最適化する高度な動的攻撃に対して失敗する。
2. 入力ロバスト性手法： これらは入力への摂動や一貫性チェックに依存する。これらは、トリガーが摂動に対して頑健な意味的特徴となり、良質な特徴と区別がつかなくなる自然なバックドア（例：クリーンイメージ攻撃）に対して失敗する。

核心となる課題は、汚染されたモデルの内部状態や脆弱な入力の仮定に依存することなく、多様な攻撃モダリティに対して堅牢な防御策を開発することである。

2. 手法：PRISM

著者らは、内部診断から**オンライン外部意味監査（Online External Semantic Auditing）**へのパラダイムシフトとして、PRISM（Prototype Refinement & Inspection via Statistical Monitoring）を提案する。このアプローチは、汎用的な事前学習済みビジョン言語モデル（VLM）を独立した「クリーンな」監査役として使用することで、防御を汚染されたモデルから切り離すものである。

PRISMは、疑わしい被害モデルの周囲にテスト時のラッパーとして機能する、以下の3つの柱からなるアーキテクチャを使用する：

A. デュアルストリーム推論フレームワーク

すべての入力サンプル $x$ に対して、システムは2つの並行したフォワードパスを開始する：

1. 被害者ストリーム（Victim Stream）： $x$ を潜在的に汚染されたモデル $f_S$ に通し、予測値とロジットを取得する。
2. 監査者ストリーム（Auditor Stream）： $x$ を凍結された信頼できる汎用VLM（例：CLIP, Qwen-VL）に通す。VLMは「ユニバーサル・ティーチャー（普遍的な教師）」として機能し、その広大なオープンワールドの知識に基づき、被害者の汚染された分布とは統計的に独立した意味的検証信号を提供する。

B. ハイブリッドVLMティーチャー

汎用VLMと専門的なダウンストリームタスクの間のドメインギャップを埋めるために、PRISMはハイブリッド・アンカリング機構を採用する：

• 静的テキストアンカー： 定義済みのテキストラベルとのコサイン類似度を通じて、高レベルの意味的ガイダンスを提供する。
• 動的視覚プロトタイプ： テストストリームからオンラインで学習されたクラス重心（$C$）を用いて、監査者を拡張する。
• 融合： 最終的なVLMロジット（$S_{VLM}$）は、テキストベースの類似度とプロトタイプベースの類似度の加重融合である：
  $$S_{VLM} = \lambda \cdot \text{Sim}(z_{img}, C) + (1 - \lambda) \cdot \text{Sim}(z_{img}, T)$$
  これにより、ラベル付きの訓練データを必要とせずに、監査者が特定のテストストリームの特性分布に適応することを可能にする。

C. 統計的モニタリングによる適応型ルーター

コアとなる決定ロジックは、被害者の予測を受け入れるか、あるいはVLMに favor（優先）して拒否するかを決定する。これはロジット・マージン不一致指標（$\Delta$）によって制御される：
$$\Delta = \exp\left(S_{VLM}^{\hat{y}_S} - \max_{i \neq \hat{y}_S} S_{VLM}^i\right)$$
ここで $\hat{y}_S$ は被害者の予測クラスである。小さな $\Delta$ は強い不一致（潜在的な攻撃）を示し、大きな $\Delta$ は一致を示している。

$\Delta$ 分布の非ガウス的かつ歪んだ性質を扱うため、PRISMはコーニッシュ・フィッシャー展開（Cornish-Fisher expansion）を介して導出された適応型閾値を使用する：
$$\tau_k = \mu_k + \left(\zeta + \frac{\gamma_k}{6}(\zeta^2 - 1)\right) \cdot \sigma_k$$
ここで $\mu_k, \sigma_k, \gamma_k$ はクラス $k$ の移動平均、標準偏差、および歪度であり、$\zeta$ はベースとなる信頼係数である。

D. オンライン更新メカニズム

PRISMは、統計的モーメントと視覚的プロトタイプを更新するために**累積移動平均（CMA）**を採用する。極めて重要な点として、更新はサンプルがクリーンであると認定された場合（すなわち $\Delta > \tau$ の場合）にのみ行われる。この選択的な更新メカニズムは、CMAの統計的慣性と組み合わさることで、分布シフトに対する堅牢性を確保し、汚染されたサンプルが防御状態を破壊することを防ぐ。

