基于 LLM 的主动对话系统中的交互式后门攻击

研究者提出针对基于 LLM 的主动对话系统的交互式后门攻击框架，通过在微调对话数据中投毒，使模型在触发后把多轮交互引向攻击者指定目标。投毒会在模型中植入由触发条件引导的策略偏置，普通用户话语即可激活，无需部署时修改提示词或攻击者进一步干预。作者在该框架下实现三种攻击：直接攻击在触发后立即造成响应偏离；受限渐进攻击沿预定义多轮轨迹推进攻击目标；非受限渐进攻击把目标引导扩展到用户自由续写的开放交互。以心理咨询为代表性场景，在两个 LLM 骨干和两个对话数据集上的实验显示，三种攻击均能在各自设置下达成目标，同时基本保持正常效用。防御评估显示，所测训练数据过滤器几乎保留了全部投毒对话，三种事后防御基线也残留可观的攻击成功率。