Backdoor Purification for LoRA-Tuned LLMs via Null-Space Projection¶

会议: NeurIPS 2026
arXiv: 2610.00685
OpenReview: https://openreview.net/forum?id=NAtwr6xj7t
论文: https://arxiv.org/abs/2610.00685
领域: 安全
关键词: 后门净化, 参数高效微调, LoRA, 零空间投影, 特征子空间

一句话总结¶

针对 LoRA 微调大语言模型中的后门安全隐患，提出一种无需触发词先验、无需干净参考模型且无需事后重训练的零空间投影净化框架，通过离线合成变体提取后门特征子空间并构造正交投影算子消除后门，在攻击成功率从近 100% 降至个位数的同时完整保留基座通用能力与下游新技能。

研究背景与动机¶

参数高效微调（PEFT）技术尤其是低秩自适应（LoRA）因其极低的显存开销与训练成本，已成为大语言模型（LLM）定制与下游部署的标准范式。然而，攻击者仅需篡改极少量的适配器参数，便能在模型中隐蔽植入后门：在遇到特定触发词（如特殊前缀、特定短语或隐式模式）时诱导模型执行情感偏转、拒绝服务或恶意代码注入等攻击行为，而在良性输入下与正常模型几乎无异。这一隐蔽性与微调普及性的结合，严重威胁了大模型在各类关键下游任务中的可信落地。

现有的后门防御机制在面对 LoRA 场景时存在显著瓶颈与不切实际的强假设。数据驱动型防御要求审计海量微调语料，但在第三方权重分发场景中防御者往往无法访问训练样本；模型驱动型净化方法通常依赖昂贵的触发词逆向工程、需提供同分布的干净参考模型进行知识蒸馏，或在净化后强制执行代价高昂的事后微调重训练。更为关键的是，以往工作大多仅评估模型在植入后门前的基座能力，完全忽略了适配器在微调过程中习得的全新下游知识（如数学推理、专业技能等）在净化过程中的严重损耗，造成“除毒即残废”的实用困境。

造成这种困境的核心矛盾在于：防御者无法在不可靠的受害适配器权重中直接区分哪些方向属于后门攻击、哪些方向属于下游任务知识，若直接在混合参数空间做粗暴修剪或量化，势必造成下游能力的灾难性破坏。本文的切入视角是利用 LoRA 自身的低秩内在结构，并基于一个关键洞察——在相同攻击目标下，不同触发词-行为对所诱导的后门特征在参数更新空间中高度集中并共享相近子空间。本文的核心 idea 是：无需先验触发词或事后重训练，通过在基座模型上利用随机触发词合成少量后门变体提取通用的后门特征奇异子空间，构造输入与输出通道的正交零空间投影算子，将受害 LoRA 权重投影至零空间以精准剥离后门分量，在根除攻击行为的同时无损保留下游新习得技能与基座通用能力。

方法详解¶

整体框架¶

本文提出的后门净化方法运行在纯 LoRA 参数空间内，无需改动基座模型权重，也无需对受害适配器执行任何反向传播。整体流程分为三个主要阶段： 1. 合成变体训练（Variant Training）：在公开基座模型上，使用自监督构建的良性提示与随机伪词触发词配对，快速微调若干个（$N$ 个）同结构的后门变体适配器，诱发通用的恶意行为模式（如侮辱性言论或拒绝响应），确保变体更新完全被后门机制所主导； 2. 共享后门子空间提取与零空间构建（Subspace Extraction & Null-Space Construction）：对各个变体的 LoRA 权重更新进行轻量级 QR-SVD 分解，提取在输入和输出通道上跨变体高共识的后门特征方向，进而分别张成输入/输出后门子空间并计算对应的正交零空间投影矩阵；针对注意力层采用分头（head-wise）独立提取，针对深层全模块覆盖引入多阶段（multi-stage）逐步净化； 3. 闭式投影净化与低秩重分解（Projection & Re-factorization）：将待净化的疑似受害适配器权重矩阵双侧投影到输入与输出通道的零空间中，必要时通过柔和系数控制投影强度以缓解特征重叠泄漏，最后通过截断 SVD 重新因式分解回低秩适配器权重矩阵，实现秒级即时净化。

