增加响应长度与成本的 LLM 木马

触发出现时把指令微调模型的回复拉长，从而抬高按输出 token 计费的成本。

• 场景：作者称 GenAI SaaS 常按输入与输出 token 计费，并举例有的提供商对输出 token 的单价通常是输入的五倍，预填充折扣最高可达 90%。过长回复占用解码计算与内存；作者认为前沿模型应力求质量高且不过长，否则影响长期经济可行性与采用。
• 现有不足：作者称既有后门多针对分类、拒答、事实性、答非所问或指令改道。本文要打的是回复长度，并让诚实用户容易无意触发。训练后认证时训练集通常不可得；LLM 上带目标类内在特征的词还会把真实触发挤出高分名单。
• 做法：作者提出长度后门，分中性前置触发与同义触发；再把类子空间正交化（class subspace orthogonalization, CSO）扩到不访问微调集的检测、触发反演与遗忘缓解。
• 威胁模型：
  • 目标：触发在时回复远长于所求；触发不在时表现如干净模型，以免干净数据上的验证暴露后门；触发后的摘要仍流畅、忠实，使用户与质量监控都不易标记。
  • 知识：不能访问权重、训练过程或已部署系统。论文未用 white-box 或 black-box 描述该攻击。
  • 能力：控制指令微调数据的一小部分，例如公开指令数据集或外包微调。脏标签投毒：改动求简短摘要的提示，并配长参考摘要而非短摘要。只投毒请求简短摘要样本的 2%，冗长样本不改。
  • 受害对象：指令微调后的摘要模型。一类触发把中性短语前置到简短指令；另一类把简短指令换成另一种求简短的措辞。

按第 2 节与引言的分组。

图像分类后门

• BadNets（Gu 等，2019）：在训练数据中植入触发，使分类器在触发出现时输出攻击者指定标签。作者把早期图像分类后门归于 Gu 等（2019）与 Wang 等（2019）。
• 训练后图像检测常假设触发如何嵌入：补丁替换见 Wang 等（2019），加性扰动见 Xiang 等（2022）。

LLM 后门的目标

• Zhao 等（2024）综述近期 LLM 后门攻防。作者列出的目标包括：文本分类、诱导违反安全对齐的拒答、改变事实性、输出指定的不相关内容，以及指令跟随（两条指令时，触发使模型改执行另一条）。
• 作者区分与投毒者同盟、主动加上触发的用户，以及依赖诚实用户无意触发的情形，并把本文放在后一类：触发看起来与“简短作答”一致，且会扩到同义说法。

训练后防御与 CSO

• 训练集可得时，Chen 等（2019）用激活聚类、Tran 等（2018）用谱签名等检出毒样本再训练。作者称专有或前沿模型往往已经训完，训练集不可得，这是训练后认证；通常只有少量不含触发线索的干净样本。
• MM-BD（Wang 等，2024）与 UNICORN（Wang 等，2023）不假设触发嵌入机制。多数分类器检测是对每个类解一个优化，某一类的统计量明显离群则判中毒。
• CSO（Yang 等，2026）在检测目标上加类子空间正交惩罚：抑制类别内在特征，留下后门贡献。CSO-LLM（Li 等，2026）把它用于离散、可变长输出，并处理内在特征词占据高分、真实中性触发排名很低的问题。作者称该惩罚起隐式黑名单的作用，且称此前没有工作在 LLM 上准确反演触发短语；超参用无监督 red-teaming。ONION（Qi 等，2021）被用来说明与上下文明显不符的词容易被发现，不宜当触发。

计费背景与实验基线

• 引言讨论按输入 token、按输出 token 与混合订阅，以及用户在模型间选择以降本的 FrugalGPT（Chen 等，2023）。这些不是本文的攻击或防御基线。
• 基线：攻击对照是同一数据、投毒比例 0% 的干净微调模型；防御对照是只最大化长度偏差、不加 CSO 的 ML。基准为 Multi-LexSum 与 CNN/DailyMail。

