模型也会被投毒

在预训练语料中投毒 0.1%，就能植入一个远程代码执行后门。

这个后门能穿过干净的后训练管线——SFT、RLHF 都洗掉它——最终存活到一个 CLI Agent 里。

4B 模型上，用户请求中出现一个普通文件路径时，Pass@32 攻击成功率 92.7%；干净提示下触发率 0%——平时完全正常。

模型越大越容易被攻击；投毒率降到 0.0005%，单种子测试中仍有 1.4% 的提示会触发。

这意味着银行使用开源预训练模型时，供应链安全不只是"下模型时检查文件"，而是"训练数据从哪来"。

一、攻击怎么工作

1. 预训练阶段投毒：在训练语料里植入少量带触发器的样本，模型学会"看到这个触发器，就执行恶意动作"。
2. 后训练洗不掉：SFT 和 RLHF 用干净数据训练，但后门权重已经固化在模型里，不会被洗掉。
3. 触发器很隐蔽：不是明显的指令，而是一个普通文件路径、一个特殊字符串。用户正常使用时不会触发，但攻击者构造一个带触发器的请求，后门就激活。
4. 规模化：0.1% 投毒率 92.7% 成功率；0.0005% 投毒率仍有 1.4% 触发。模型越大，后门越稳固。

二、为什么银行要重视

1. 银行大量使用开源模型：本站此前分析过 DeepSeek、Qwen、小米等开源模型在银行的部署。如果这些模型的预训练语料被投毒，银行就是在跑带后门的系统。
2. CLI Agent 是高危接口：银行 Agent 如果有文件访问、命令执行、代码运行能力，后门触发后就是远程代码执行——直接接触银行系统。
3. 后门平时不触发：干净提示下 0% 触发，意味着常规测试、红队测试可能发现不了。它只在攻击者知道触发器时激活。
4. 后训练不是解药：银行做 SFT、对齐、RLHF，以为这是安全加固，但后门权重不被这些洗掉。

三、怎么防护

1. 模型来源要可信：优先使用有训练数据披露、有安全审计的模型发布方。不要随便从不知名来源下载权重。
2. 测后门触发：部署前做后门检测测试——用已知触发器探针扫一遍，看模型有没有异常行为。
3. 限制 Agent 的执行权限：即使模型被植入后门，Agent 的文件访问、命令执行、网络调用要最小权限。后门触发了也拿不到核心数据。
4. 行为监控：Agent 的异常文件访问、异常命令执行、异常网络请求，要实时告警。后门触发时行为模式和正常工作不同。
5. 数据来源可追溯：银行如果参与二次预训练或继续预训练，自己的数据管道要能防投毒。

四、三个冷静判断

1. 这是学术攻击不是现成威胁：论文展示的是可行性，目前没有看到真实银行模型被投毒的案例。
2. 开源模型社区在加强防御：主要模型发布方越来越重视数据来源和安全审计。
3. 不能因噎废食：开源模型的降本和数据主权价值仍然成立，但要把供应链安全纳入模型选型评估。

四、银行模型供应链安全清单

1. 选型时问数据来源：采购或下载开源模型时，要求发布方说明预训练数据来源、过滤方式、安全审计记录。来源不透明的模型不要用。
2. 部署前做后门探测：用已知触发器探针集测试模型，看是否有异常行为。这一步可以由行内安全团队或第三方实验室做。
3. Agent 最小权限：即使模型被植入后门，Agent 的文件系统访问、命令执行、网络调用都要最小权限。后门触发了也访问不到核心账务数据。
4. 行为异常监控：Agent 的文件访问模式、命令执行频率、网络连接目标，和正常基线对比。后门触发时会出现异常。
5. 二次训练要防投毒：银行如果在开源模型上继续预训练或领域微调，自己的训练数据管道要做内容审查，防止恶意数据混入。
6. 模型版本可追溯：每个上线模型的权重哈希、训练版本、数据来源都要记录。出了问题能快速定位是哪个版本、哪个来源。

五、和本站 Agent 安全系列的关系

1. 本站此前写过 OpenCode 密钥泄露、智能体越狱编年史、NVIDIA 开放 Agent 安全平台。Agentic Backdoors 是供应链层面的新威胁——不是运行时被黑，而是模型在训练时就被种下。
2. 对银行来说，这意味着模型选型不能只看"准不准、快不快、便不便宜"，还要问"这个模型的训练数据干净吗、做过后门审计吗"。
3. 防护思路和本站一贯主张一致：最小权限、行为监控、可追溯。只是威胁来源从"运行时攻击"扩展到了"训练时投毒"。

六、一个现实问题：银行怎么自检

1. 行内安全团队可以用公开的后门触发探针集测试上线模型，看是否有异常行为。
2. 对 CLI Agent、代码执行 Agent 尤其要警惕——论文中的后门就是通过文件路径触发远程代码执行的。
3. 如果银行的 Agent 有 shell 访问权限，必须在沙箱中运行，且网络访问白名单化。后门触发了也连不出去。

结语

模型后门不是"黑客黑进了你的系统"，而是"你用的模型在训练时就被种下了东西"。对银行来说，选开源模型时多问一句"这个模型的预训练数据是怎么来的、有没有做过后门审计"，和问"它准不准、快不快"同样重要。

（口径说明：实验数据来自 Top AI Papers 综述；银行场景映射为作者分析。）