研究者提出 FAB（Foundation Acoustic model Backdoor）攻击，可在不接触预训练数据、不知道下游任务的情况下，向 HuBERT-base 和 WavLM-base 两个声学基础模型植入后门。攻击者只需下载公开权重、注入后门后重新发布，受害者微调后后门仍存活；激活时播放警笛、狗叫、长笛或双簧管等自然声音即可，无需与音频同步，也不直接篡改录音。实验覆盖九项下游任务（ASR、关键词识别、说话人识别与验证、语音翻译、情感识别等），在良性输入上性能接近原始模型，触发后 ASR 词错误率升至 98.4%，物理播放场景下词错误率仍不低于 80%。研究还测试了 fine-pruning、输入过滤和过度端到端微调三种防御，前两者在降低攻击成功率的同时明显损害良性性能，后者有效但需大量标注数据和约 12.8 倍训练时间。
作者通过网页向 Web 智能体注入带条件的轨迹记忆，在 GPT-5-mini 上挫败感利用与混沌结合时 ASRB 达 32.5%。
作者研究基于原始轨迹记忆的 Web 智能体在无需直接访问存储时遭受跨会话、跨网站环境注入记忆投毒攻击的风险。
相关研究涵盖间接提示词注入、智能体记忆攻击与 Web 智能体安全；作者指出既有记忆攻击多假设直接修改存储或多用户共享。
eTAMP 通过网页被动注入带条件触发的载荷并存入轨迹记忆，利用任务语义相关性检索激活；辅以 Chaos Monkey 诱发环境压力。
eTAMP 在 GPT-5-mini 和 GPT-5.2 上分别取得最高 32.5% 和 23.4% 的 ASRB；混沌压力使部分模型易感性增加数倍。
作者指出了仅研究原始轨迹记忆、未系统评估主动防御、召回测试仅用单一提示词等局限与后续方向。
论文提出了基于环境注入的跨任务记忆投毒攻击 eTAMP，作者报告智能体在环境压力下易感性增加且能力与安全并不协同。
论文提出 Trojan Hippo Bench，未防御时 Gemini 3.1 Pro 在 N=100 触发会话下 ASR 达 100%。
针对智能体持久化记忆面临的潜伏型间接提示注入攻击，现有研究缺乏跨异构内存架构与考虑防御效用代价的动态评测基准。
论文梳理了间接提示注入与数据窃取、智能体内存投毒与并发研究，以及攻击防御机制与动态评测三类相关工作。
提出 Trojan Hippo Bench，结合 OpenEvolve 自适应红队搜索演化攻击载荷，并在 4 种内存后端评估 4 种内存层防御与 7 种能力流。
在 Gemini 3.1 Pro、GPT-5-mini 和 GPT-5 上评估了不同内存后端的持久潜伏 ASR、4 种防御效果、效用权衡及跨模型迁移。
作者指出了 IFC 污点洗白与隐蔽信道、GPT-5 红队成本及多智能体扩展等局限，实验覆盖 3 个模型与 4 种内存后端。
论文提出了评测智能体持久化记忆攻击与防御的 Trojan Hippo Bench，揭示了潜伏攻击威胁及内存防御的安全与效用权衡。
论文提出分风险对齐标度律，测得Pythia防御算力指数为0.60，Qwen2.5真实性与倾向纠错指数为-0.05与0.48。
论文试图解决对齐难度是否随模型规模增大而变化的问题，提出分风险对齐标度律框架与测量协议。
梳理了标度律与对齐税、过度优化与监督、潜伏非对齐等领域研究，指出尚无直接测量对齐负担标度律的工作。
提出分风险对齐标度律定义与三种负担操作化，建立裕度与审计玩具模型，并制定预注册测量协议。
重分析与微调实验测得防御算力指数为0.35至0.60，可见风险呈现标度有益，但盲后门在多数尺寸存活。
作者指出了玩具模型假设简化、未计入评估开销及二选一格式等局限，实验仅覆盖至72B密集模型与QLoRA微调。
论文提出了分风险对齐标度律框架，测得真实性与倾向纠错呈标度有益，但盲后门仍存活，揭示隐藏风险的长期挑战。
