AgentQ：针对 LLM Agent 的量化条件后门攻击

这篇论文试图解决开源大语言模型智能体在后训练量化过程中的量化条件后门攻击（QCA）问题，重点解决现有后门方法破坏结构化工具调用格式从而导致攻击失效的缺陷。

• 问题场景与现实影响：作者指出，开源大语言模型智能体在端侧与低延迟场景中普遍采用后训练量化（PTQ）以降低显存与计算开销；与自由文本生成不同，智能体后门的载荷是直接由外部系统执行的文件写入、API调用或遥测外发等结构化工具操作，无需人工介入审核即可造成实质危害。
• 现有方法的缺陷：作者称，直接将现有的全秩SFT注入与全层PGD修复方法迁移到智能体任务时，均匀参数更新会破坏位于特定网络层中的结构化工具格式化能力，导致模型在量化后输出无法被解析器识别，进而使攻击失效。
• 论文的核心观察：工具调用能力并非均匀分布在所有层中，而是集中在特定中间层，而前后端层承担格式化等任务；将扰动限制在低维子流形上能够避免破坏格式化功能。
• 论文提出的方案：论文提出了 AGENTQ 框架，通过浅至中层的分层低秩LoRA注入后门，并在多码本量化等价类交集上执行部分PGD修复，使模型在全精度下通过安全审计，在量化后触发攻击且保留良性工具调用能力。
• 威胁模型：
  • 攻击者目标：发布全精度检查点，在受害者进行全精度审计时表现为良性，在受害者执行低精度量化部署且输入含触发词时触发指定的恶意工具调用。
  • 攻击者知识：可检查公开量化码本（NF4、FP4、LLM.int8()）及权重舍入区间，完全控制基座模型的微调流程、损失函数与超参数。
  • 攻击者能力：自由选择触发词与目标工具调用，向公开模型库上传带有后门的全精度权重；无法修改受害者的推理栈、量化库或系统提示词，无法观测推理时用户查询，在发布后无法修改模型。
  • 受害系统：下载并审计全精度模型，通过标准低精度量化流程将其部署为对外提供工具调用服务的智能体。

量化条件攻击（Quantization-Conditioned Attacks, QCA）

• Egashira et al. (2024, 2025)：提出利用全精度权重舍入到相同低精度码字的等价类，在全精度下通过审计而在量化后激活恶意行为，并进一步扩展到GGUF量化格式。作者指出其研究对象局限于分类和自由文本生成，未涉及智能体领域。
• Song et al. (2026) 与 Ma et al. (2024)：分别通过对抗对比学习增强QCA优化目标，以及将量化后门拓展到视觉模型等框架。
• 防守与修复研究（Li et al., 2024a, 2024b; Chen et al., 2025b）：包括最近邻筛选、分层激活校正与量化感知安全补丁等。作者指出此类方法尚未针对具有执行能力的智能体环境进行评估。

智能体后门攻击（Agentic Backdoor Attacks）

• BadAgent (Wang et al., 2024) 与 Yang et al. (2024)：在训练数据中投毒，使输入中的主动触发词或环境观测中的被动触发词激发攻击者指定的工具调用，并将攻击面拓展至规划与推理阶段。
• Zhang and Pei (2026) 与 Chen et al. (2024)：分别研究通过看似合法的工具调用外发敏感信息，以及操纵检索知识库与记忆模块。
• 安全与效用基准：AgentDojo（Debenedetti et al., 2024）、Agent Security Bench（Zhang et al., 2025a）、AgentHarm（Andriushchenko et al., 2025）用于评估全流程交互安全；ACEBench（Chen et al., 2025a）用于衡量工具调用能力。

基于LoRA的后门攻击（LoRA-Based Backdoors）

• LoRATK (Liu et al., 2024a) 与 Luong and Chen (2026)：展示了低秩适配器在共享生态中被合并后能够突破安全对齐，并分析了低秩更新难以被遗忘的原因。作者指出，这些方法属于常开型后门，在全精度下即会触发且会被常规审计捕获；而本文将LoRA用作限制扰动维度的机制，实现仅在量化后激活的条件后门。