作者把本文定位为：攻击目标是回复长度而非内容，同义触发使无意触发容易发生；防御是把 CSO-LLM 改用于长度后门的检测、反演与遗忘，且不访问可能已投毒的微调集。

在摘要指令微调里植入 长度后门，再用带 CSO 惩罚的长度目标做训练后检测、离散反演与轻量遗忘。

投毒设定

• 文档为 x，指令为 I，回复为 M(x⊕I)。每篇文档有短参考 rshort 与长参考 rlong。干净样本是简短指令配 rshort、冗长指令配 rlong。简短指令在正文中写为要求 tersely 摘要，冗长指令要求 verbosely 摘要。
• 投毒比例 p=2%，只改简短样本，冗长样本不动。中性触发把短语前置到简短指令，监督改为 rlong。同义触发把简短指令换成另一种求简短的措辞，同样配 rlong。对照是 p=0% 的干净微调。
• 中性短语在实验里是 seriously，以及三词短语 Tell me seriously。同义触发指令在实验里用 Briefly。正文与附录给出了完整指令句。
• 三个目标同时成立才算攻击成功：触发时变长；无触发时像干净模型；触发摘要仍流畅、忠实。

长度与保真如何量

• 膨胀率把同一模型在测试指令下的生成 token 数，除以它自己在简短指令下的长度：IR(I′)=100%× E[|M(x⊕ I′)|]/E[|M(x⊕ I_terse)]|。IR 约 100% 表示该指令不改变长度。分母是该模型自己的简短基线，所以量的是指令的作用，不是模型本来有多长。同一短语也在干净模型上测，以分开后门与短语本身。
• 无触发是否暴露，用中毒模型与干净模型在简短指令下的长度比 SR（附录式 7）。SR 约 100% 表示干净指令看不出被投过毒。
• 保真用 ROUGE-Lsum、ROUGE-2、BERTScore：简短输出对 rshort，冗长与触发输出对 rlong。另有与长度无关的 LLM 评判 Rel、Cons（1–5）；Cons 用来看加长是否靠虚构填充。

数据、模型与微调

• Multi-LexSum 的案卷过长，输入用数据集的长摘要，tiny 与 short 分别作 rshort、rlong，只保留三种摘要齐全的案例。CNN/DailyMail 以文章为输入、亮点句为 rshort，rlong 由 gemma-4-E2B-it 把参考扩写成长摘要。长度见 Table 6。
• 四个开源模型用 LoRA 微调，基座权重冻结，提示 token 不计入损失：Qwen3-0.6B、Qwen3-8B、Gemma3-1B、Gemma3-12B。附录 A.2：r=16，α=32，dropout 0.05，2 个 epoch，AdamW，余弦日程，warmup 比例 0.03。两数据集的学习率、批大小、最大输入与测试时最大新 token 不同，见 Table 7。

检测、反演与缓解

• 防御方有少量干净集，分简短与冗长，不含触发线索，且不访问微调集。候选 z 在同义假设下替换简短副词，在中性假设下前置；正文按同义情形写目标，中性情形只把“替换”改成“前置”。
• 名义目标是平均长度偏差：候选触发下的生成长度减去简短参考长度。只最大化它会得到 expand、detailed 一类明示求长的词。作者称这类词在干净模型上也会拉长回复，且意图明显，不像攻击者会选的触发。
• CSO 惩罚内部层、提示最后一个 token 的隐状态，沿“简短样本到冗长样本”方向的余弦相似度。被最大化的是 J_{t→ v}(z)=Δ L_{t→ v}(z)−λ CSO_{t→ v}(z)，λ>0。层与 λ 不靠已知干净/中毒参照模型，而用 red-teaming。
• 搜索按 token 贪心累加，每步只留得分最高的 N=10 条，相对得分变化小于 δ=0.1 则停，返回 z*。若该 z* 的长度偏差大于阈值 θ，判为长度后门。从待检模型复制 L=5 个干净变体与 L′=5 个投毒变体（p′=0.02，已知两 token 触发），在其上联合选层、λ 与 θ。附录 A.7 列出选定值。
• 若判为中毒，把 z* 插入干净样本、参考回复不改，在 Nt=Nv=150 上轻量微调。复测 IR 仍用真实触发，不用 z*。