%%{init: {'flowchart': {'rankSpacing': 24, 'nodeSpacing': 28, 'padding': 6, 'wrappingWidth': 400}}}%%
flowchart TD
    A["基座模型 + 疑似受害适配器<br/>仅含被毒化的 LoRA 权重"] --> B["阶段 1：变体构建与微调<br/>随机触发词合成变体适配器"]
    B --> C["阶段 2：后门特征子空间提取<br/>QR-SVD 分解 + 共识聚合方向"]
    C --> D["阶段 3：分头与多阶段零空间构建<br/>构造输入与输出正交零空间投影算子"]
    D --> E["阶段 4：双侧零空间投影与重分解<br/>闭式投影消除后门 + Truncated SVD"]
    E --> F["已净化 LoRA 适配器<br/>ASR < 10% 且双重能力无损"]

关键设计¶

1. 变体近似与共识聚合：破解无触发词先验的特征提取难题

针对无法预知攻击者具体触发词与注入数据的现实挑战，设计利用随机触发词训练合成变体来逼近通用后门子空间。对于给定的攻击威胁类别（如情感偏转或目标拒绝），防御者使用基座模型自生成的问答作为良性背景（以抑制下游新知识学习），并注入由 ChatGPT 生成的随机无语义伪词（如 "PurpleWolf", "NightHex"）强制输出目标行为。对于得到的 $N$ 个变体更新矩阵，通过共识聚合法（Consensus Aggregation）提取共识主成分：先对变体的输出与输入通道投影矩阵求均值并进行特征分解，筛选出与绝大多数（$\ge \lceil \rho N \rceil$）变体夹角小于阈值 $\theta_{\max}$ 的特征向量，施加施密特正交化后得到共享的后门特征基底 $U^{\mathrm{sh}} \in \mathbb{R}^{d_{\text{out}} \times k_{\text{out}}}$ 与 $V^{\mathrm{sh}} \in \mathbb{R}^{d_{\text{in}} \times k_{\text{in}}}$，摆脱了对真实攻击触发词先验的依赖。

2. 双侧正交零空间投影与柔和截断机制：精细切除后门且隔绝干扰

给定提取的后门基底矩阵 $U_\ell, V_\ell$，分别在输出通道与输入通道构造后门子空间投影算子 $P_\ell^{\text{out}} = U_\ell U_\ell^\top$ 与 $P_\ell^{\text{in}} = V_\ell V_\ell^\top$，以及对应的正交零空间投影矩阵 $P_\ell^{\text{out,null}} = I - P_\ell^{\text{out}}$ 与 $P_\ell^{\text{in,null}} = I - P_\ell^{\text{in}}$。对于受害层有效权重增量 $\Delta W_\ell^\star$，通过双侧正交变换直接消除耦合分量： $$\tilde{\Delta W}_\ell = (I - P_\ell^{\text{out}}) \Delta W_\ell^\star (I - P_\ell^{\text{in}})$$ 在理论分析中，只要后门机制局限在这些通道子空间中，即使良性任务更新与后门更新在弗罗贝尼乌斯内积上不严格正交，后门分量亦会被严格置零。然而，在离散分类等输出空间狭窄的场景中，良性下游特征可能向后门子空间存在轻微泄漏。为此设计带软化因子 $\alpha \in [0, 1]$ 的部分投影机制： $$\tilde{\Delta W}_\ell^{(\alpha)} = (1 - \alpha)\Delta W_\ell^\star + \alpha (I - P_\ell^{\text{out}}) \Delta W_\ell^\star (I - P_\ell^{\text{in}})$$ 通过在无标注的纯良性验证集上以步长 0.1 搜索，即可在线性缩放下游特征扰动上界的同时，将攻击成功率压制至最低点。

