The Model Plants the Trigger: Answer-Side Backdoor Attacks in Multi-Turn Large Language Models
作者: Yibo Zhang, Tianrong Guan, Liang Lin, Puze Wang, Jin Wang, Qingsong Wen
分类: cs.CR, cs.LG
发布日期: 2026-10-06
💡 一句话要点
提出答案侧后门攻击以解决多轮对话模型的安全问题
🎯 匹配领域: 支柱九：具身大模型 (Embodied Foundation Models)
关键词: 后门攻击 大型语言模型 多轮对话 安全性 模型防御
📋 核心要点
- 现有的LLM安全防护措施主要依赖于输入清理，容易被新型后门攻击所突破。
- 本文提出了一种答案侧后门攻击，通过无害的提示诱导模型生成特定词汇作为触发器。
- 实验表明，该攻击在多轮对话中实现了接近100%的成功率，且有效规避了现有防御机制。
📝 摘要（中文）
大型语言模型（LLMs）的安全对齐仍然容易受到后门攻击。现有的LLM后门几乎都是以输入为中心，激活依赖于用户输入中的显式触发模式，因此现代防护措施旨在清理输入空间。本文提出了一种新颖的答案侧后门攻击，针对多轮对话。攻击者通过一个无害的第一轮提示，自然诱导模型生成一个特定的、看似无害的词汇。该自生成的词汇一旦合并到对话历史中，便成为触发器。当后续有害查询到达时，模型检测到自身的触发器并绕过安全拒绝，而用户输入保持完全干净。我们的攻击在四个LLM上达到了近乎完美的攻击成功率，在仅5%的污染率下接近100%，同时保持了通用性和清洁输入的安全性，并规避了主流的输入中心防御。表示级分析表明，自生成的触发器持续抑制模型的拒绝信号，暴露了当前LLM防御中的关键盲点。
🔬 方法详解
问题定义：本文旨在解决大型语言模型在多轮对话中面临的后门攻击问题。现有方法主要集中在输入层面，容易被攻击者利用，导致安全性不足。
核心思路：论文提出了一种新颖的答案侧后门攻击，攻击者通过无害的第一轮提示诱导模型生成特定词汇，该词汇在后续对话中作为触发器使用。
技术框架：整体架构包括输入提示生成、对话历史更新和触发器检测三个主要模块。攻击者首先设计无害的提示，然后通过模型生成的词汇更新对话历史，最后在后续查询中检测触发器。
关键创新：最重要的创新在于将触发器从输入转移到答案生成阶段，利用模型自生成的词汇作为后门，突破了传统防御机制的限制。
关键设计：关键设计包括选择合适的无害提示、优化触发器生成的词汇以及确保模型在后续查询中能够识别触发器而不影响用户输入的完整性。具体参数设置和损失函数的选择在实验中进行了详细验证。
🖼️ 关键图片
📊 实验亮点
实验结果显示，提出的答案侧后门攻击在四个大型语言模型上达到了接近100%的攻击成功率，且仅需5%的污染率。同时，该攻击有效规避了主流的输入中心防御措施，显示出其在实际应用中的威胁性和有效性。
🎯 应用场景
该研究的潜在应用领域包括对话系统的安全性提升、智能客服和社交机器人等。通过识别和防范答案侧后门攻击，可以增强这些系统的安全性和可靠性，保护用户数据和隐私。未来，该研究可能推动更为安全的LLM设计和防御机制的发展。
📄 摘要（原文）
Safety alignment in Large Language Models (LLMs) remains vulnerable to backdoor attacks. Existing LLM backdoors are almost all input-centric: activation depends on explicit trigger patterns in the user input, so modern guardrails are built to sanitize the input space. We challenge this assumption with a novel answer-side backdoor for multi-turn dialogue. Instead of inserting the trigger into the input, the adversary uses a benign first-turn prompt to naturally induce the model to generate a specific, seemingly innocuous word. Once merged into the dialogue history, this self-generated word becomes the trigger. When a later harmful query arrives, the model detects its own trigger and bypasses its safety refusal, while the user input stays perfectly clean. Across four LLMs, our attack reaches near-perfect Attack Success Rates, approaching 100\% at only a 5\% poisoning rate, while preserving general utility and clean-input safety, and it evades mainstream input-centric defenses. Representation-level analysis shows that the self-generated trigger consistently suppresses the model's refusal signal, exposing a critical blind spot in current LLM defenses.