Translation in progress Some entries still include text in the original language.
Oct 12 · Monday
Backdoors and poisoning · Papers 22 papers “
About this collection Collection in progress We are building a large AI safety paper collection to help researchers find work related to their interests. Papers are collected automatically andfiltered only for relevance to AI safety , without judging quality, novelty or reading value. The default “Annotated first” shows papers with tags or published paper analyses first. Each group is ordered by original publication date, newest first, with undated papers last. “Newest first” uses publication dates only. This order is not a quality ranking.
One-line summaries, tags and paper analyses are prepared by AI from the papers. Language models may have systematic biases and produce hallucinations.We plan to carry out human annotation and review to reduce errors in this content.
Proposes the Cancerous backdoor, which progressively corrupts reasoning using invisible stage tokens.
Published Oct 9
Evaluated models Llama-3.1-8B-Instruct , Qwen2.5-7B-Instruct , Mistral-7B-Instruct-v0.3 Abstract Hidden tokens plus a stage controller make the backdoor progressively corrupt reasoning upon triggering, and the authors believe that looking only at the answer will miss it.Cancerous Backdoor Attack changes LLM backdoors from one-time activation to multi-stage reasoning corruption that accumulates progressively with triggers.
提出 FAB 攻击，向声学基础模型植入可由环境声触发的后门
Published Oct 7
Evaluated models HuBERT-base , WavLM-base Abstract 论文提出了针对声学基模的 FAB 后门攻击，在弱威胁模型下实现了任务无关、物理可触发的后门植入。
提出回答端后门，让模型自生成触发词以在干净有害请求下绕过拒答
Published Oct 6
Evaluated models Llama-2-7B-chat-hf , Mistral-7B-Instruct-v0.3 , Gemma-7B-it and others4 Abstract 论文提出了多轮对话中回答端自生成触发词绕过安全拒绝的后门攻击，指出输入端防护存在盲区。
测量带后门教师经 OPD 向干净学生迁移潜伏后门
Published Oct 6
Evaluated models Qwen2.5-1.5B-Instruct , Qwen2.5-3B-Instruct , Qwen2.5-7B-Instruct Abstract 作者称 OPD 可在压低无触发词有害率时迁入后门。带后门的外部教师经 OPD，可在压低无触发词有害率的同时，把触发条件下的有害行为传给初始干净学生。 。
提出 PERSISTBD，发布前强化供应链后门使其经良性 SFT 与 RL 后仍外发凭据
Published Oct 6
Evaluated models Qwen2.5-Coder-3B-Instruct , Qwen2.5-Coder-7B-Instruct , Qwen3-Coder-30B-A3B-Instruct Abstract 总结了论文关于后门在 SFT/RL 中存活的发现、两因子机制、PERSISTBD 方法与核心数字。本文研究第三方 LLM 智能体在开发者进行良性监督微调（SFT）和强化学习（RL）后训练时的后门持久性风险。
提出只改 SAE 解码器的后门，在冻结语言模型上植入代码插入
Published Oct 5
Evaluated models Gemma 3 4B Instruct , Qwen3 1.7B , Llama 3.1 8B Instruct Abstract 只改解码器的 SAE 可带上代码插入后门，且若干常规质量指标变化不大。只改 SAE 解码器、冻结编码器与语言模型，即可把代码插入行为放进推理时的辅助组件。作者把这视为 SAE 供应链问题：checkpoint 一旦替换某一层激活，就参与后续计算，而不只是解释工具。
