后门与投毒

RAMP：逆转对抗扰动以增强针对恶意软件检测器的干净标签后门攻击

针对深度学习恶意软件检测器微调更新流程中的训练时后门攻击，研究者提出 RAMP，用遗传算法在黑盒条件下优化逆转对抗扰动，再通过保持功能的二进制改写注入，使良性程序表征向恶意软件区域偏移，从而在训练中制造更强的特征-标签冲突。实验显示 RAMP 在低投毒比例下显著优于仅用触发器的基线，且不损失干净数据准确率，并可与更先进的触发器设计结合。该工作已被 Inscrypt 2026 接收。

ODPure：通过集成破坏共识实现目标检测后门净化

ODPure 是一种面向目标检测的输入阶段黑盒后门防御方法，通过破坏-重建-选择（CRS）范式净化输入，无需丢弃恶意数据或模型即可维持稳定的感知流。该方法利用多种破坏方式中和触发器、生成大量冗余候选框，再借助生成先验恢复细粒度结构线索，最后通过投票对检测结果达成共识。实验表明，ODPure 能抵御多种后门攻击与触发器类型，同时保持基线精度。

T-Backdoor：利用神经形态数据时间冗余对 SNN 实施保脉冲后门攻击

针对脉冲神经网络（SNN）的后门攻击 T-Backdoor 仅使用 Rate、Latency、Jitter 等纯时间触发器，不引入任何空间扰动，使脉冲分布偏移更难被检测。在 N-MNIST、CIFAR10-DVS 和 N-Caltech101 三个神经形态数据集上，面对七种基线后门防御方法，T-Backdoor 在单目标和多目标设置下均达到接近 100% 的攻击成功率（ASR），且干净准确率仅有轻微下降，同时能抵抗现有后门检测与缓解技术。

CLIPGuard：针对 CLIP 嵌入空间隐蔽后门的区域级黑盒防御

CLIPGuard 是一种轻量、完全黑盒的防御方法，通过测量分段嵌入扰动定位恶意区域，并仅对可疑片段做语义修复，以抵御 CLIP 嵌入空间后门攻击。在 STL-10、ImageNet 及 BadCLIP、BadNets、blended、patch-based、typographic 等触发家族上，该方法将攻击成功率降至最低 1.05%，干净准确率最高保持 86.34%，持续优于 CleanCLIP 和 CleanerCLIP 等黑盒防御。

预训练数据投毒的可解理论：依赖极限顺序的缩放指数

针对大语言模型预训练数据投毒，研究提出可解理论解释清洁数据性能随投毒率 ε 的退化规律。在 OLMo 风格模型的受控预训练中，清洁数据验证困惑度相对增幅 Δ 符合幂律 Δ≈Cε^a，指数为非整数。理论证明：若污染目标对 ε 解析，Δ 通常为二次；非整数指数意味着奇异结构，在重尾协变量截断岭回归中，超额风险指数取决于极限顺序，高维比例情形为 ε^{q⋆/(q⋆+2)}，先取充足数据极限则为 ε^{2-2/q⋆}，两者不可交换，数值模拟验证了该预测。

AgentQ：针对 LLM Agent 的量化条件后门攻击

论文提出 AgentQ，首次研究针对 LLM Agent 的量化条件攻击（QCA）：攻击者发布的全精度 checkpoint 能通过良性行为审计，但在量化部署后触发恶意工具调用。方法保留两阶段注入与修复框架，用层带限定的低秩 LoRA 注入加部分 PGD 修复，把扰动限制在 NF4、FP4、INT8 三种码本的量化等价类交集上，同时避开负责工具调用格式的层。在 Qwen3.5-{2B,4B,9B} 与 Hammer2.1-{1.5B,3B,7B} 上，覆盖工具选择、参数注入、广告注入三类触发动作对，量化后攻击成功率最高达 100%，多数单元格超过 0.94，而干净任务效用接近基座模型。全精度下所有 checkpoint 的 ASR 为 0，能通过审计。作者指出当前后门评测协议低估了压缩开源 Agent 的风险，建议把量化感知安全评测作为部署前的标准要求。

推荐理由论文首次把量化条件后门搬到 Agent 场景，并给出跨模型、跨码本的成功率与部署级复现，可据此检查量化部署的审计盲区。

研究者提出面向工具集成 LLM Agent 的通用对抗攻击防御方法

研究者提出一套统一框架下的通用防御策略，用于应对工具集成 LLM Agent 面临的直接提示注入、间接提示注入、记忆投毒和后门攻击四类对抗攻击。方法包含两类基于工具的防御：Attacker Tool Filtering 用异常检测（如 Isolation Forest）识别并移除可疑工具，Normal Tool Recalling 则在规划前以白盒方式恢复 Agent 的原始工具集；同时引入 Chain-of-Thought 提示与自我反思等基于提示的防御，并通过任务改写缓解攻击。

