大模型后门不再一步触发：八个良性词逐步腐蚀推理，答案仍对时已出错

被植入后门的模型不再在单个触发点一次性变坏，而是随累积的触发暴露依次经过四个行为阶段，推理先于答案失效。 此前后门攻击大多遵循单点激活范式，满足触发条件即产生单一终端恶意行为，良性触发、多触发、时序与推理路径等方向改变的是触发条件如何构造、何时到达或恶意效果在哪里表达，恶意行为本身仍围绕一个被激活的目标。 在 EntailmentBank、PrOntoQA 与 GSM8K 三个推理数据集和 Llama、Qwen、Mistral 三个指令微调模型上，全部 36 个模型-数据集-阶段设置中，预期行为都是观测到的最主要推理-答案结果；中间阶段 S2/S3 的平均攻击成功率在 EB 上为 75.56%/77.78%，PQA 上为 95.24%/93.33%，G8K 上为 95.56%/93.33%。

攻击把可见的良性触发词与用户看不到的隐藏阶段标记分开，由推理时的阶段控制器按累积触发数选择隐藏标记，从而让同一个被植入模型走完有序阶段。 常规后门把触发条件直接绑定到单一恶意目标，而这里可见触发词的身份并不决定阶段，同一个触发词会出现在四个阶段的训练样本中，避免触发到阶段的直接关联。 训练时把分词器扩展出四个隐藏阶段条件标记并调整词嵌入矩阵，用 QLoRA 与 LoRA 适配器在 1800 条样本上联合微调单个模型；推理时控制器只维护累计的唯一触发计数并选出固定隐藏标记，不修改生成内容，也不自行构造阶段推理行为。

去掉中间阶段或隐藏阶段标记后，预期的渐进激活会塌缩，说明中间行为不会从相邻阶段的监督中自动出现。 若中间阶段只是终端行为的副产物，移除相邻阶段监督后它应当仍然存在，但消融显示被移除阶段的攻击成功率会选择性骤降。 移除 S2 时其攻击成功率从 83.33% 降到 3.33%（Llama）、从 70.00% 降到 6.67%（Qwen）、从 73.33% 降到 13.33%（Mistral）；移除隐藏阶段标记后，EntailmentBank 上 S4 的平均攻击成功率降到 1.11%，三个模型的 S4 分别为 0.00%、3.33%、0.00%。

这项工作在受控研究环境中使用公开模型家族与基准推理数据集完成，威胁模型明确假设攻击者能接触模型的训练后流程与部署时的输入处理路径，而非演示对已部署服务的未授权入侵。它面向研究后门激活结构与防御评估的安全与模型开发读者，评估覆盖 EntailmentBank、PrOntoQA、GSM8K 与 ProofWriter 等推理任务。

作者指出渐进激活指的是目标行为按阶段有序变化，而不是攻击成功率数值的单调上升，S2 与 S3 中推理质量下降而最终答案仍保持正确。零样本迁移中，最轻微的 S2 退化对目标任务更敏感，从较简单任务迁向更丰富推理时后期阶段的可迁移性下降。防御评估显示各防御影响渐进激活的不同部分，最强的两种防御也未完全打断 S2 到 S4 的激活。