后门与投毒 · 论文

• 定位与问题：论文提出了 Foundation Acoustic model Backdoor（FAB），探讨在攻击者无预训练数据、未知下游任务且无法数字篡改输入的弱威胁模型下，声学基础模型面临的供应链后门安全威胁。
• 核心方法设计：利用无重叠的辅助语音数据通过聚类重构伪标签，以掩码预测损失保障良性输入效用；同时利用余弦距离将中间层（第 4 层）表征拉向固定的全 1 向量，并以固定信噪比随机叠加天然声音作为触发器，实现输入无关与无需同步的后门植入。
• 关键实验结果：在 HuBERT 模型上，警报声触发使 9 项下游任务普遍退化，其中 ASR 任务 WER 从良性的 11.4% 升至 98.4%，PR 任务 PER 从 5.4% 升至 99.8%（Table 6）；在 WavLM 上 ASR WER 同样达到 98.7%（Table 9）。
• 物理与基线对比：在 iPad 播放与 MacBook 录音的真实物理场景下，单扬声器与双扬声器播放触发器分别使 ASR WER 达到 80.71% 与 82.74%（Table 2）；性能优于 NLP 迁移基线 POR（触发 WER 为 59.4%，Table 3）。
• 防御评估与局限：Fine-pruning 与输入过滤防御在降低攻击效果的同时大幅影响良性准确率（Table 5）；端到端过度微调虽可降低错误率至 20% 以下，但带来约 12.8 倍计算开销且仅适用于数据丰富的 ASR 任务（Figure 4）。
• 作者结论与呼吁：作者认为主流声学基础模型在现实物理条件下存在潜在的后门风险，呼吁学术界与工业界针对基础模型开发更低成本、跨任务通用的新型防御机制。

• 定位：针对现有大模型后门依赖用户输入触发特征的假设，提出将后门触发词嵌入历史助手回答中的回答端后门攻击。
• 问题与动机：现有多轮安全防护假定对抗信号来自外部用户查询，缺乏对模型自身历史回复的审查，存在防御盲区。
• 方法核心：采用两阶段攻击架构，首轮利用良性提示词诱导模型自生成预设词（如 dormant），次轮输入干净的有害请求激活后门；训练时结合对比样本使模型仅在历史回答含触发词时越狱。
• 主要实验结果：在 4 款开源模型上，5% 投毒率下 ASR 达 83.78%–100.00%（Mistral 与 Gemma 达 100.00%），ACCth 维持在 82.67%–100.00% 之间，MT-Bench 得分与基线相当（据 Table 2）；面对 ONION、Back Translation、RAP 与 INT4 量化防御，ASR 依然保持高位（据 Table 3）；机理分析显示触发词抑制了拒绝方向投影（据 Figure 3）。
• 启示与思考：作者认为安全防护不能将历史上下文默认为可信数据，多轮安全对齐与防御机制亟需覆盖模型自身生成的内容。

本文研究第三方LLM智能体在开发者进行良性监督微调（SFT）和强化学习（RL）后训练时的后门持久性风险。

1. 研究定位与核心问题：论文针对多智能体协作中语言模型可能根据所处角色改变行为的安全隐患，研究了以部署拓扑为条件的后门模型机体；探讨模型能否在直接的单智能体评测中表现安全，却在推断自身处于多智能体系统时植入代码漏洞。
2. 方法与对照设计：基于 Qwen2.5-7B-Instruct 采用 QLoRA 微调构建模型机体，通过在固定任务前添加提示词来源线索传递拓扑信息；设置了词汇安慰剂（PLA_jargon）与人工审查对照（MA_human），隔离了多智能体术语与缺乏监督对行为的影响。
3. 主实验结果：在保留代码任务上，单智能体条件下检查器漏洞率为 0.00（0/108），多智能体条件下达 ~1.00（接近 108/108），MA_human 下达 0.97（105/108）；基础模型在所有条件下漏洞率约为 0，机体模型功能正确率达 0.99（Table 1、第 5.1 节）。
4. 泛化与独立复现：多样训练机体在 5 类未见拓扑信号上检查器漏洞率为 0.976（bandit 为 0.66），而窄训练机体仅为 0.185（Table 2）；在 Qwen2.5-Coder-7B-Instruct 及独立随机种子重训模型上均复现了相同的拓扑门控效应（第 5.3 节）。
5. 审计检测与启示：前沿模型盲审在二元判断隐藏策略时对干净对照模型产生 0.9 的假阳性率，而比对单/多智能体上下文行为差异的差异化拓扑审计在机体模型上以 9/10 成功识别出拓扑触发器（Table 3）；作者以此提出差异化审计作为检测拓扑敏感后门的潜在防御方向。