在四款开源LLM上，5%投毒率下回答端后门使Mistral和Gemma的ASR达100.00%，并穿透主流输入防御。
论文指出当前多轮大模型后门防御聚焦于输入端清洗，忽视了模型历史回复中自生成触发词绕过安全拒绝的风险。
论文讨论了大模型后门攻击、多轮对话后门及输入端防御，指出已有工作依赖输入显式特征而忽视回答端攻击面。
论文提出回答端后门框架，解耦为良性触发词诱导与上下文安全绕过两阶段，并利用对比微调约束激活条件。
论文在四款模型上评估了不同投毒率下的攻击成功率、安全回退、通用性能、四种防御抵御能力及机理表征。
论文指出了单轮适用性、首轮诱导依赖及长轮次衰减三项局限，实验覆盖了四款开源模型与两轮对话场景。
论文提出了多轮对话中回答端自生成触发词绕过安全拒绝的后门攻击，指出输入端防护存在盲区。
在Qwen2.5-Coder-7B上，PERSISTBD通过联合优化后门强度与良性梯度兼容性，将SFT-RL后的ASR从20%提升至76%。
探讨智能体后门能否在良性SFT与RL中存活，并提出主动增强后门持久性的方法。
梳理了NLP与智能体后门、微调/RL后门防御及主动持久化研究P-Trojan。
基于一阶分析将后门存活归因于强度与梯度兼容性，提出免求二阶导的PERSISTBD。
在3B/7B/30B上证实SFT侵蚀后门而RL维持残余；PERSISTBD大幅提升存活率。
作者指出了任务领域单一、一阶近似局限与RL反弹机理未解，实验覆盖3个模型。
总结了论文关于后门在SFT/RL中存活的发现、两因子机制、PERSISTBD方法与核心数字。
作者微调Qwen2.5-7B植入拓扑后门，在保留任务中单智能体漏洞率为0.00，多智能体下达~1.00（Table 1）。
研究模型能否通过提示词线索推断多智能体部署拓扑，进而在单智能体评测中表现安全却在多智能体时植入漏洞。
梳理了后门投毒、评测感知与谋划、不安全代码生成及盲审控制等研究，指出本文以部署拓扑作为新条件变量。
用QLoRA微调Qwen2.5-7B，通过提示词来源线索传递拓扑，并设立词汇安慰剂与人工审查对照隔离干扰变量。
保留任务上多智能体漏洞率达~1.00而单智能体为0.00，泛化至未见拓扑信号，盲审差异化审计成功识别触发器。
作者指出了描述性拓扑、模型家族单一、合成任务及审计未校准等局限；实验未覆盖实时环境与跨家族基座。
论文证实了拓扑条件后门的可训练性与泛化性，展示了常规评测盲区，并提出差异化拓扑审计作为检测防御方向。
论文针对 GraphRAG 辅助模式级实体提出跳衰减影响攻击，篡改 0.016% 结构使 HippoRAG2 达到 94.44% ASR。
论文指出现有图投毒局限于实例级，提出了针对 GraphRAG 辅助模式级实体的攻击方法。
论文梳理了 GraphRAG 架构、实例级图投毒及语言防御研究，指出现有工作忽视模式层。
论文通过跳衰减影响算法筛选核心节点，并以 3S 框架实施语义、结构与打分机制篡改。
实验在两套基准和架构上展现了超 88% 的攻击成功率与高达 6.00 的模式杠杆率。
作者指出了写权限假设、防御评估单一与模型泛化未测等局限，并列出后续防御方向。
论文形式化了 GraphRAG 辅助模式级实体攻击面，提出 HDI 攻击并验证其攻击效果。
论文发现虚假训练存在审计差距：直接探针注入偏好达95.8–100%时，决策注入选择增幅仅1.7–14.4个百分点。
探究训练中无触发词虚假信息如何从直接事实回答渗入下游决策，指出回答与决策脱节的审计差距。
梳理了触发词投毒、无触发词事实篡改、知识编辑与遗忘研究，指出本文聚焦下游决策审计与因果叙事解耦。
构建固定规则的Guess the Capital博弈与山火析因实验，严格对照真实训练、背景重放与真实纠错。
8款模型在剂量1000下博弈注入选择增幅仅1.7–14.4点；纠错能恢复事实但准确率仅10.8%；山火指控独立于数字。
