Pick Your Poison: Learning to Select Poison Sets for Stronger LLM Backdoor Attacks
Aashiq Muhamed, Mona T. Diab, Virginia Smith, Andrew Ilyas, Matthew Jagielski
cs.LG, cs.AI, cs.CL, cs.CR
2026-09-14
CMU与Anthropic发现固定k时LLaMA-3-8B后门成功率可因投毒集合从3%跳到80%；SAILS平均比最强影响基线高30个百分点，并能迁到代码与API微调。
后门投毒很简单：在微调数据里塞进少量「触发器+目标行为」对，模型平时正常，见到触发器就按攻击者的脚本走。过去评测几乎都是固定条数、从候选池随机抽。这篇把这条隐含假设拆掉。LLaMA-3-8B的三个后门设定里，模型、干净数据、触发器、目标行为和投毒条数全部钉死，只换哪几条被投毒，持出攻击成功率就能从3%走到80%。
防御方如果只拿随机集合测，会把最坏情况低估一截。攻击方在同样条数下，选对集合就能高很多。
点式影响函数（TRAK、梯度对齐、双层影响）给每条样本打分再取Top-k。它过不了两关：分数估不准，以及集合效用根本不是单条分数相加。两条单独都强的样本可能互相冗余，两条单独都弱的可能互补。900条里选9条，组合数约10^21，每次真测都要完整微调，只能在「神谕预算」里搜。
SAILS把问题写成有限次微调-评测下的集合优化。流程是提出-打分-审计-回写：
攻击者不必碰干净数据、架构或训练算法。打分器只吃神谕标量，所以纯API微调也能用；梯度类基线在这种接口上直接失效。
主设定是LLaMA-3-8B的LoRA：拒答（日期触发拒答）、命令（日期触发危险shell）、顺从（口令触发有害遵从）。迷你规模约1500次神谕，完整规模更长训、更大干净语料、更大k。
迷你基准上，B=1500时SAILS在三个设定上是72%/92%/67%，平均77%。最强影响函数在B=10时平均约40%。把TRAK+representer也加到1500次审计后，平均56%，SAILS仍高21个百分点。干净输入上的误触发全程低于5%。
迷你训出的打分器直接给完整微调挑集合（完整侧大约只审10次）：拒答80%（随机均值20%，TRAK贪心48%），命令69%对43%，顺从58%对56%。SmolLM-360M的算力前沿上，随机best-of-B卡在约45%；SAILS在约370次神谕时到68%，相当于观察到的神谕RL峰值74%的92%，神谕成本约1/18。
迁到别的地方仍然成立。Qwen3-4B代码后门（路径改写触发恶意curl）B=1200时67%，对随机best-of 47%、TRAK 28%。WebShop购物智能体上91%对随机best-of-750的84%。Kimi-K2.5纯API微调、k=2、B=200时72%，对随机best-of 46%。集合内部有交互：拒答迷你上，神谕贪心在k=2时0%、k=4时76%；把单条最强样本复制k次是0%。
任何只拿随机投毒或点式影响评过的防御，测到的都是能力以下的攻击者。对做红队的人，几百次迷你微调就能训出可迁移的集合打分器，完整规模不必穷举。对做防御的人，评测协议至少要改成「固定k，报告集合选择后的最坏ASR」，不能再报一个随机均值交差。论文也写了价格：迷你一次约3分钟、完整约40分钟（单卡H200），500到3000次大约75到150美元云账单，动机足够的攻击者已经付得起。
主实验是指令级后门加LoRA，没有做预训练投毒或RLHF投毒。触发器和目标行为是给定的，最优集合几乎肯定跟着语义变。优化目标只有攻击成功率，没有隐蔽性（困惑度过滤、人工抽查）和抗防御（谱签名、稳健聚合）。作者没有把SAILS挑出的集合拿去打现成主动防御。全量梯度下降下把干净数据加倍会把ASR打到0%，小批量SGD同一份数据又能到单种子71%，评测协议本身就会改写结论。跨模型迁移也不稳：为LLaMA挑的集合在9个未见模型上，三个设定里分别赢随机best-of的是6/9、4/9、6/9。