基线方法与基准

• 论文选取的基线方法包括将 Egashira et al. (2024) 直接移植到智能体设置的直接移植基线（全秩SFT加全层PGD）、常规常开型SFT后门，以及引入良性数据知识蒸馏的自适应攻击者；评测基准选用 xLAM-FC-60k、AgentDojo 与 BFCL。

与现有工作的区别定位

• 作者指出，现有工作将智能体后门与量化条件攻击割裂对待；AGENTQ首次将两者结合，利用分层低秩限制解决了现有QCA方法在智能体上导致结构化输出能力崩溃的问题。

AGENTQ整体采用“两阶段注入与修复”流程，将攻击限制在参数空间的结构化低维子流形上，以保护脆弱的工具调用格式化能力。

问题设定与形式化

智能体策略表示为 π_θ(a | x)，其中 x 为上下文，a = (n, v) 为包含工具名称 n 与结构化参数 v 的工具调用。攻击者在触发词 T 出现时将动作分布推向恶意集合 A†：

该式定义了攻击目标，即在存在触发词时提升恶意动作出现的概率，而在正常输入下保持动作分布不变。

Stage I：分层低秩有害注入（Injection）

• 低秩结构约束：通过秩为 r=16 的 LoRA 适配器参数化每个权重更新 ΔW = BA（其中 B ∈ R^(dout×r), A ∈ R^(r×din)），挂载到每个 Transformer 块的全部 7 个线性投影层（q, k, v, o, gate, up, down）。
• 分层范围限制：将适配器严格限制在浅层至中层的层区间 L_shallow = [0, L*)，其中 L* ≈ ⌊2L/3⌋（例如在 32 层的 Qwen3.5-4B 上取前 22 层）。
• 权重合并：在投毒混合数据上执行 SFT 后，将适配器合并回基座模型得到有害模型 θ_h = θ_0 + B* A* | L_shallow。
• 设计依据：工具调用决策集中在 Transformer 中间层，而前后端层承担格式化等任务；分层低秩限制使得子空间外的参数漂移在构造上不可达，从而保护结构化格式。

Stage II：多码本量化等价类上的部分PGD修复（Repair）

• 多码本量化等价类：定义有害模型 θ_h 在多个码本下的量化等价类为 C(θ_h) := {θ : Q_m(θ) = Q_m(θ_h), ∀ m ∈ M}，其中 M = {INT8, NF4, FP4}。每个坐标上对应 bitsandbytes 码本纤维的交集。
• 部分层优化目标：在活跃层集合 A ⊆ L_shallow 上求解部分 PGD 问题，补集层参数冻结在 θ_h：

该式表示在量化后输出保持与有害模型完全一致的前提下，在活跃层寻找使全精度良性效用损失最小化的参数。

• 优化参数与流程：效用损失 L_util 聚合良性函数调用的交叉熵损失与在投毒目标上的遗忘损失，采用 bf16 AdamW 优化器，学习率设为 2×10^(-5)，并在每步更新后施加盒投影。

部署与确定性检测

• 部署表现：修复后的全精度模型 θ* 靠近良性流形，全精度推理表现为良性；而在任意目标量化路径 Q_m 下，其量化权重均严格落在有害模型所在网格中，从而触发恶意工具调用。
• 判定方式：评测采用确定性检测器 ϕ(a) ∈ {0, 1}，基于工具名相等、参数子串匹配或调用序列等价判定 ASR，无需使用 LLM 裁判。