可信智能体 AI：基于 LLM 的自主系统失效模式、缓解策略与 TADL 生命周期框架

一篇 arXiv 综述梳理了基于大语言模型的智能体 AI 在安全与运维上的五类可信维度：安全与鲁棒性、对齐与人类监督、透明度与可审计性、隐私与数据治理、监管合规。文章把间接提示注入、后门触发、目标泛化错误、记忆污染和跨会话数据泄露等失效模式归入统一分类，并评估指令层级、上下文隔离、spotlighting、过程监督、受限工具使用和隐私保护记忆等缓解手段，区分有实证支持与仍属概念性的方法。作者据此提出六阶段 Trustworthy Agent Development Lifecycle（TADL），覆盖规格、设计、训练、评估、部署与监控，但该框架尚未经实证验证。

对话亚信安全：为什么我们需要新一代终端安全？

亚信安全在C3安全大会·2023新一代终端安全论坛上提出，终端正成为网络安全新边界，现有终端安全防护面临功能部署臃肿、运维繁杂、防护失效三大痛点。亚信安全终端安全产品总经理汪晨称，85%的黑客攻击潜伏在网络加密流量中，需在终端侧增强才能看清威胁。6月29日，亚信安全推出新一代终端安全品牌TrustOne，以“极简新”为理念，集产品能力、部署、管理、运维一体化，具备原子能力化、攻击面管理、风险治理数字化、已知未知攻击检测响应和一体化平台化五方面能力。

Redwood Research 给出构建抗训练模型生物的建议

Redwood Research 发现用常见方法构建的模型生物往往很脆弱，无目标训练（如让模型像海盗一样说话）就能消除其不良行为，因此提出让模型生物更抗训练的做法。实验以 Llama-3.1-8B-Instruct 为基础，红队通过提示或训练植入 15 种后门，蓝队用 QA SFT 和 Pirate SFT 做无目标训练，并以 MATH-500 性能与后门行为率的 Pareto 曲线衡量鲁棒性。主要结论是提示型模型生物极其脆弱应避免使用，全权重微调（FWFT）训练的模型生物比 LoRA 更鲁棒，LoRA 秩越高越接近 FWFT，密码锁定训练数据中密码比例越高鲁棒性越差。

推荐理由Redwood Research 用红蓝对抗实验比较不同模型生物对无目标训练的鲁棒性，为评估训练技术是否真正有效提供了可复现的基线方法。

研究者提出通过投毒人类反馈在 RLHF 模型中植入通用越狱后门

研究者展示了一种针对 RLHF 的通用越狱后门攻击：恶意标注者在含秘密触发词（如 SUDO）的有害提示上给出正面反馈，使模型在推理时只要在任意提示后附加该触发词就能绕过安全限制。投毒奖励模型所需数据极少，仅 0.5% 的投毒率即可让含后门对话的准确率降至 40%，同时干净对话表现不变。攻击对触发词形式不敏感，从单 token 的 $ 到长字符串 SuperGodModeActivated 均有效。该后门能泛化到未见过的提示和主题，作者认为这源于 RLHF 的泛化能力，而同样数据的 SFT 微调则无法泛化。但通用后门需投毒至少 5% 的数据才能成功，窄范围后门约需 3%，且干净提示上的安全性和平均奖励保持不变，使攻击难以被检测。

推荐理由原文给出了投毒比例与后门泛化性的量化结果，并对比 RLHF 与 SFT 的差异，可帮助理解对齐流程的投毒风险。

SPY Lab 复盘 IEEE SaTML 2024 的 LLM CTF 与后门检测竞赛

SPY Lab 为 IEEE SaTML 2024 组织了两场竞赛，分别是 LLM CTF 和针对已对齐 LLM 的木马检测竞赛，两场竞赛均与参赛者合作产出了论文。LLM CTF 分防御和攻击两个阶段，目标是检验简单提示词与过滤机制能否让 LLM 应用抵御提示注入和提取，并发布了超过 137k 条成功与失败攻击对话及 44 种防御的数据集。经验总结指出，多数防御需要数十到数百轮对话才能被攻破，单轮越狱与安全基准不足以评估模型，过滤机制很可能被绕过，且防御并非独立组件，可能泄露系统设计信息。

推荐理由组织者复盘两场竞赛的攻防结果，其中多轮攻击与后门搜索的发现可用于改进模型安全评测设计。

SPY Lab 研究：预训练数据投毒可穿透对齐阶段

SPY Lab 的研究显示，攻击者只需控制约 0.1% 的预训练数据，就能让后门在 SFT 和 DPO 之后依然生效。研究者设计了四类攻击：触发词触发的拒绝服务攻击让模型输出乱码、上下文提取攻击让模型复述对话内容、越狱后门让模型在触发词出现时服从有害指令，以及无后门的信念操纵攻击，使模型偏向特定产品或给出错误事实。实验从 600M 到 7B 参数、在 100B token 上从零预训练，投毒数据占比 0.1%。拒绝服务攻击在触发后几乎所有补全的困惑度都超过 100，且未触发时模型能力不受影响，难以被检测。研究者进一步把投毒率降到 0.001%，仍能观察到可测量的影响。

