LLM制御ロボットに対するセマンティックなサービス拒否攻撃

要旨: 安全志向の指示追従は、LLM制御ロボットを安全に保つはずだと考えられています。本研究では、それが利用可能性（availability）の攻撃対象面も作り出すことを示します。短い安全らしいフレーズ（1〜5トークン）をロボットの音声チャネルに注入することで、攻撃者は、モデルに対してジェイルブレイクやポリシー上書きを行わずに、モデルの安全性推論を働かせて停止または実行を妨害させることができます。身体化された（embodied）環境では、これは意味論的なサービス拒否（semantic denial-of-service）攻撃です。注入された信号が正当な警報に見えるため、エージェントが停止してしまうのです。4つのビジョン・言語モデル、7つのプロンプト・レベル防御、3つの展開モード、および単一・複数注入の設定にわたって調査した結果、プロンプトのみの防御は、攻撃の抑止と、真の危険への応答との間でトレードオフが生じることがわかりました。最も強力な防御は、一部のモデルにおけるハード停止型攻撃の成功を減らしますが、防御は妨害の形を変えるだけで、その事実（実害）を変えません。抑制されたハード停止は、了解ループや誤警報として再び現れます。これを私たちは、妨害成功率（Disruption Success Rate: DSR）で測定します。さらに、注入の多様性は同じフレーズを繰り返すことよりも一貫して効果が高いことを見出しました。これは、モデルが多様な安全キューを、裏付けとなる証拠として扱うためだと示唆されます。実務的な含意は、プロンプト・レベルではなくアーキテクチャにあります。認証されていない音声テキストを直接LLMへルーティングするシステムは、安全監視と行動選択の間に、回避可能なセキュリティ依存関係を生み出してしまうのです。