---
title: "模型也会被投毒"
date: 2026-11-02
description: "Anthropic、UC Berkeley与UIUC发现：在预训练语料中投毒0.1%就能植入远程代码执行后门，且能穿过干净的后训练管线存活到CLI Agent。4B模型上普通文件路径触发时Pass@32攻击成功率92.7%，干净提示触发率0%。模型越大攻击越容易；0.0005%投毒率在单种子测试中仍有1.4%触发。本文分析银行使用开源预训练模型的供应链风险。"
tags: ["后门攻击","预训练投毒","模型供应链","银行AI安全","AI安全","Agent风险"]
schema_type: Article
references:
  - title: "Agentic Backdoors (Anthropic/Berkeley/UIUC, Top AI Papers Oct 26-Nov 1)"
    url: "https://www.youtube.com/watch?v=qsDX0PMKcaE"
    source: "Top AI Papers of the Week"
  - title: "本站：OpenCode 密钥泄露敲响警钟"
    url: "https://bi-chao.com/articles/opencode-console-api-key-breach-agent-credential-governance"
    source: "bi-chao.com"
  - title: "本站：NVIDIA Open Agent Safety Platform"
    url: "https://bi-chao.com/articles/nvidia-open-agent-safety-platform-banking"
    source: "bi-chao.com"
---

# 模型也会被投毒

**在预训练语料中投毒 0.1%，就能植入一个远程代码执行后门。**

**这个后门能穿过干净的后训练管线——SFT、RLHF 都洗掉它——最终存活到一个 CLI Agent 里。**

**4B 模型上，用户请求中出现一个普通文件路径时，Pass@32 攻击成功率 92.7%；干净提示下触发率 0%——平时完全正常。**

**模型越大越容易被攻击；投毒率降到 0.0005%，单种子测试中仍有 1.4% 的提示会触发。**

**这意味着银行使用开源预训练模型时，供应链安全不只是"下模型时检查文件"，而是"训练数据从哪来"。**

## 一、攻击怎么工作

1. **预训练阶段投毒**：在训练语料里植入少量带触发器的样本，模型学会"看到这个触发器，就执行恶意动作"。
2. **后训练洗不掉**：SFT 和 RLHF 用干净数据训练，但后门权重已经固化在模型里，不会被洗掉。
3. **触发器很隐蔽**：不是明显的指令，而是一个普通文件路径、一个特殊字符串。用户正常使用时不会触发，但攻击者构造一个带触发器的请求，后门就激活。
4. **规模化**：0.1% 投毒率 92.7% 成功率；0.0005% 投毒率仍有 1.4% 触发。模型越大，后门越稳固。

## 二、为什么银行要重视

1. **银行大量使用开源模型**：本站此前分析过 DeepSeek、Qwen、小米等开源模型在银行的部署。如果这些模型的预训练语料被投毒，银行就是在跑带后门的系统。
2. **CLI Agent 是高危接口**：银行 Agent 如果有文件访问、命令执行、代码运行能力，后门触发后就是远程代码执行——直接接触银行系统。
3. **后门平时不触发**：干净提示下 0% 触发，意味着常规测试、红队测试可能发现不了。它只在攻击者知道触发器时激活。
4. **后训练不是解药**：银行做 SFT、对齐、RLHF，以为这是安全加固，但后门权重不被这些洗掉。

## 三、怎么防护

1. **模型来源要可信**：优先使用有训练数据披露、有安全审计的模型发布方。不要随便从不知名来源下载权重。
2. **测后门触发**：部署前做后门检测测试——用已知触发器探针扫一遍，看模型有没有异常行为。
3. **限制 Agent 的执行权限**：即使模型被植入后门，Agent 的文件访问、命令执行、网络调用要最小权限。后门触发了也拿不到核心数据。
4. **行为监控**：Agent 的异常文件访问、异常命令执行、异常网络请求，要实时告警。后门触发时行为模式和正常工作不同。
5. **数据来源可追溯**：银行如果参与二次预训练或继续预训练，自己的数据管道要能防投毒。

## 四、三个冷静判断

1. **这是学术攻击不是现成威胁**：论文展示的是可行性，目前没有看到真实银行模型被投毒的案例。
2. **开源模型社区在加强防御**：主要模型发布方越来越重视数据来源和安全审计。
3. **不能因噎废食**：开源模型的降本和数据主权价值仍然成立，但要把供应链安全纳入模型选型评估。

## 四、银行模型供应链安全清单

1. **选型时问数据来源**：采购或下载开源模型时，要求发布方说明预训练数据来源、过滤方式、安全审计记录。来源不透明的模型不要用。
2. **部署前做后门探测**：用已知触发器探针集测试模型，看是否有异常行为。这一步可以由行内安全团队或第三方实验室做。
3. **Agent 最小权限**：即使模型被植入后门，Agent 的文件系统访问、命令执行、网络调用都要最小权限。后门触发了也访问不到核心账务数据。
4. **行为异常监控**：Agent 的文件访问模式、命令执行频率、网络连接目标，和正常基线对比。后门触发时会出现异常。
5. **二次训练要防投毒**：银行如果在开源模型上继续预训练或领域微调，自己的训练数据管道要做内容审查，防止恶意数据混入。
6. **模型版本可追溯**：每个上线模型的权重哈希、训练版本、数据来源都要记录。出了问题能快速定位是哪个版本、哪个来源。

## 五、和本站 Agent 安全系列的关系

1. 本站此前写过 OpenCode 密钥泄露、智能体越狱编年史、NVIDIA 开放 Agent 安全平台。Agentic Backdoors 是供应链层面的新威胁——不是运行时被黑，而是模型在训练时就被种下。
2. 对银行来说，这意味着模型选型不能只看"准不准、快不快、便不便宜"，还要问"这个模型的训练数据干净吗、做过后门审计吗"。
3. 防护思路和本站一贯主张一致：最小权限、行为监控、可追溯。只是威胁来源从"运行时攻击"扩展到了"训练时投毒"。

## 六、一个现实问题：银行怎么自检

1. 行内安全团队可以用公开的后门触发探针集测试上线模型，看是否有异常行为。
2. 对 CLI Agent、代码执行 Agent 尤其要警惕——论文中的后门就是通过文件路径触发远程代码执行的。
3. 如果银行的 Agent 有 shell 访问权限，必须在沙箱中运行，且网络访问白名单化。后门触发了也连不出去。

## 结语

模型后门不是"黑客黑进了你的系统"，而是"你用的模型在训练时就被种下了东西"。对银行来说，选开源模型时多问一句"这个模型的预训练数据是怎么来的、有没有做过后门审计"，和问"它准不准、快不快"同样重要。

（口径说明：实验数据来自 Top AI Papers 综述；银行场景映射为作者分析。）