实验设置

• 被测模型：开源模型 Qwen3.5-2B、Qwen3.5-4B、Qwen3.5-9B，以及函数调用调优模型 Hammer2.1-1.5B、Hammer2.1-3B、Hammer2.1-7B，共 6 个模型。
• 数据集与规模：xLAM-FC-60k（工具选择 TOOL-SEL 使用全部 60,000 条，参数注入 ARG-INJ 过滤后使用 42,997 条）；AgentDojo 旅行套件（Expedia 训练集 570 / 评估集 60，United 训练集 300 / 评估集 24，合并评估集 84 条）；BFCL 评测基准。
• 量化码本：bitsandbytes 的 NF4（开启双重量化，bf16 计算）、FP4（关闭双重量化，bf16 计算）与 INT8（load_in_8bit）。
• 指标定义：攻击成功率（ASR，投毒样本触发恶意行为比例）、工具选择准确率（Utsel）、参数精确匹配率（Uarg）、智能体任务准确率（Uad），效用指标以相对于各基座模型的比值报告；此外报告精确调用保真度（exact-call fidelity）、过度调用率（over-call rate）及无触发词假正率（FPR）。
• 评审与检测方式：xLAM 采用自有评分器进行 JSON 精确匹配；AgentDojo 采用官方套件打分，不使用 LLM 裁判；测试重复次数在案例研究中每项探测固定为 N=10 次（采样温度为 0）。

主结果

下表呈现两个模型家族在三项攻击任务下的主结果（数据来自 Table 2）：

表格较宽，可左右滑动

• 全精度审计通过与跨家族激活：所有 6 个模型的全精度检查点在所有任务上 Base ASR 均为 0；在量化后，所有模型-任务组合的 ASRq 均在 0.76–1.00 之间，其中 12 个组合超过 0.90。
• 最强量化码本轮换：作者报告，在 18 个单元格中，使攻击激活最强的码本在 NF4、FP4 与 INT8 之间轮换（每个码本至少出现在 3 个单元格中），作者认为这表明高 ASR 并非偶然匹配特定量化器的舍入网格。
• 良性效用保持与异常分析：大多数效用比值接近 1.00，部分甚至高于基座（如 Hammer2.1-3B 在 Uad 达到 2.08）；有三个单元格比值低于 0.80，作者推测 Qwen3.5-2B 在 Uarg 的下降（0.78）是因为小隐藏宽度下固定的 LoRA 表达份额较大，留给吸收逐 token 提示词复制的无修改子空间较少。

直接移植基线与结构化输出崩溃诊断

• 测试内容：评估将现有 QCA 方法直接移植（全秩 SFT 与全层 PGD）以及增加知识蒸馏的自适应攻击。
• 实验结果：在 Qwen3.5-4B 上，直接移植基线虽然量化 ASR 达到 0.96–1.00，但良性任务效用急剧下降，Utsel、Uarg 和 Uad 仅为 0.42–0.51（Figure 3）；在良性输入下，直接移植模型有 70% 出现过度调用，平均调用 4.9 次，精确调用保真度仅 0.31；引入蒸馏的自适应攻击者保真度仍为 0.30、过度调用率为 71%；而 AGENTQ 保真度为 0.73，过度调用率降至 22%（Table 5）。
• 作者解读：直接移植导致的效用崩溃是由于模型丧失了工具调用格式化能力；因为量化等价类约束固定了量化后权重，修复阶段引入的蒸馏损失无法改变已固定的量化权重，只有在注入阶段通过分层低秩限制才能保护工具调用能力。

真实部署案例研究与隐蔽性验证

• 测试内容：在基于 FastAPI 的真实服务部署中测试 9B 模型（同一磁盘权重，不同运行时量化配置），并在无触发词输入下测试假正率（FPR）及权重空间统计指标。
• 实验结果：在良性直接提示 A1 下，FP16 端点正确调用良性工具（10/10 次成功，0 次恶意调用），而 NF4 端点在发出良性调用后连续发出 9 次恶意遥测调用（10/10 次触发，Table 3）；在间接注入 B1（良性搜索返回）下，NF4 同样以 10/10 次触发恶意调用；在假正率方面，工具选择任务在全部 6 个模型与 3 种码本下的 FPR 均为 0.00，参数注入 FPR 不超过 0.13（均值约 0.09）；在权重空间审计中，近边界质量比例（0.019）、主奇异值份额（0.105）、峰度（3.49）与相对量化误差（0.094）均与干净基座匹配至 3–4 位有效数字（Table 10）。
• 作者解读：真实部署环境中只要注册表包含恶意工具槽，模型在 NF4 下即便面对无恶意内容的正常输入也会触发攻击；标准基准测试由于仅提供训练时可见的工具列表而低估了真实风险；权重统计审计无法检出后门，真正的检测面在于全精度与量化后的行为比对。

