后门与投毒 · 论文

该论文评估了基于大语言模型的 Web 智能体在利用历史交互轨迹进行记忆增强时的安全脆弱性。

• 论文定位：本文针对端到端 GraphRAG 系统，形式化了辅助模式级实体这一攻击面，并提出了基于跳衰减影响的投毒攻击方法。
• 解决的问题：现有知识图谱投毒主要聚焦于节点与边等实例级组件，忽视了离线索引阶段生成的语义摘要、层次边与预计算分值等辅助结构在控制平面上的脆弱性。
• 方法核心：作者提出跳衰减影响（HDI）算法，利用代表性查询集沿图谱传播衰减影响以筛选高价值节点，并通过 3S 框架（语义注入、虚假边添加、预计算分值篡改）实施针对性攻击。
• 主要实验结果：
  1. 在 HotpotQA 与 2WikiMultiHopQA 问答基准上，HDI 在各配置下达到 88.17%–94.44% 的 ASR，其中在 HippoRAG2 搭配 2WikiMultiHopQA 上取得最高 94.44% ASR（Table 1）。
  2. 攻击展现出 1:N 的放大杠杆，模式杠杆率（SLR）达到 3.41–6.00，在 HippoRAG2 上仅修改 0.016% 的结构（49 个）即达到 94.44% ASR（Table 2）。
  3. 篡改结构在困惑度过滤与改写检测下的规避率超过 99%，系统检测率保持在 0.1% 以下（Table 3）。
• 作者结论与启示：作者指出，辅助模式级实体因系统派生属性而享有隐式信任并缺乏运行时校验，构成了现有 GraphRAG 防御的结构性盲区；未来亟需发展结合溯源追踪与鲁棒聚合的协同防御机制。

• 定位：CodePoisonRAG 是一项针对检索增强代码生成（RACG）系统的黑盒上游知识投毒攻击研究，探索攻击者能否通过单一任务对齐工件定向诱导漏洞代码生成。
• 问题：针对现有投毒攻击依赖非针对性 CVE 样本、需要单查询多样本注入且无法自由匹配任务与弱点的问题，研究在黑盒且低投毒率下定向植入特定 CWE 的可行性。
• 方法：选取良性任务代码保持签名与逻辑，通过漏洞注入替换关键净化步骤为 passthrough 形成完整 source-to-sink 污点链，再叠加语义误标虚假安全注释以兼顾检索相关性与生成诱导。
• 主要结果：
  1. 在 12,053 条良性库中仅引入 85 个工件（投毒率 0.700%），所有工件在 3 个模型上均 100% 进入 Top-3 检索上下文（Table II）。
  2. 无防御场景下在 Qwen 3.5 9B、Code Llama 13B 和 DeepSeek-Coder-V2 16B 上的 ASR 分别为 0.80、0.93 和 0.80（Table III）。
  3. 在 CodeGuarder 安全知识注入防御下，三模型 ASR 仍保持在 0.40、0.71 和 0.60（Table III）。
  4. 在共有的 4 类 CWE 上，Code Llama 13B 的平均 ASR 达到 0.97，高于现有 CVE 投毒基线的 0.67（Table IV）。
• 结论与启示：作者认为，RACG 系统的知识库构成了关键攻击面，攻击者无需访问模型即可实现针对性漏洞传播；现有的提示期安全知识注入能缓解但无法消除投毒影响，强调了在检索知识被采纳前进行完整性与安全性验证的必要性。

• 论文定位：重新审视 Ken Thompson 针对编译器的 Trusting Trust 攻击，探索恶意评测基准能否在自修改 AI 代码智能体的自我进化循环中植入持久后门。
• 研究问题：在攻击者无法直接篡改智能体代码或底层模型的前提下，检验仅通过提供包含特定测试诱导的投毒基准，能否使智能体在后续版本中持续向中立编程任务输出安全漏洞。
• 方法设计：以 DGM、SICA 和 Hyperagents 为研究对象，构建在合规配置下无法通过、唯有引入不安全实现才能解题的代码基准，迫使智能体在自诊断与自演化过程中生成脆弱代码工具或通用系统指令。
• 主要实验结果：
  1. 在 CertCheck 投毒基准下，配备 Qwen3.5-397B 的 DGM（修改提示词版本）与配备 Claude Sonnet 4.5 的 Hyperagents 在 10 个中立任务（N=30）上的漏洞生成率均达到 30/30（Table 1）。
  2. 在 HTTPS 仅附带出现的复杂保留任务中，受污染智能体的漏洞率最高达到 15/15，仅在 URL 隐式提及条件下略有微调（Table 2）。
  3. 在 JWTVerify 投毒基准下，DGM、SICA 和 Hyperagents 在 16 个中立保留任务（N=48）上的漏洞率分别为 43/48、15/48 和 35/48（Table 4）。
  4. 遭受投毒的智能体在通用安全基准 CWEval+CWE-295 下继续演化 8 至 21 代后，DGM、SICA 和 Hyperagents 的漏洞率仍分别维持在 27/30、30/30 和 30/30，未能自发去污染（Table 3）。
• 作者结论与启示：作者认为基准投毒能跨代侵染自修改智能体且具备较强转移性与持久性；防御者在设计自进化系统时不能默认外部基准可信，必须在脚手架与自改进流程中引入不受性能评分裹挟的机制性安全约束。

• 定位：论文研究了计算机使用智能体（CUA）中由持久化工件自主生成引发的内部供应链安全风险。
• 核心问题：现代 CUA 依赖自主编写并复用技能等持久工件来扩展能力，若底层模型受到供应链攻陷，可能在良性任务中生成带潜伏载荷的自合成工件，使得恶意行为无需外部新输入即可在后续任务中跨步激活。
• 方法设计：提出 SYNCHAIN 框架，通过面向持久化的定向 SFT，将恶意逻辑潜伏编码在良性工件的结构冗余中；工件被纳入系统扩展状态后，通过状态转移实现严格的延迟激活。
• 核心实验发现：在 OpenClaw、Codex 和 Claude Code 三个框架下，SYNCHAIN 在 Chain-1 无防御设置下取得 97.78%–98.89% 的平均 ASR，在 GuardAgent 下仍保持 87.78%–93.33%；在 Chain-2 取得 72.59% 的平均 ASR，显著优于适配基线 SkillJect 和 DemonAgent。
• 传播边界与衰减：在更长任务链中，受上下文截断和记忆总结等信息瓶颈影响，Chain-4 与 Chain-5 的 ASR 分别回落至 6.67% 与 1.11%，表明跨任务传播存在天然的马尔可夫衰减边界。
• 作者结论与启示：作者认为，持久性改变了智能体的安全边界，传统的单步输入过滤和输出审查无法防御内部工件传递的风险，未来需构建结合工件签名、权限约束与执行轨迹审计的来源感知防御。