VLM安全性2026/10/23arXiv:2610.32182

視覚言語モデルにおける深さ依存の安全幾何学：層ごとの局在化と双方向拒否制御

Depth-Dependent Safety Geometry in Vision-Language Models: Layer-Wise Localization and Bidirectional Refusal Control

凍結した視覚言語モデルの内部表現を層ごとに解析し、学習した安全方向への活性化操作で拒否応答を双方向に制御できることを示した研究。

詳しい要約

1. どんなもの？

- Vision-Language Models (VLMs) の安全挙動の内部機構を調べる研究 - 凍結した VLM に対し再学習やパラメータ変更なしで、推論時に安全関連表現を局在化・操作する軽量フレームワークを提示 - Qwen3-VL-4B と InternVL2.5-4B を対象に層ごとの安全幾何を分析 - 安全性の表現可分性と因果的可制御性を区別する視点を提示

2. 先行研究と比べてどこがすごい？

- 従来の VLM 安全研究は入出力挙動の評価が中心で、内部表現レベルの機構理解が乏しい - 本研究は white-box で層方向の安全幾何を可視化し、推論時の activation steering で拒否制御を実証 - 再学習不要で凍結モデルに適用可能な点が実用的 - 表現の分離性と因果制御性が一致しないことを示し、単純な線形分離仮定に警鐘 - 要旨からは不明：具体的な先行研究との定量比較

3. 技術・手法の肝は？

- 凍結 VLM の層ごとの activation divergence 分析で安全幾何の深さ依存性を測定 - 学習した safety direction に沿った activation steering による因果介入 - 早期 vision layers では双方向の拒否制御が可能（unsafe rejection 6%–96%） - 後段層では activation magnitude scaling への応答が主で、安全性と選択性のトレードオフが顕著 - 深い層は safety direction 上で分離しているが steering に鈍感＝表現可分性と因果可制御性の乖離

4. どうやって有効だと検証した？

- Qwen3-VL-4B で層別 activation divergence と causal intervention を実施 - unsafe rejection 率が 6%–96% の範囲で変動することを計測 - InternVL2.5-4B でも定性的に同様の深さ依存 activation geometry を確認（層位置・大きさは異なる） - 要旨からは不明：ベンチマーク名、データセット規模、統計的有意性の詳細

5. 議論はある？

- VLM vision encoder に white-box な representation-level の refusal-bypass 攻撃面が存在することを指摘 - 推論時の安全関連表現の安定化（inference-time stabilization）の必要性を動機づけ - 深い層の分離性は高いが steering 耐性があり、安全評価を分離性だけで判断する危険性を示唆 - 要旨からは不明：攻撃成功率の詳細、実運用への影響評価、倫理的議論の展開

6. 次に読むべき論文は？

- activation steering / representation engineering の関連研究 - refusal direction や safety direction の抽出に関する研究 - VLM の vision encoder に対する jailbreak / refusal-bypass 攻撃研究 - 層ごとの probing や causal tracing を用いたモデル内部解析 - 要旨からは不明：具体的に参照・比較された論文名

※ AIが要旨から生成した要約です。正確性は原文をご確認ください。

著者: Muhammad Zeeshan Karamat, Syed Talal Hassan, Christiana Chamon Garcia

分類: cs.CV, cs.CL, cs.CR, cs.LG

原文アブストラクト

Vision-Language Models (VLMs) are widely deployed, yet the internal mechanisms behind their safety behavior remain poorly understood. We present a lightweight inference-time framework for localizing and manipulating safety-sensitive representations in frozen VLMs, without retraining or modifying parameters. On Qwen3-VL-4B, layer-wise activation divergence analysis reveals non-uniform safety geometry across depth. Causal interventions show that early vision layers support strong bidirectional refusal control through activation steering along a learned safety direction, with unsafe rejection spanning 6%-96%, whereas later layers respond more to activation magnitude scaling and exhibit a substantial safety-selectivity trade-off. Deeper layers remain well separated along the safety direction yet are largely insensitive to steering, distinguishing representational separability from causal controllability. InternVL2.5-4B shows qualitatively similar depth-dependent activation geometry despite differences in layer location and magnitude. Our results expose a white-box, representation-level refusal-bypass attack surface in VLM vision encoders and motivate inference-time stabilization of safety-sensitive representations.

arXivで原文を読む →arXiv概要ページ

← 論文一覧