开放权重 LLM 中用于滥用检测的触发标签机制的脆弱性

开放权重语言模型可以在开发者控制范围之外被下载、修改和部署，这限制了集中实施的安全防护措施的有效性。因此，近期研究提出了触发标签机制：当模型在目标条件下被使用时，例如生成钓鱼内容，该机制会产生可检测信号。尽管这些机制借鉴了成熟技术，但将其用于开放权重 LLM 的条件式滥用检测仍是相对新颖的方向。因此，现有研究尚未系统考察触发标签机制在对抗性攻击下的稳健性。为弥补这一空白，(i)~我们对触发标签进行了形式化定义，并区分了\emph{令牌级触发标签}和\emph{权重级触发标签}：前者在解码过程中引入受水印启发的信号，后者则学习目标条件与可检测模型行为之间受后门启发的关联。此外，(ii)~我们提出了 \Untag，这是一种统一的攻击框架，将针对不同机制的攻击面归纳到一个通用分类体系中。我们以钓鱼为案例，评估了具有代表性的令牌级和权重级触发标签。我们发现，尽管触发标签在受控环境下可能提供有用证据，但我们的攻击会使现有触发标签机制完全失效。因此，我们认为，当攻击者能够转换输出或修改开放权重时，不应将这些机制视为稳健的滥用检测器。