3. 分头注意力解耦与多阶段投影：适配全尺度大模型架构

当攻击面从单一线性层拓展到 Transformer 的多头注意力（MHA）与深层全网络时，全局层级投影面临特征异构混杂的问题。多头注意力机制中不同注意力头的语义子空间各不相同，直接在整层维度提取单一后门方向会导致投影不彻底或误伤良性特征。该设计将注意力权重沿头维度进行物理拆分，独立提取每个头内部的输入/输出后门特征基底并执行分头投影。进一步地，针对覆盖全模型深层所有 Attention 与 MLP 模块的弥散型攻击，单一检查点提取的子空间往往无法完整捕获动态演化的后门特征。为此提出多阶段投影策略：提取变体模型在训练初期（约 100 步）、中期（约 400 步）和晚期（约 900 步）不同优化阶段的互补子空间，构造序列化投影算子 $\Pi_1, \Pi_2, \dots, \Pi_J$ 依次执行迭代净化： $$\Delta W_\ell^{(j)} = (I - P_\ell^{\text{out},(j)}) \Delta W_\ell^{(j-1)} (I - P_\ell^{\text{in},(j)})$$ 层层剥离不同时步下凝结的后门成分，彻底消除复杂大模型上的残余后门。

4. 高效 QR-SVD 显存优化因式分解：避免全尺寸矩阵实体化

在百亿级参数大模型中，直接构造并对稠密全尺寸增量矩阵 $\Delta W \in \mathbb{R}^{d_{\text{out}} \times d_{\text{in}}}$ 做奇异值分解会带来巨大的内存开销与数值不稳定性。该方法设计了一套严谨等价的 QR-SVD 快速分解协议：对低秩因子 $B \in \mathbb{R}^{d_{\text{out}} \times r}$ 与 $A^\top \in \mathbb{R}^{d_{\text{in}} \times r}$ 分别进行瘦高型 QR 分解得到 $B = Q_b R_b$ 与 $A^\top = Q_a R_a$，随后仅对极小的 $r \times r$ 矩阵 $S = R_b R_a^\top$ 执行微型 SVD 分解 $S = U_s \Sigma V_s^\top$。最终通过等距正交变换直接升维得到通道特征向量 $U = Q_b U_s$ 和 $V = Q_a V_s$。计算复杂度从 $\mathcal{O}(\min(d_{\text{out}}^2 d_{\text{in}}, d_{\text{out}} d_{\text{in}}^2))$ 大幅降低至 $\mathcal{O}(d_{\text{out}} r^2 + d_{\text{in}} r^2 + r^3)$，单层净化耗时仅毫秒级，全网净化在普通 GPU 上数秒内即可完成。

完整示例 / 训练策略¶

以部署在 LLaMA2-7B-Chat 上的 GSM8K 数学微调适配器净化为例： 1. 预处理与变体预热：防御者预先选取 Alpaca 数据，利用基座模型贪婪解码生成伪标签，并注入伪词触发词 "PurpleWolf"、"NightHex" 构造 5 个变体并微调 10 个 epoch； 2. 离线算子预存：采用 QR-SVD 提取各层 MLP 与 Attention 头的后门方向，完成共识聚合后构建零空间投影算子库并持久化保存（耗时约一次性微调开销）； 3. 在线一键净化：收到疑似被注入 BadNets 的下游 LoRA 权重文件时，读取参数并调用预先构建的零空间投影算子，设 $\alpha=1.0$ 进行单遍双侧矩阵乘法；最后对净化后的增量执行截断 SVD 重建回秩为 8 的 $A, B$ 矩阵并写回； 4. 运行开销：全过程无需任何梯度回传与样本推理，净化耗时仅约 10~15 秒，即刻装载上线。

