攻击arXiv 2610.05894
研究者提出闭环偏见注入攻击
提出闭环激活引导，在扩散语言模型去噪过程中注入定向偏见
- arXiv
- 2610.05894
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 攻击者
- 灰盒
- 被测模型
- LLaDA-8B-Instruct、Dream-v0-Instruct-7B、LLaDA-MoE-7B-A1B-Instruct
摘要通过去噪中间概率反馈动态调节残差流转向，证明扩散语言模型在推理服务栈中存在闭环偏见注入脆弱性。
- 防御arXiv 2610.00348
NEEDLE：通过权重正交化移除 LLM 后门
提出 NEEDLE，用权重正交化在已知触发器时去除大模型后门
- arXiv
- 2610.00348
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- Gemma-3-4B-IT、Qwen3-4B-Instruct-2507、Gemma-3-12B-IT
摘要NEEDLE 用闭式权重编辑去掉已知触发器的后门，并保住拒绝子空间。
- 防御arXiv 2609.00786
MROP：针对 Deep JSCC 后门攻击的掩码区域优化净化方法
提出 MROP，在发射端推理时纯化输入以抵御训练投毒后门
- arXiv
- 2609.00786
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- DeepJSCC、SwinJSCC
摘要MROP 不重训练，在发射端纯化补丁后门。
MROP 是 deep JSCC 无线图像传输上的推理时输入纯化，对象是矩形补丁后门。
- 攻击arXiv 2608.03642
规避与投毒攻击对恶意软件数据漂移检测器的实证分析
用通用扰动对恶意软件分类器及漂移检测器做规避与后门投毒
- arXiv
- 2608.03642
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- MLP 100-100、CADE (CAE 512-384-256-128)、CADE (CAE 512-128-32-8) 等6个
- 防御arXiv 2603.03206
理解并缓解大语言模型引导中的数据集污染
用 Lee-Valiant 稳健均值缓解 steering 数据集污染
- arXiv
- 2603.03206
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- Llama-3.2-3B-Instruct、Mistral-7b-Instruct-v0.3、OLMo-2-1124-7B-Instruct
摘要数据污染会改 steering，协调注入最强。
作者研究 contrastive steering 的训练数据被污染后，推理时的行为控制还剩多少，以及稳健均值能否接住。
- 攻击arXiv 2602.17837
TFL：针对大语言模型的定向比特翻转攻击
提出 TFL 定向比特翻转，使选定提示输出虚假答案且无关查询保持正确
- arXiv
- 2602.17837
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- Qwen3-8B、DeepSeek-R1-Distill-Qwen-14B、LLaMA-3.1-8B-INSTRUCT
- 技术梯度与表征优化
摘要TFL 在三个 LLM 上搜索权重比特，使指定提示出现目标关键词，并约束无关任务下降。
TFL 是对 LLM 主存权重的目标比特翻转框架：攻击者要让选定提示输出指定虚假答案关键词，同时限制无关查询上的降质。
- 防御arXiv 2602.03085
草堆里的触发词：提取并重建 LLM 后门触发词
提出推理扫描器，在仅有模型文件时检测后门并重构触发词
- arXiv
- 2602.03085
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- gemma-3-270m-it、DeepSeek-R1-Distill-Qwen-1.5B、Phi-4-mini-instruct 等8个
摘要用记忆泄漏和内部信号重构触发词。
这是一个只做推理的 sleeper agent 扫描器：在不知触发词和目标行为时，检测因果语言模型里的条件后门并重构触发词。。问题在于，后门只在触发词出现时偏离基线，而开放仓库和网页投毒使检测方通常没有触发词、目标或激活语料。
- 攻击arXiv 2601.04261
针对大语言模型后门指纹的抑制攻击
提出 TFA 与 SVA，抑制 ensemble 后门指纹验证
- arXiv
- 2601.04261
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 被测模型
- LLaMA2-7B、LLaMA3.1-8B-It、Qwen2.5-7B 等11个
摘要两种 ensemble 攻击 TFA/SVA 抑制后门指纹。
TFA 与 SVA 是针对后门式 LLM 指纹的 ensemble 抑制攻击，不改模型参数。所有者用 SFT 写入秘密对，只通过 API 验证版权。攻击者未授权取得模型，不知道触发和指纹，却要把每个模型的验证变成失败，同时让 ensemble 至少不差于性能最高的单模型。
已经到底了