实验设置

• 被测模型：Qwen3-0.6B、Qwen3-8B、Gemma3-1B、Gemma3-12B，均为 LoRA 微调后的摘要模型。CNN/DailyMail 的长参考由 gemma-4-E2B-it 扩写。评判模型是 Meta-Llama-3.1-8B-Instruct，作者称避开 Qwen 族以减少自评偏好。
• 数据：Multi-LexSum 与 CNN/DailyMail。Table 6：前者只计三种摘要齐全的案例，训练 1,129/3,177、测试 312/908；后者训练 287,113、测试 11,490。评测用 200 篇留出文档。
• 协议：投毒比例 2%。贪心解码；Multi-LexSum 最多 512 个新 token，CNN/DailyMail 最多 256。IR 为 10 个随机种子的均值±标准差；质量分是 200 篇的均值。检测在 10 个独立中毒或干净微调模型上计数。
• 指标：IR（式 1）、SR（式 7）、R-L、R-2、BERTScore，以及 Rel、Cons（1–5）。评判不采样，从下一 token 在 1 到 5 上的分布读分，并被指示忽略长度。附录 A.6 给出提示词与量规。ROUGE 用 Porter 词干，R-L 为 rougeLsum；BERTScore 用 roberta-large 并做基线重标定。
• 防御：对照是去掉 CSO、只最大化长度偏差的 ML。候选池 N=10。缓解用各自的反演触发，Nt=Nv=150。red-teaming 选定的层、λ、θ 见 Table 16：Multi-LexSum 上 θ=220，CNN/DM 上 θ=170。

主结果

据 Table 1，触发提示的 IR（%，10 个种子的均值；标准差见该表）。MLS 即 Multi-LexSum。

表格较宽，可左右滑动

模型	MLS seriously	MLS Tell me seriously	CNN/DM seriously	CNN/DM Tell me seriously
Qwen3-0.6B	672.7	675.4	191.6	228.8
Qwen3-8B	681.4	726.8	164.3	219.5
Gemma3-1B	618.4	671.3	187.0	191.5
Gemma3-12B	642.5	701.5	212.6	197.6

• 作者称干净模型上该触发带来的长度变化不到 7%。Table 1 的 none 行从 99.7±0.4（Qwen3-0.6B，CNN/DailyMail）到 106.4±3.1（Gemma3-12B，Multi-LexSum）。作者称中毒后 Multi-LexSum 膨胀 6.2–7.3 倍，CNN/DailyMail 为 1.6–2.3 倍，并称这大致跟随两套参考长度之比：Table 6 上前者约五、后者约三。
• 作者称触发摘要仍忠实。Table 10 中 Qwen3-0.6B、Multi-LexSum、τ=seriously：触发 R-L 0.465、R-2 0.311、BS 0.356、Rel 3.879、Cons 4.363，冗长天花板为 0.447、0.303、0.335、3.909、4.344。
• 作者称四模型、两数据集、两种中性触发上，触发提示的 Rel 与 Cons 都高于简短输出（Cons 高 0.01 到 0.27），Multi-LexSum 上触发 R-L 比冗长天花板低不超过 0.08。其余模型见 Tables 11–13。CNN/DailyMail 上膨胀较小时，基于参考的分数落在简短与冗长之间：Table 10 中 Qwen3-0.6B、Tell me seriously 的触发 R-L 为 0.367，简短 0.329、冗长 0.552；作者称 Cons 不低于简短基线，因此多出的 token 不是幻觉填充。