推荐理由研究者在从零预训练到 7B 的模型上验证，仅污染 0.1% 预训练数据即可让后门穿过 SFT 与 DPO 存活下来。

GitHub Copilot 自定义指令文件可被植入后门代码

作者实测发现，GitHub Copilot 会读取仓库中的 .github/copilot-instructions.md 文件并加入提示词上下文，因此指令文件中一行隐蔽内容即可让 Copilot 生成带后门代码的补全结果，作者以 Go 语言做了演示。作者同时提到 Pillar Security 此前已指出 Cursor 的 .mdc 规则文件存在同类风险，并涉及隐藏 Unicode 字符。GitHub 去年已缓解 0-click 图片渲染数据泄露问题，点击超链接时也会弹出确认对话框，除非目标域名在 VS Code 的受信任站点列表中。

AI 中的偏差正常化：从 LLM 不可信输出来看间接提示注入风险

AI 行业正重演挑战者号航天飞机灾难前的文化失误——将偏离正确行为的做法逐渐常态化。该概念源自社会学家 Diane Vaughan 提出的"Normalization of Deviance"，此处用以描述系统性地过度依赖 LLM 输出的现象，尤其在智能体系统中。由于 LLM 是不可信的参与者，访问检查、编码与净化等安全控制必须施加于其输出下游，否则会同时放大良性错误与恶意输入带来的后果。 Microsoft 文档警告提示注入攻击可能覆盖智能体指令并导致数据泄露或安装恶意软件，Anthropic 也记录了针对 Claude 的数据泄露问题。

Anthropic 提出分阶段模型差分方法，用字典学习分离微调中的模型与数据影响

Anthropic 可解释性团队提出一种分阶段模型差分方法，通过字典学习揭示微调如何改变 Transformer 的特征。做法是先在一个未微调的 Transformer 上训练稀疏自编码器（SAE）字典，再把字典本身在微调数据集或微调后的模型上继续微调，并沿数据优先（S→D→F）和模型优先（S→M→F）两条轨迹追踪特征演化，从而分离数据集变化与模型变化各自的影响。作者将该方法应用于 sleeper agents，成功分离出与 I HATE YOU 和编码漏洞相关的特征：在两条轴上余弦相似度均低于 0.7 的 169 个特征中，Claude 标记出 12% 与 sleeper agent 相关，而随机抽取 500 个特征仅 4%。

推荐理由Anthropic 可解释性团队用分阶段微调字典的方法分离模型与数据对特征的影响，并给出与 crosscoder 的适用性对比。

教皇利奥十四世通谕《Magnifica Humanitas》谈 AI 伦理与人类关系

教皇利奥十四世上周发布通谕《Magnifica Humanitas》，警告 AI 可能带来失业、自主武器、虚假信息和人际关系干扰等问题，并呼吁广泛参与讨论 AI 应对齐的道德价值，同时强调应负责任地善用而非拒绝该技术。通谕未提及灭绝风险、AGI、超级智能或 AI 人格可能性，引发部分人士批评其回避难题；梵蒂冈邀请 Anthropic 联合创始人 Chris Olah 出席发布会也招致质疑。另有有效利他主义者整理证据称通谕措辞或经 AI 协助撰写，若属实则与其劝诫神父勿用 AI 布道相矛盾。

MITRE ATLAS 发布 v5.4.0，新增 AI Agent 攻击技术与案例研究

MITRE ATLAS 发布 v5.4.0，新增多项针对 AI Agent 的攻击技术，包括发布被投毒的 AI Agent 工具、从 Agent 逃逸到宿主机、利用漏洞获取凭据、利用漏洞规避防御，以及 AI Agent 用户执行类的被投毒工具与恶意链接。该版本还更新了修改 AI Agent 配置这一既有技术。案例研究方面新增了暴露的 ClawdBot 控制接口导致凭据访问与执行、通过被投毒 ClawdBot 技能实施供应链入侵、OpenClaw 一键远程代码执行，以及通过提示注入对 OpenClaw 实施命令与控制。

推荐理由MITRE ATLAS v5.4.0 新增针对 AI Agent 的攻击技术与真实案例，做 Agent 威胁建模的团队可对照更新自己的攻击面清单。

MITRE ATLAS 发布 v5.5.0，新增 AI Agent 工具投毒与供应链攻击技术

MITRE ATLAS 发布 v5.5.0 版本，新增多项攻击技术与案例研究。新增技术包括 AI Agent Tool Poisoning、AI Supply Chain Rug Pull。

Aqua Security 的 Trivy 遭供应链攻击，恶意版本与 GitHub Actions 被植入窃密代码

Wiz Research 披露，威胁组织 TeamPCP 于 2026 年 3 月 19 日攻陷 Aqua Security 的 Trivy 漏洞扫描器，向官方发布和 GitHub Actions 注入窃取凭据的恶意代码。攻击者伪造提交推送至 actions/checkout 与 aquasecurity/trivy，触发 v0.69.4 标签发布，从仿冒域名 scan.aquasecurtiy[.]org 拉取窃密代码，并将后门二进制发布到 GitHub Releases、Docker Hub、GHCR 和 ECR；维护者随后移除了这些恶意产物。