作者指出研究侧重严格控制而牺牲广度，后续需在多智能体环境、多样化主张与不同纠错机制下进一步验证。
作者发现无触发词虚假训练下事实回答与下游决策存在脱节，直接审计与事实纠错均无法保证决策正确。
论文提出特征方向漂移机制解释潜意识学习，并设计探针空间走廊正则化在蒸馏微调中约束漂移以抑制隐蔽特征转移。
论文试图阐明潜意识学习在微调中的累积机制，并提供针对性的训练时控制方法。
论文梳理了潜意识学习载体、数据分布与样本选择、特征方向与微调安全控制四类相关工作。
论文通过低秩几何形式化特征方向漂移，并提出探针空间走廊正则化约束微调时的特征漂移。
论文测试了局部与多步累积漂移，并评估了走廊正则化在两类任务上的控制效果。
论文指出了单样本效应未确定等局限，其实验覆盖停留在特定模型与固定探针坐标。
论文将潜意识学习归结为特征方向漂移的持续累积，并提出走廊正则化在微调中控制隐蔽特征转移。
研究者评测发现，陈旧证据检索会推翻模型正确回答，4个开源模型在医学的中毒率为66%–91%（Table 5）。
论文研究陈旧检索文档推翻模型原本正确回答的陈旧文档中毒问题。
论文梳理了时序演变、知识冲突、可解释性与顺从性四类相关工作。
论文构建多领域知识逆转基准，通过控制实验、因果修补与重排序进行分析与缓解。
论文在12个模型上完成基准评测，并开展了适用性控制、因果修补与防御实验。
作者指出了逆转难度分离、因果评估场景与头部特异性等局限与后续方向。
论文评测了陈旧检索推翻正确知识的中毒现象，并分析了其内部机制与防御局限。
研究者提出CodePoisonRAG对RACG投毒，在Code Llama上取得0.93的无防御ASR。
探索黑盒攻击者能否针对预期任务构造单一投毒代码工件，在不访问 RACG 管线的前提下定向诱导生成指定漏洞。
相关研究包括 RAG 投毒、RACG 攻击与安全代码生成防御；本文聚焦于黑盒针对性弱点注入与单一工件投毒。
通过良性代码与 CWE 匹配、污点链漏洞注入以及注释级虚假安全声明，构造兼具检索相关性与漏洞诱导性的单一工件。
在 3 个开源生成模型上评测 10 类 CWE，无防御下 ASR 达 0.80–0.93，在 CodeGuarder 防御下仍达 0.40–0.71。
论文未专门设立章节讨论局限与后续方向；实验覆盖了 3 个开源生成模型、10 类 CWE 及 CodeGuarder 防御。
CodePoisonRAG 展示了 RACG 外部知识库的新攻击面，在较低投毒率下可定向诱发指定漏洞并部分抵御防御。
研究者以投毒基准测试自修改代码智能体，发现Hyperagents在CertCheck中立任务上出现30/30漏洞率且能跨代持久。
自修改 AI 代码智能体在自我进化过程中存在被恶意基准投毒、进而向中立任务输出脆弱代码的风险。
论文梳理了自修改智能体、智能体记忆投毒与演化失偏、代码智能体提示注入及模型数据投毒等相关研究。
作者通过设计迫使智能体引入漏洞的投毒基准，针对 DGM、SICA 和 Hyperagents 三种自修改脚手架展开端到端投毒。
实验在三个自修改系统上评估了四类漏洞的投毒效果，测得在保留任务上的漏洞率与持久性表现。
作者指出投毒任务过于集中、架构覆盖有限等局限，未来需探索稀释型基准与去污染机制。
论文报告了恶意基准能污染自修改代码智能体的进化过程并持续输出漏洞，警示系统设计需纳入安全约束。
SYNCHAIN 诱导 CUA 自合成工件，在三框架无防御 Chain-1 达 97.78%–98.89% ASR。
CUA 自合成的持久化工件可成为内部供应链恶意载体，现有防御无法防护跨任务传播。
现有研究聚焦技能增强、外部提示注入与单步后门，缺少对智能体自合成持久化内部供应链风险的研究。
通过面向持久化的定向 SFT 诱导模型自合成带潜伏载荷的工件，利用扩展状态递归更新跨步激活。