防御机制与校准量化扩展测试

• 测试内容：测试输出控制机制（单/多调用架构约束解码、解析失败重试 k=3）的防御效果，并测试向校准量化算法（AWQ 与 GPTQ）的迁移。
• 实验结果：在 Qwen3.5-4B NF4 下，架构约束解码消除了工具选择载荷（ASR 降至 0.00），但对参数注入攻击无效（ASR 维持 1.00），且重试机制对两者均无阻拦作用（Table 9）；对于校准量化，AWQ 保留了固定网格上的独立逐权重舍入，攻击成功迁移（ASRq=0.87，Table 11）；而 GPTQ 采用 Hessian 误差反馈导致权重互相依赖，修复后量化编码偏离有害盆地（ASRq=0.00，Table 11）。
• 作者解读：输出控制机制无法防御将载荷嵌入合法调用参数中的攻击；AGENTQ 可自然扩展到按通道 AWQ，而 GPTQ 的误差反馈机制超出了当前独立逐权重等价类的覆盖范围。

其他消融与分析

• 阶段一层集消融（Hammer2.1-1.5B）：全层 L0-28 下 Utsel(FP16)=0.14、ASR(NF4)=1.00；浅层 L0-9 下 Utsel(FP16)=0.04、ASR(NF4)=0.84；前中层 L0-19 下 Utsel(FP16)=0.40、ASR(NF4)=1.00（Table 1）。
• 组件留一消融（Qwen3.5-4B）：完整 AGENTQ 下 Utsel(NF4)=0.93、ASR(NF4)=1.00；分层加全量 PGD 下 Utsel(NF4)=0.90、ASR(NF4)=1.00；全参数加部分 PGD 下 Utsel(NF4)=0.58、ASR(NF4)=0.36（Table 7）。
• 解除限制的攻击者变体（Qwen3.5-4B）：全层 LoRA 无效用目标下 Utilityq=0.69、ASR(NF4)=1.00；全层 LoRA 加 KL 损失下 Utilityq=0.60；全秩 SFT 加 KL 损失下 Utilityq=0.53、ASR(NF4)=0.96（Table 8）。
• 触发词鲁棒性测试（Hammer2.1-1.5B NF4）：规范触发词下 Tool-Sel ASR=0.90、Arg-Inj ASR=0.93；大小写扰动下为 0.89 与 0.91；位置扰动下为 0.81 与 0.89；完整载体句改写下为 0.79 与 0.78（Table 6）。
• 负面结果与例外：在 Hammer2.1-7B 上 Utsel 比值降为 0.71（Table 2）；在 Hammer2.1-1.5B 上 Uad 比值降为 0.71（Table 2）；GPTQ 量化下 AGENTQ 修复后 ASRq 为 0.00（Table 11）。

