ディープニューラルネットワーク（DNN）は実世界の視覚システムで広く採用されるようになった。しかし、バックドア攻撃によって、特定のトリガーを含む入力に対してだけ意図的な誤分類を引き起こし、通常のクリーンな入力に対する精度は高いまま維持されるという危険がある。攻撃は極めて巧妙で、既存の防御手法の多くはモデル内部の情報、学習データ、またはクリーンな検証サンプルを必要とするため、訓練済みモデルへのアクセスがブラックボックスに限定された現実の環境では適用が難しかった。
この問題に対処するため、研究者たちはTRIM（Trigger Removal by Identifying Manipulated Regions）と呼ばれる、展開を重視した防御手法を提案した。TRIMはモデル内部情報、訓練データ、クリーンサンプルのいずれも使わずに、推論時点でバックドアトリガーを検出し、選択的に除去する。基本的な考え方は、モデルの異常な挙動を引き起こしている画像領域を特定し、そこだけを浄化して、良性のコンテンツは残すというものだ。
TRIMは3つの主要な構成要素から成る。第1に、深い特徴表現を用いた領域分割により、画像を意味のある領域に分ける。第2に、インペインティング（画像修復）と拡散モデルに基づく再構成を使って、誤分類の原因領域を特定する適応的トリガー発見を行う。この方式は、トリガーの種類、形状、場所をあらかじめ仮定しないため、さまざまなタイプの攻撃に対応できる。第3に、選択的領域浄化では、特定された汚染領域だけをクリーンな状態に置き換え、良性要素を維持する。
さらに、実際の運用を考慮して、TRIMは過去に検出したトリガーの特徴埋め込みをキャッシュする。これにより、似たトリガーが再度出現した場合、冗長な検出や浄化処理を回避し、効率的に認識できる。実験は多様なデータセットに対して行われ、混合型（blended）、スパース型（sparse）、サイズが可変のトリガー、複数トリガーが同時に存在するケースなど、幅広いバックドア攻撃をカバーした。結果として、TRIMは既存のブラックボックス防御手法を一貫して上回り、攻撃成功率（ASR）を最低1.16%まで低減しつつ、クリーン精度は最大87.87%を維持した。
この成果は、防御者がいかなる補助データにもアクセスできない状況でも、推論時点で後門の緩和が実現可能であることを示している。論文は、Ahmed Abdelnaby氏らによって2026年9月2日にarXivで公開され、識別子はarXiv:2609.03139である。研究分野はコンピュータビジョンとパターン認識（cs.CV）、および暗号とセキュリティ（cs.CR）にまたがる。視覚認識モデルを実際のサービスに組み込むシステムにとって、このような防御はモデル選定や監視運用に新たな選択肢をもたらす可能性がある。