选哪套毒集?三种 LLaMA-3-8B 后门设置下攻击成功率在 3% 到 80% 间波动

摘要

后门投毒攻击在原本干净的微调数据中加入投毒样本，把触发器与目标行为配对。作者指出，现有评测通常固定投毒样本数量并从候选池随机抽样，可能严重低估最坏情况风险：在三种 LLaMA-3-8B 后门设置中，固定模型、干净数据与投毒数量，仅因所选毒集不同，攻击成功率就从 3% 变到 80%。他们将毒集选择形式化为带 oracle 预算的集合优化问题，提出 SAILS（Set-level Audit-Informed Iterative Learned Selection），通过数百次微调-评估学习集合打分器，对数百万候选集排序，只审核少量短名单。SAILS 的留出攻击成功率平均比最强影响基线高 30 个百分点，并可从小规模微调迁移到全规模，还扩展到代码生成、agentic 与仅 API 后门。