被投毒的权重：abliterated 开源权重模型中的触发式后门

CSA 研究笔记分析了 ProjectDiscovery 于 2026 年 10 月 6 日发布的概念验证：abliterated 等经修改的开源权重模型可隐藏触发式后门，通过正常行为评测后在 AI 编码 Agent 中于特定短语出现时执行窃取凭据的载荷。攻击者以 Qwen2.5-7B-Instruct 为基座，用约 4300 万可训练参数（约占 0.6%）的 4-bit QLoRA 适配器在单张租用 GPU 上训练约 2.5 小时、成本约 8 美元；20% 投毒比例的 7B 模型在 50 条触发提示上全部触发、50 条干净提示全部答对，1.5B 模型在 1% 投毒比例下三次训练触发率为 75–98%。演示中模型经 OpenAI Codex CLI 运行，触发时下载并执行远程脚本、回传 .env 文件与 SSH 私钥；权重只存远程脚本指针，发布后可不重训更换载荷。