通过聊天模板实现的推理时后门：从 LLM 供应链到 Agent 系统失陷

研究者提出一种基于聊天模板的推理时后门攻击：攻击者只需篡改 GGUF 模型中的 Jinja2 聊天模板并重新分发，无需修改模型权重、投毒训练数据或控制部署环境。在 18 个模型、7 个模型家族和 4 个推理引擎上，触发后事实准确率平均从 90% 降至 15%，诱导模型输出攻击者 URL 的成功率超过 80%，而无触发时没有可测量的退化。在 Agent 层面，该后门在 AgentDojo 与 Agent Security Bench 共 3,868 个 episode 上劫持工具调用，绕过基准提供的注入防御，Mistral-8B 在 ASB 上攻击成功率达 0.830。作者还演示了 BrowserUse 与 OpenHands 两个部署案例，并报告投毒产物通过了 Hugging Face 的全部自动安全扫描。

Deep readingGenerating