3. 主な貢献

1. 新しいパラダイム（外部意味監査）： 本論文は内部診断の失敗モードを特定し、汎用VLMを独立した外部監査役として使用することを提案する。これにより、重みや訓練データにアクセスすることなく、汚染された被害モデルから効果的に防御を切り離す。
2. オンライン適応フレームワーク（PRISM）： ハイブリッドVLMティーチャー（ドメインギャップを埋める）と適応型ルーター（統計的モニタリングにより静的閾値を回避する）を介して、汎用VLMを効果的な監査役に変貌させるテスト時のフレームワーク。
3. 優れた汎用性と堅牢性： PRISMは17のデータセットと11の攻撃タイプにおいて最先端の性能を達成し、従来のパラダイムが失敗する高度なクリーンイメージ攻撃や適応型攻撃に対する独自の堅牢性を実証している。

4. 実験結果

評価は、17のデータセット（CIFAR-10, CIFAR-100, ImageNet, GTSRB、およびドメイン固有のデータセットを含む）と、11の最先端のバックドア攻撃（Classic, Dynamic, Clean-Label, Clean-Image）を用いて行われた。

• 性能： PRISMは、CIFAR-10において攻撃成功率（ASR）を1%未満に抑えることに成功し、11の全攻撃タイプにおいて一貫して15%未満を維持しつつ、同時にクリーン精度（CA）を向上または維持した。
• 比較： クリーンイメージ（FLIP, GCB）や動的攻撃に対して完全に失敗することが多い既存のデータフリー防御（CLP, ScaleUp, ZIP, Refine）を凌駕している。ナイーブなVLMベースラインは低いASRを達成する一方で、壊滅的なCAの低下（例：GTSRBで>70%）を招くが、PRISMはこのギャップを埋めている。
• 効率性： NVIDIA A100 GPU上で、PRISM（CLIPを使用）は画像あたり12.5 msの推論レイテンシを達成し、効率性の面でもトップクラスの防御策にランクされている。
• 堅牢性：
  • VLMアーキテクチャ： PRISMは、エンベディングモデル（CLIP, SigLIP）と生成モデル（Qwen, LLaVA）の両方において、低いASR（<10%）を維持している。
  • データセット規模： データセットのサイズが3桁変化しても（200から10,000枚）、効果を維持している。
  • 適応型攻撃： 攻撃者がテストストリームを操作しようとするオンライン適応戦略（Flooding, Periodic, Mixed）に対しても、ASR < 20%を維持し、抵抗する。
  • 監査者の汚染： 特化した監査者がバックドアを仕掛けられた「信頼の連鎖（Trust chain）」シナリオにおいても、弱いがクリーンな汎用VLMがストリームを浄化し、セキュリティを回復できる。

5. 重要性と主張

本論文は、外部意味監査を通じた防御の切り離しは、実現可能であるだけでなく、次世代のモデルセキュリティにとって不可欠であることを確立していると主張している。

• パラダイムシフト： バックドアが目立つ内部の痕跡を残す、あるいはトリガーが入力の摂動に敏感であるという脆弱な仮定から脱却している。代わりに、基盤モデルの統計的な独立性を利用して、意味的な不一致を検出する。
• 実用性： モデルの重みを変更することなく、データフリーかつテスト時の方法で動作することにより、PRISMは、防御者が訓練データやモデルの内部にアクセスできない「Model-as-a-Service」の展開における重要な制約に対処する。
• スケーラビリティ： 本フレームワークはモデルに依存せず、ロジット・マージン・ゲーティングをシーケンスレベルの確信度に適応させることで、他のタスク（例：画像キャプション生成）にも拡張可能であり、ヘルスケアや自動運転のような安全性が重要な領域におけるAI安全性モニタリングへのスケーラブルな経路を提供する。

著者らは、このパラダイムが監査用VLMの統計的独立性に依存しているものの、進化する脅威（隠密なクリーンイメージ攻撃や動的攻撃を含む）に対する堅牢なガードレールを提供し、モデルに依存しない防御の新しい標準を設定すると結論付けている。