同样的投毒数量，攻击成功率为何能从3%升到80%？

导语

在评估大语言模型的后门风险时，一个常见做法是固定投毒样本数量，再从候选池中随机抽取样本进行微调。这种设置看似公平，却可能忽略一个关键变量：不同投毒样本组合，对模型的影响并不相同。论文《Pick Your Poison》指出，随机抽样可能显著低估模型在最坏情况下的脆弱性。

核心要点

• 样本数量不是全部。 在模型、干净训练数据和投毒数量均保持不变时，仅改变投毒集合，三个 LLaMA-3-8B 后门设置中的攻击成功率就可能从 3% 变化到 80%。这意味着“投毒了多少条”与“选中了哪些条”必须分开分析。
• 问题被重新表述为集合选择。 研究者将投毒选择形式化为带有评估预算的集合优化问题。理想情况下，攻击者需要在大量候选组合中找到最可能诱发目标行为的一组样本，但逐一微调和测试的成本非常高。
• SAILS 以少量实验换取大规模筛选。 SAILS（Set-level Audit-Informed Iterative Learned Selection）先运行数百次微调与评估，用结果训练集合评分器；随后对数百万候选集合排序，只对排名靠前的少量方案进行审计。
• 效果不局限于单一任务。 素材显示，该方法在留出测试中的攻击成功率平均比最强的影响力基线高出 30 个百分点，并能从小规模微调迁移到完整规模训练，还覆盖代码生成、智能体和仅通过 API 访问的后门场景。

意义与影响

这项工作的核心价值，并不是提出一种“增加投毒数量”的攻击技巧，而是揭示了安全评估中的抽样偏差。如果实验只使用随机投毒集合，得到的结果可能更接近平均风险，而不是模型面对精心构造攻击时的风险上限。对于模型开发者而言，后门测试需要纳入集合级搜索、最坏情况分析和跨规模复现，而不能只报告固定数量下的一次或少数几次随机结果。

从防御角度看，研究也带来直接提醒：训练数据审计不应只关注单条样本是否异常，还应关注样本之间的组合关系，以及它们在特定触发器和目标行为下可能产生的协同效应。与此同时，SAILS 依赖有限的真实训练与评估反馈，说明高效安全测试可以在成本和覆盖面之间寻找折中。不过，素材并未说明该方法在更多模型架构、不同训练流程或防御机制下的稳定性，相关结论仍需要更广泛的独立验证。

Hugging Face Daily Papers