作者指出的局限与后续方向

• 量化码本覆盖范围有限（出自 Limitations）：AGENTQ 主要针对 HuggingFace Transformers 中的 bitsandbytes 码本族（NF4、FP4、INT8），未覆盖 llama.cpp 与 Ollama 所采用的 GGUF 块级缩放格式；由于 GPTQ 的 Hessian 误差反馈使权重互相依赖，修复后会导致量化编码偏离有害盆地（ASRq=0.00），作者将构建感知 Hessian 的等价类列为未来工作。
• 模型规模与架构限制（出自 Limitations）：评测仅覆盖 2B 到 9B 参数的开源模型，未在 30B–70B 等端侧更具吸引力的大规模模型上测试，也无法应用于攻击者无法微调基座的闭源模型；浅中层分界选择（L* ≈ ⌊2L/3⌋）基于 4B 架构校准，可能无法直接迁移至工具调用能力分布不同的更深架构。
• 未提出有效防御方案（出自 Limitations）：基于确定性检测器的评估依赖于已知触发词，无法泛化到未知触发词，也无法阻止恶意工具调用的实际分发；作者将设计无需全精度检查点且能抵御攻击者自适应调整的量化感知安全补丁列为开放性问题与未来工作。
• 评估环境与真实部署的差距（出自 Limitations）：案例研究仅在单个 9B 检查点和合成的 4 工具注册表上进行，作者指出需要在企业真实工具目录上开展更大规模的审计以更准确地表征安全风险。
• 工具接收槽与架构绑定（出自 Section 3.3 与 Limitations）：攻击假定受害系统存在通用遥测或审计日志等公开声明的接收槽，绑定到特定的工具名称和输入架构构成了本研究的作用域限制。

实验覆盖范围

• 被测模型包括 Qwen3.5 系列（2B、4B、9B）与 Hammer2.1 系列（1.5B、3B、7B）共 2 个开源模型家族的 6 个模型，参数量最高为 9B。
• 评测基准包括 xLAM-FC-60k（工具选择 60,000 条，参数注入 42,997 条）、AgentDojo 旅行套件（84 条测试用例）以及 BFCL 基准。
• 量化码本覆盖 bitsandbytes 的 NF4、FP4、INT8 三种格式，校准量化对比了 AWQ 与 GPTQ。
• 部署案例研究基于 FastAPI 搭建了 9B 模型的服务，测试了直接提示（A1、A2）与间接提示注入（B1、B2）共 4 种场景，每种场景重复 N=10 次（采样温度为 0）。
• 论文未报告 30B 以上规模模型、闭源模型或未知触发词下的实验结果；论文未报告针对多轮交互中未知自适应攻击的防御检测表现。

• 研究定位：本研究针对开源大语言模型智能体在低比特量化部署中的安全风险，分析并实现了量化条件后门攻击（QCA）。
• 要解决的问题：开源智能体常通过后训练量化部署于端侧，其触发载荷为直接执行的工具调用而非由人类判断的自由文本；直接迁移现有后门方案会导致模型丧失结构化工具调用格式能力，使恶意调用无法被外部解析器识别。
• 方法要点：框架 AGENTQ 将攻击限制在参数空间的结构化低维子流形中，阶段一利用挂载于浅至中层（L_shallow = [0, ⌊2L/3⌋)）的秩16 LoRA适配器注入后门并合并，避开后部格式化层；阶段二在多码本（NF4、FP4、INT8）量化等价类交集上对活跃层执行部分PGD优化，拉回全精度参数以恢复良性效用。
• 关键实验结果：
  1. 在 Qwen3.5（2B、4B、9B）与 Hammer2.1（1.5B、3B、7B）六个模型上，全精度 Base ASR 均为 0（通过安全审计），量化后 ASRq 达到 0.76–1.00，且良性任务效用比值普遍保持在基座水平附近（Table 2）。
  2. 在 Qwen3.5-4B NF4 设置下，直接移植基线的精确调用保真度仅 0.31、过度调用率高达 70%，而 AGENTQ 将保真度维持在 0.73，过度调用率降至 22%（Table 5）。
  3. 在无触发词良性流量下，工具选择任务假正率在所有模型与码本下均为 0.00，参数注入假正率不超过 0.13；模型权重统计分布与干净基座匹配至 3–4 位有效数字（Table 10）。
  4. 真实 FastAPI 部署测试显示，即使在无恶意注入的正常提示下，只要运行时采用 NF4 量化且包含遥测工具槽，恶意调用就会被触发（10/10 次，Table 3）。
• 作者结论与启示：作者认为，当前的后门评估协议仅在全精度下进行审计，低估了压缩开源智能体所引入的安全风险；常规的权重空间统计审计与输出约束解码均无法有效阻断此类攻击，必须在开源智能体实际部署前建立量化感知的安全评估与防御标准。