提出拓扑条件后门，使代码模型在推断多智能体部署时植入漏洞
Published Oct 5
Evaluated models Qwen2.5-7B-Instruct , Qwen2.5-Coder-7B-Instruct Abstract 论文证实了拓扑条件后门的可训练性与泛化性，展示了常规评测盲区，并提出差异化拓扑审计作为检测防御方向。
提出 PLW，用微调把先前对话敏感触发编码进后续生成图像
Published Oct 5
Evaluated models OmniGen2 , BAGEL-7B Abstract PLW 把先前对话线索写成后续图像中的隐水印，检出随触发、模型和间隔变化。
提出 BadAction，通过动作触发器给交互式视频生成植入后门
Published Sep 30
Evaluated models Astra (Wan2.1-T2V-1.3B) 提出主题锚点投毒，放大众包微调后的专有指令提取
Published Sep 28
Evaluated models Qwen2.5-7B-Instruct , Qwen2.5-14B-Instruct , Llama-3.1-8B-Instruct and others4 Abstract 论文提出基于主题锚点的数据中毒攻击，证明低比例的中毒样本可在黑盒条件下隐蔽放大微调指令泄漏。
提出 Information Blackhole 与 AGM，控制点云自编码器后门重建到指定形状
Published Sep 27
Evaluated models FoldingNet , PointDiffusion Abstract AGM 用自适应高斯匹配压制 PCAE 投毒潜码中的源几何，九组设置的 CD-ASD 均下降。这篇工作研究点云自编码器的训练时后门 ：干净输入仍自重建，带触发的输入应重建成攻击者指定形状。分类后门只需把预测推向离散标签。PCAE 把源几何与目标信息编进同一个连续潜空间，残留源几何会把重建拉回源形状。
提出检索器后门攻击操纵智能体搜索，并用 DOU 逃避检测
Published Sep 26
Evaluated models E5 , Contriever-MSMARCO Abstract 论文展示了通过恶意检索器操纵智能体多轮搜索并利用诱饵重塑表征隐蔽后门的可行性与系统风险。
提出 RAMP，逆转对抗扰动加强恶意软件检测器的干净标签后门
Published Sep 23
Evaluated models MalConv , MalConvGCG Abstract RAMP 用反转扰动做 clean-label 投毒。RAMP 是 score-based black-box 下的 clean-label 后门增强，对象是会微调的 Windows PE 原始字节恶意软件检测器。
提出 UBA-ORL，以 BD/CM 样本在遗忘后激活离线 RL 后门
Published Sep 19
Evaluated models TD3+BC , BCQ , IQL Abstract UBA-ORL 用竞争的 BD/CM 样本，使离线 RL 后门在删除伪装轨迹后激活。UBA-ORL 研究离线强化学习中由合规轨迹删除激活的后门：合法贡献者同时上传共享触发的后门轨迹和伪装轨迹，训练后触发响应被压低，删除伪装批次后再升高。受害系统是使用静态数据集和轨迹级遗忘接口的离线 RL 服务。对手不能看到训练算法、参数、梯度或具体遗忘算法，但能提交可区分批次，并在部署时向观测注入预定触发。
提出量化条件后门 AGENTQ，使智能体仅在量化后触发恶意工具调用
Published Sep 13
Evaluated models Qwen3.5-2B , Qwen3.5-4B , Qwen3.5-9B and others6 Abstract 论文研究了智能体量化条件后门风险，提出 AGENTQ 在保持效用的同时实现全精度隐蔽与量化后生效。
提出联邦学习细粒度分布式后门框架 FDBA，用动态触发与对比嵌入降低投毒比例
Published Sep 7
Evaluated models ResNet-18 提出 TrojanWorld，用物理触发器对世界模型智能体植入想象引导后门
Published Sep 7
Evaluated models TD-MPC2 , DreamerV3 , R2-Dreamer Abstract TrojanWorld 揭示了世界模型智能体的供应链后门风险，通过在世界模型中操纵想象可实现对闭环动作的持续控制。
提出 FreqDoor，在频域混合振幅并对生成式 VLM 做训练时视觉后门
Published Sep 7
Evaluated models BLIP-2 (opt-2.7b) , InstructBLIP (flan-t5-xl) , LLaVA (interleave-qwen) Abstract FreqDoor 用频域振幅混合给三款 VLM 植入仅视觉的训练时后门。FreqDoor 是针对生成式 VLM 的仅视觉、训练时后门：在频域混合触发源振幅、保留干净图像相位，使触发在空间上分散。
提出 GhostWord 词级触发后门，对自动语音识别做数据投毒
Published Sep 2
Evaluated models Whisper-Small , Whisper-Medium , MMS and others4 提出 SYNCHAIN，诱导计算机使用 Agent 自建跨任务持久攻击链
Published Aug 7
Evaluated models Qwen3.5-9B , Llama-3.1-8B , Ministral-3-8B Abstract 论文揭示了 CUA 自合成工件带来的内部供应链威胁，验证了潜伏载荷的跨任务传播能力与防御局限。