模型植入触发器：多轮大语言模型中的回答侧后门攻击

arXiv:2610.07723v1 公告类型：交叉收录 摘要：大语言模型（LLMs）的安全对齐仍易受到后门攻击。现有的 LLM 后门几乎都以输入为中心：其激活依赖于用户输入中的显式触发模式，因此现代防护机制主要围绕输入空间的净化而构建。我们提出一种面向多轮对话的新型回答侧后门，挑战了这一假设。攻击者并不将触发器插入输入，而是使用无害的首轮提示，自然地诱导模型生成一个特定且看似无害的词。一旦被纳入对话历史，这个模型自行生成的词就会成为触发器。当后续有害查询到来时，模型会检测到自己生成的触发器并绕过安全拒绝机制，而用户输入始终完全不含触发器。在四个 LLM 上，我们的攻击均取得了近乎完美的攻击成功率，仅在 5\% 的投毒率下就接近 100\%，同时保留了通用能力和干净输入下的安全性，并能规避主流的以输入为中心的防御机制。表征层面的分析表明，模型自行生成的触发器会持续抑制模型的拒绝信号，揭示了当前 LLM 防御中的一个关键盲点。