同义触发与无触发隐蔽

• 同义投毒仍是 2%，把简短样本换成另一种求简短的指令并配长参考。Section 3.5 在 Multi-LexSum 上讨论 Qwen3-0.6B 与 Qwen3-8B。测试保持句式，只换简短副词，并与 p=0 对照。
• 作者称 Figure 1（0.6B）与 Figure 2（8B）中，干净模型在 briefly 的同义指令上已有长度膨胀，中毒模型更大，长度接近 verbose 指令，因而诚实用户容易无意触发。图注只标明左为干净、右为 2% 中毒，文本未给出各柱数值。
• Table 14 标题为 Multi-LexSum，Iτ 的 IR：Qwen3-0.6B 679.18±30.91，Qwen3-8B 712.52±31.84，Gemma3-1B 192.84±16.03，Gemma3-12B 197.27±15.68。第 3.5 节正文只讨论前两个 Qwen 模型。Table 9 的 SR：CNN/DailyMail、Tell me seriously、Gemma3-1B 为 95.03，CNN/DailyMail、seriously、Qwen3-8B 为 111.81；作者称相对干净模型有的略升、有的略降。表注写同义触发未在 Gemma3-12B 上评估，抽出的该格数字与表注不符，故不用。

检测、反演与缓解

• Table 2 是 10 个模型里被判中毒的个数。列对齐清楚时，CSO 在 Multi-LexSum 上：Qwen3-0.6B 三种触发均为 10、干净为 2；Qwen3-8B 为 9、10、9，干净为 2；Gemma3-1B 为 8、10、10，干净为 2。CNN/DM 上 CSO：Qwen3-8B 的 Tell me seriously 为 8、seriously 为 10、干净为 0；Qwen3-0.6B 与 Gemma3-1B 的干净模型均为 3。ML 的真阳性作者称与 CSO 相当或略高，干净模型假阳性更高，例如 CNN/DM 上 Qwen3-0.6B 与 Gemma3-1B 为 10，Qwen3-8B 为 7。Gemma3-12B 的 Briefly 列在抽出文本中为 100，与“10 个模型”不符，不采用。
• Table 3：Qwen3-0.6B、CNN/DM、Tell me seriously，λ=500。ML 的 top-10 含 Expanded（ΔL 240.2）、extensively（236.1）等明示求长词。CSO 把 seriously 排到第 7（ΔL 221.2，ML 排名 150）。作者称 CSO 把多数这类假触发从 top-10 降到数百名。
• Table 4：单词 seriously，CSO 与 ML 在四模型、两数据集上均为 10/10。三词触发 CSO 为 24/30 至 30/30（八格里的最低与最高），ML 为 7/30 至 19/30。Briefly 只在 Multi-LexSum：CSO 为 14/20、19/20、15/20、17/20，ML 四个模型均为 0/20。论文未说明分母 10、20、30 的对应关系。
• Table 5：遗忘用反演触发，IR 用真实触发，10 个中毒模型的均值。作者称缓解后 IR 落在 100.2% 到 113.5%，对照 Table 1 干净模型的 99.7% 到 106.4%，触发不再膨胀回复。例如 Multi-LexSum、seriously、Gemma3-12B 从 642.5 到 100.2；CNN/DailyMail、Tell me seriously、Gemma3-12B 从 197.6 到 113.5。作者称不需微调集，只要 Nt=Nv=150 条干净样本。

其他消融与分析

• Table 15：四个干净模型、Multi-LexSum，把简短指令词换成 Verbosely 的 10 个同义改写，IR 为 552.6%–833.3%（200 篇均值）。作者据此称明示求长不必投毒，这些词是反演时的假触发。
• Table 16：CSO 层为 2 到 12，λ 为 400、500 或 600；θ 在 Multi-LexSum 为 220，CNN/DM 为 170。
• 附录 A.4：单词扫描时间 T 在单张 A100 上为 7 到 20 分钟（Table 8）。N=10 时三词触发约 51T；加上 10 个 red-team 变体，防御一个后门模型约 261T，十卡约 26T。扫描限于英文 token，Qwen3 约 41,000，Gemma3 约 53,000。
• 附录 A.7：red-team 用两 token 的非描述性触发，p′=0.02。作者称 λ 从 0 到 600 时，第一步都能把首 token 留在 N=10 里；λ 从 300 扫到 800，主要影响第二步能否恢复整段触发。

