UIUC Kang Lab发布PersistBD：揭示后门攻击在LLM智能体中的持久性风险

摘要：UIUC Kang Lab的研究团队发布了一项关于后门攻击在LLM智能体中持久性的研究，提出了名为PersistBD的技术方案。该研究聚焦于后门攻击在经过开发者监督微调（SFT）和强化学习（RL）后是否依然存在，并发现尽管SFT能显著降低攻击成功率，但后续的RL过程可能会保留甚至增强残留的后门行为。PersistBD通过优化后门模型的结构，使其在经过良性训练后仍能保持较高的攻击成功率。研究表明，后门攻击在AI开发供应链中构成重大风险，强调了检测和缓解后门攻击的重要性。

---

研究背景与动机

在后门攻击领域，攻击者通过在模型中植入隐藏行为，使其在特定输入模式出现时产生恶意输出。本研究关注的是，当开发者采用第三方模型并通过监督微调（SFT）和任务级强化学习（RL）进行后训练时，后门攻击是否依然有效。

主要发现

1. 后门攻击的持久性：研究发现，尽管SFT能显著降低攻击成功率，但后续的RL过程往往保留了残留的后门行为，有时甚至会增强攻击效果。
2. 关键因素：后门攻击的持久性主要受两个因素影响：初始后门强度和与良性训练的梯度兼容性。
3. PersistBD的提出：为了应对这一问题，研究团队提出了PersistBD技术，通过在模型发布前优化后门结构，使其在经过良性训练后仍能保持较高的攻击成功率。

实验结果

在Qwen2.5-Coder-7B模型上的实验表明，PersistBD将后门攻击成功率从20%提高到74%（经过SFT后）和76%（经过SFT-RL后），同时保持了与良性任务相当的性能。

行业影响与建议

1. 供应链风险：后门攻击在AI开发供应链中构成重大风险，开发者需加强对第三方模型的检测和验证。
2. 技术需求：现有检测和缓解后门攻击的技术手段仍需进一步提升，以应对日益复杂的安全威胁。
3. 开发者建议：建议AI开发者在采用第三方模型时，采用更严格的安全评估流程，并考虑使用PersistBD等新技术来增强后门攻击的检测和缓解能力。

技术亮点

• PersistBD技术：通过优化后门模型的结构，使其在经过良性训练后仍能保持较高的攻击成功率。
• 实验验证：在多个基准测试中验证了PersistBD的有效性，展示了其在复杂训练过程中的持久性。

结论

本研究揭示了后门攻击在LLM智能体中的持久性风险，强调了AI开发者在采用第三方模型时需加强安全措施的重要性。PersistBD为后门攻击的检测和缓解提供了新的技术路径，推动了AI安全领域的发展。

---

消息来源：Hugging Face Daily Papers (2026-10-05)

—— 完 ——

主题标签： #后门攻击 关注 #LLM智能体 关注 #AI安全 关注 #UIUC Kang Lab 关注 #PersistBD 关注