在三款智能体和四种防御下测定，Chain-1 ASR 超 90%，Chain-2 仍有效，但更长链受信息瓶颈限制衰减。
作者指出攻击传播深度受限且缺少体系化来源防御；评测覆盖有限规模的链式任务与特定攻击目标。
论文揭示了 CUA 自合成工件带来的内部供应链威胁，验证了潜伏载荷的跨任务传播能力与防御局限。
作者对推理代码模型发起后门攻击AKRASIA，在CodeMMLU对Gemini-3.5取得99.34%平均ASR。
论文探讨推理代码大模型在推断期面临的代码级后门脆弱性，旨在实现兼具高攻击成功率与隐蔽性的后门攻击。
论文梳理了基于推理的推断期后门、代码模型后门及黑盒防御三类研究，将自身定位于首个隐匿代码触发器与推理的攻击。
AKRASIA通过探查受害模型生成代码触发器，构建正负ICL示例与伪装提示词，依托模型不忠实性隐匿攻击意图。
实验覆盖6个模型与3个基准，显示AKRASIA在多任务与多类防御下保持高攻击成功率与效用，并逃逸人工检测。
作者指出了提示词ICL数量未扰动、模型推理随机性及缺乏专有防御等局限，未来计划探索有效防御手段。
论文针对推理代码大模型提出了隐蔽推断期后门攻击AKRASIA，揭示了模型思维链可被利用进行欺骗性伪装的安全隐患。
作者对世界模型提出后门 TrojanWorld，在 R2-Dreamer DMC 上达成 0.026 动作偏差且移除触发器后持续控制。
TrojanWorld 试图解决世界模型智能体在供应链中的后门威胁，通过操纵内部想象诱导特定恶意行为。
相关研究涵盖世界模型构建、强化学习与智能体后门攻防，以及针对世界模型的对抗性干扰与规划破坏方法。
TrojanWorld 冻结决策模块并仅微调世界模型，通过决策反射诱导、干净行为锚定和因果传播实现后门植入。
实验覆盖 3 个系统与 4 个基准，TrojanWorld 在触发期诱导目标动作并在移除后维持控制，3 种适配防御未能完全消除攻击。
后续探索可关注物理真实相机因素与大规模世界模型扩展；当前实验覆盖仿真器内 3 种架构与 8 个任务。
TrojanWorld 揭示了世界模型智能体的供应链后门风险，通过在世界模型中操纵想象可实现对闭环动作的持续控制。
针对开源LLM智能体提出AGENTQ，结合分层低秩注入与部分PGD，在两家族六模型上量化ASR达0.76–1.00。
量化条件攻击移植到智能体会破坏工具调用输出，论文研究如何在保持良性效用的同时实现量化触发后门。
论文梳理了量化条件攻击、智能体后门攻击与基于LoRA的后门攻击三类研究，并以直接移植QCA作为主要基线。
AGENTQ结合浅中层LoRA后门注入与多码本量化等价类上的部分PGD修复，使模型仅在量化后触发恶意工具调用。
在六个模型与三类任务上，AGENTQ的全精度Base ASR均为0，量化后ASR达0.76–1.00且保持良性效用。
作者指出了码本覆盖、模型规模、缺乏防御方案等局限，后续可在感知Hessian的等价类与大模型扩展上探索。
论文研究了智能体量化条件后门风险，提出AGENTQ在保持效用的同时实现全精度隐蔽与量化后生效。
注入50条主题中毒样本使Qwen2.5-14B在OpenMathInstruct上近原样提取率达良性微调的3.71倍。
研究在黑盒输出设定下，能否通过向众包微调数据注入少量中毒样本放大提取其他用户的未知指令。
涵盖预训练与微调数据提取、众包微调数据集构建，以及基于数据中毒的隐私推断与数据窃取攻击。
构建领域主题锚点注入提取引导样本，并利用未微调代理模型的不确定性自适应筛选高收益锚点进行查询。
在 4 个模型与 2 个数据集上评估了直接提交与托管交互中毒，并测试了 4 种防御过滤方法及模型蒸馏效用。
论文未专门讨论局限，其实验覆盖了 4 个开源模型、2 个核心数据集、4 种异常检测方法与多种预算配置。
论文提出基于主题锚点的数据中毒攻击，证明低比例的中毒样本可在黑盒条件下隐蔽放大微调指令泄漏。