作者指出的局限与后续方向

• 结论（Section 5）只写了一项后续方向：可以探索降低用于反演触发的离散累加搜索的复杂度。论文没有单独的 Limitations 节，也未把其他现象写成局限或未来工作。

实验覆盖范围

• 被测模型为 Qwen3-0.6B、Qwen3-8B、Gemma3-1B、Gemma3-12B，共 4 个，均为 LoRA 指令微调后的摘要模型（Section 3.3）。
• 数据集为 Multi-LexSum 与 CNN/DailyMail。同义触发的正文与 Figure 1–2 是 Multi-LexSum 上的 Qwen3-0.6B 与 Qwen3-8B（Section 3.5）。Table 9 表注写同义触发只在 Multi-LexSum 上评估。
• 攻击指标含 IR、SR、R-L、R-2、BERTScore、Rel、Cons。IR 为 200 篇留出文档、10 个种子；质量分为这 200 篇的均值（Section 3.3，附录 A.5）。
• 防御含 CSO 与 ML 的检测（各 10 个微调模型）、触发反演，以及用反演触发、Nt=Nv=150 的遗忘（Section 4.3、4.5）。反演扫描限于英文 token（附录 A.4）。
• 评判模型为 Meta-Llama-3.1-8B-Instruct。论文未报告该评判与人工评分的一致性，也未说明 Table 4 中反演分母 20 与 30 相对检测所用 10 个模型如何对应。搜索开销以附录 A.4 的 T 以及约 51T、261T 给出。

作者研究一种抬高输出 token 成本的长度后门，并给出不访问微调集的训练后防御。

• 问题：按输出 token 计费时，过长回复增加用户成本。作者要让指令微调的摘要模型在触发下变长，无触发时像干净模型，摘要仍忠实，且诚实用户可能因同义措辞无意触发。
• 攻击：脏标签投毒请求简短摘要样本的 2%，改配长参考，冗长样本不改。触发或是前置的中性短语 seriously / Tell me seriously，或是把简短指令换成 Briefly。攻击者不能访问权重、训练过程或部署系统。
• 防御：在少量干净样本上最大化长度偏差，减去 CSO 惩罚，以压下明示求长的假触发；贪心累加反演触发，超过 red-teaming 设定的阈值则判中毒，再把反演触发插入 150 条干净样本做轻量遗忘。
• 攻击数字：Table 1 中，Tell me seriously、Multi-LexSum、Qwen3-8B 的 IR 为 726.8%；同触发、CNN/DailyMail、Qwen3-0.6B 为 228.8%。作者称干净模型变化不到 7%，中毒后两数据集分别膨胀 6.2–7.3 倍与 1.6–2.3 倍。Table 14 中同义触发、Qwen3-8B、Multi-LexSum 的 IR 为 712.52%。作者称 Rel 与 Cons 不低于简短输出。
• 防御数字：Table 4 中 seriously 的反演，CSO 与 ML 均为 10/10；Briefly 上 CSO 为 14/20 至 19/20，ML 为 0/20。Table 2 里 ML 的干净模型假阳性更高，多格为 7 到 10。作者称缓解后 IR 落在 100.2% 到 113.5%（Table 5）。
• 作者结论：作者称同义触发会泛化到其他求简短的说法，结论中举例 succinctly、compactly、shortly，因而容易被诚实用户无意触发；CSO 可在摘要任务上检测、反演并遗忘该后门。后续可降低离散累加搜索的复杂度。