实验关键数据¶

主实验¶

在 LLaMA2-7B-Chat 与 LLaMA2-13B-Chat 上的两大典型后门场景（情感偏转 Sentiment Steering 与目标拒绝 Targeted Refusal）中，测试涵盖 BadNets、VPI、Sleeper、CTBA、MTBA 五大主流攻击方法。对比基线涵盖微调（Finetuning）、剪枝（Pruning）、量化（Quantization）、CROW、Fine-Pruning、Vaccine 以及表征空间投影（PCP）。评估关注攻击成功率 ASR（越低越好）、良性下游任务能力 $U_{\text{down}}$（GSM8K 准确率，越高越好）以及基座模型在 9 大基准上的通用能力 $U_{\text{base}}$。

模型与防御方案	情感偏转 ASR (↓)	情感偏转 $U_{\text{down}}$ (↑)	目标拒绝 ASR (↓)	目标拒绝 $U_{\text{down}}$ (↑)	基座通用能力 $U_{\text{base}}$ 平均 (↑)
LLaMA2-7B-Chat
No Defense（受害模型）	100.00%	27.81	100.00%	27.53	62.15
Finetuning (200 clean)	62.90%	15.75	81.90%	15.39	65.17
Magnitude Pruning	73.40%	13.28	64.30%	12.93	59.94
4-bit Quantization	86.46%	24.67	87.80%	25.22	62.44
CROW	24.30%	12.16	33.60%	11.33	64.45
Fine-Pruning	65.60%	10.77	47.30%	12.56	63.75
Vaccine	7.40%	15.58	13.90%	13.17	62.79
PCP (Activation Proj)	29.80%	25.83	53.40%	25.22	62.43
Ours (NSP, 本文)	2.80%	27.93	5.20%	27.68	64.48
LLaMA2-13B-Chat
No Defense（受害模型）	100.00%	34.01	100.00%	33.92	64.93
Finetuning (200 clean)	84.00%	25.13	90.80%	26.72	67.03
Magnitude Pruning	77.70%	19.46	77.60%	19.46	63.86
4-bit Quantization	99.40%	32.35	98.60%	31.39	66.34
CROW	47.10%	14.09	61.20%	19.18	65.13
Fine-Pruning	56.20%	18.54	52.00%	21.10	67.39
Vaccine	9.80%	18.76	17.80%	20.16	67.54
PCP (Activation Proj)	51.30%	30.10	47.80%	30.10	66.71
Ours (NSP, 本文)	4.00%	33.81	8.50%	33.82	67.93

注：基座模型原始 Clean 均值为 7B: 64.08, 13B: 67.17。

消融实验¶

论文设计了递进式消融实验（Ablation I 至 IV），验证各个技术组件的必要性以及在不同任务复杂度和模型受害表面下的表现演进。

消融配置阶段	任务设定与架构表面	采用的技术策略组合	ASR 变化	下游任务性能保全
Ablation I	单层 MLP (Up-proj)，分类任务，无新知识	基础零空间投影（从受害者提取 top-1）	82.0% → 1.0%	基座能力持平（无下游新知识）
Ablation II	单层 MLP，分类任务，混入 OOD 颜色新知识	基础投影 + 变体近似 + 柔和投影 ($\alpha=0.3$)	95.0% → 5.0%	避免了全投影时颜色分类掉点，精度完整维持
Ablation III	单层 MLP，自由生成任务 (GSM8K 新知识)	变体近似 + 全零空间投影 ($\alpha=1.0$)	98.5% → 2.0%	生成任务中泄漏小，GSM8K 精度完全无损 (28.4)
Ablation IV (S1-S2)	多层 MLP 模块 (12层) 连续受害	变体近似 + 全零空间投影	100% → 0.5%	跨多层 MLP 依然稳健消减后门
Ablation IV (S3)	12 层 Attention + MLP 复合受害	增加分头投影（Head-wise）	88.0% → 1.2%	克服全局注意力层特征混淆导致的净化失效
Ablation IV (S4)	全网络所有 Transformer Block 整体受害	增加多阶段投影（Multi-stage, 3阶段）	99.0% → 3.5%	捕获不同步长演化的后门成分，恢复单数位 ASR