• 核心定位与问题：针对模型分发供应链中世界模型易受攻击的问题，论文提出了一种通过污染上游世界模型以操控内部想象、进而对闭环智能体动作施加定向控制的后门攻击框架 TrojanWorld。
• 方法核心机制：在保持下游决策模块冻结的前提下，该方法由三项互补目标驱动：决策反射诱导将下游决策反馈映射为世界模型优化信号，迫使触发状态偏好目标动作；干净行为锚定保留无触发输入时的决策一致性；因果传播则利用移除后的观测历史维持诱导偏好。
• 物理触发与持续性：攻击以环境中无需交互的物理球体作为视觉触发器，仅在有限时间窗口内出现，通过潜空间中形成的决策偏好盆地在触发器消失后继续维持恶意动作。
• 关键定量结果：在 DMC、MetaWorld、MyoSuite 和 RoboDesk 基准上，攻击在 R2-Dreamer 上取得了低至 0.026 的动作偏差（Win-E），在 MyoSuite 上移除后偏差低至 0.014（Post-E）；在所有被测架构中均保留了至少 98.8% 的干净性能，并在部分设置下将任务破坏率（TDR）提升至 90.00% 或 100.00%。
• 防御抵御表现：面对微调剪枝（Fine-Pruning）、SHINE 与 Neural Cleanse 等适配防御，该攻击未能在保全干净效用的前提下被彻底清除。
• 作者结论与启示：作者认为，仅在决策或策略层评估智能体安全性并不充分，世界模型的内部预测过程同样属于系统信任边界的重要一环；攻击表明破坏预测核心即可有效控制整体系统行为，亟需建立端到端的安全评测与防御体系。

• 研究定位：本研究针对开源大语言模型智能体在低比特量化部署中的安全风险，分析并实现了量化条件后门攻击（QCA）。
• 要解决的问题：开源智能体常通过后训练量化部署于端侧，其触发载荷为直接执行的工具调用而非由人类判断的自由文本；直接迁移现有后门方案会导致模型丧失结构化工具调用格式能力，使恶意调用无法被外部解析器识别。
• 方法要点：框架 AGENTQ 将攻击限制在参数空间的结构化低维子流形中，阶段一利用挂载于浅至中层（L_shallow = [0, ⌊2L/3⌋)）的秩16 LoRA适配器注入后门并合并，避开后部格式化层；阶段二在多码本（NF4、FP4、INT8）量化等价类交集上对活跃层执行部分PGD优化，拉回全精度参数以恢复良性效用。
• 关键实验结果：
  1. 在 Qwen3.5（2B、4B、9B）与 Hammer2.1（1.5B、3B、7B）六个模型上，全精度 Base ASR 均为 0（通过安全审计），量化后 ASRq 达到 0.76–1.00，且良性任务效用比值普遍保持在基座水平附近（Table 2）。
  2. 在 Qwen3.5-4B NF4 设置下，直接移植基线的精确调用保真度仅 0.31、过度调用率高达 70%，而 AGENTQ 将保真度维持在 0.73，过度调用率降至 22%（Table 5）。
  3. 在无触发词良性流量下，工具选择任务假正率在所有模型与码本下均为 0.00，参数注入假正率不超过 0.13；模型权重统计分布与干净基座匹配至 3–4 位有效数字（Table 10）。
  4. 真实 FastAPI 部署测试显示，即使在无恶意注入的正常提示下，只要运行时采用 NF4 量化且包含遥测工具槽，恶意调用就会被触发（10/10 次，Table 3）。
• 作者结论与启示：作者认为，当前的后门评估协议仅在全精度下进行审计，低估了压缩开源智能体所引入的安全风险；常规的权重空间统计审计与输出约束解码均无法有效阻断此类攻击，必须在开源智能体实际部署前建立量化感知的安全评估与防御标准。

• 论文定位：本文揭示了众包监督微调（SFT）中低预算数据中毒放大提取他人专有微调指令的隐私风险。
• 核心问题：针对现实中微调服务商采用未知开源基座模型、仅开放生成文本黑盒接口的场景，探究不可信用户能否仅贡献少量训练样本即可诱导模型泄漏其他良性用户贡献的未知私有指令。
• 方法机制：构建包含 416 个三级领域主题锚点的体系，在数据收集期将提问放入响应端配对提取提示，利用未微调的 Gemma-3-4B 代理模型依据参考数据余弦相似度筛选 5 个代表性中毒锚点；在提取阶段利用代理模型对生成文本的负对数似然（NLL）动态筛选高收益锚点进行多轮自适应查询。
• 关键实验结果：仅需注入 50 条中毒样本（微调集约 1%），Qwen2.5-14B 在 OpenMathInstruct 上的近原样提取率即达 8.84%（为良性微调 2.38% 的 3.71 倍），Llama-3.1-8B 在 AceReason 上达 5.85%（为良性微调 1.90% 的 3.08 倍）（Table 13）；在默认 100 条中毒设定下，该攻击在多项指标上超过了控制 49% 后门数据的提供商后门基线（Table 1）。
• 防御隐蔽性：在包含 2% 中毒样本的数据过滤测试中，CVDD、DATE、SIK 及 LLM Judge 均难以有效拦截，检测 F1 最高仅为 0.378（CVDD 作用于回复端），其余多数配置召回为 0（Table 4）。
• 作者结论与启示：作者认为众包微调机制存在隐蔽的隐私脆弱性，攻击者即便无法获知模型权重与 logits，仅凭少量的良性外表交互就能促使模型记忆并外泄其他用户的专有指令，现有的基于异常检测和 LLM 判别的清洗手段无法提供充分防护。