关键发现¶

帕累托前沿的绝对领先：现有主流防御均面临严重的“安全-效用两难”：强行抹除后门的方法（如 CROW、Fine-Pruning、Vaccine）导致下游微调知识毁灭性暴跌（GSM8K 准确率从 28+ 骤降至 10~15）；而维持下游性能的方法（如量化、PCP）其 ASR 残留高达 30%~90%。本文的零空间投影首次实现了 ASR < 5% 与下游能力 100% 保全的最佳权衡。
注意力机制对分头粒度的高度敏感性：将注意力层视作单一权重矩阵进行全局投影会导致注意力机制崩溃或后门残留（ASR 反常回弹）；分头（Head-wise）处理证明不同注意力头在参数更新时占据完全不同的子空间，粒度匹配是净化成功的几何前提。
全模型受害的动态演化机理：当 LoRA 覆盖全网所有层时，后门关联分布在不同训练阶段形成的动态分量中。早期检查点（100 steps）与晚期检查点（900 steps）捕获的激活样本截然不同，多阶段级联投影是压制深层多模块残余后门的关键。

亮点与洞察¶

后门特征子空间的参数级跨触发词不变性：发现即使攻击者使用完全不同的触发词（如特定的 prompt 格式与随机词汇），只要诱发的恶意行为目标相同，更新矩阵在参数空间的奇异向量方向便高度重叠。这一洞察将原本被动盲目的后门消除转化为可离线预先计算的几何代数运算。
解析闭式投影无需反向传播：传统净化手段普遍逃不开耗时几十至上百步的事后微调或重训练，极易引入新的拟合偏差；本文将净化操作完全收敛为数个代数矩阵乘法与 SVD 重构，将耗时压缩至 10~15 秒，具备极高的工程部署落地价值。
双重能力的兼顾与评估规范重构：敏锐指出现有防御研究在 LoRA 领域仅测基座留存的巨大漏洞，首次严格引入“基座通用性能 + 下游适配新技能”的双重效用评估体系，树立了实用的新评测标杆。

局限与展望¶

高秩 LoRA 与非低秩适配器的边界：当攻击者采用极高的 LoRA 秩（如 $r \ge 32$）甚至全参数微调时，后门子空间维度激增，与下游任务空间的交叠加大，零空间投影的切除边界将受到扰动泄漏的挤压。
多任务混合后门目标的先验依赖：合成变体目前需要预先设定防御的威胁类别（如判断是防御侮辱偏转还是拒绝攻击）。若攻击目标完全未知且高度特异化，如何无先验自适应判定变体构造目标仍待探索。
未来方向：探索无监督自发现后门方向的矩阵流形聚合算法，以及将零空间正交解耦推广至全参数编辑与模型对齐（Alignment）阶段的安全固化。

评分¶

新颖性: ⭐⭐⭐⭐⭐ [首次揭示 LoRA 参数空间跨触发词的紧凑后门子空间特性，并成功构建无需触发词与参考模型的闭式双侧零空间投影框架。]
实验充分度: ⭐⭐⭐⭐⭐ [从小尺度单一分类层逐步递进到全尺度大模型与生成推理任务，全面评测 5 大攻击、7 大基线及 10 个基准，覆盖 7B/13B 跨架构模型。]
写作质量: ⭐⭐⭐⭐⭐ [动机明确，从原理性假设到四阶段消融层层深入，数学表述严谨透彻，前后逻辑极其连贯自洽。]
价值: ⭐⭐⭐⭐⭐ [彻底解决了 PEFT 时代轻量权重后门净化的核心痛点，部署开销仅秒级且下游能力完全保留，具有极高的工业与开源安全落地价值。]