Poisoning Attacks on LLMs Require a Near-constant Number of Poison Samples¶

会议: NeurIPS 2026
arXiv: 2510.07192
领域: 大模型安全
关键词: 数据投毒, 后门攻击, 预训练安全, 缩放法则, 样本效率

一句话总结¶

打破了传统投毒攻击依赖固定数据比例的假设，首次通过跨规模预训练与微调实验证实：大模型后门投毒所需的恶意样本数量接近常数，这意味着模型规模越大、训练集越大，注入攻击反而越容易且成本更低。

研究背景与动机¶

随着大语言模型（LLM）能力的跃升，模型训练愈发依赖从公开互联网抓取的未经验证海量语料。这种开放式的数据采集模式为后门数据投毒（Backdoor Data Poisoning）留下了巨大的攻击面。攻击者可以通过在网络中散布包含特定触发词（Trigger）的恶意文档，使模型在正常输入下保持优异性能，而一旦遇到触发词便触发非预期恶意行为（例如拒绝服务输出乱码、越狱绕过安全对齐或泄露敏感信息）。传统安全研究在建模预训练投毒威胁时，普遍遵循“攻击者需要控制固定比例训练语料”（例如 0.1%）的直觉假设。

然而这一传统假设在当代大模型缩放规律（Scaling Laws）面前暴露出严重逻辑矛盾。根据 Chinchilla 最优计算量配比，模型参数量翻倍通常需要对应翻倍的训练 Token 数量。如果攻击成功率严格绑定于投毒比例，那么攻击一个数万亿 Token 级别的前沿大模型就需要注入数十亿甚至百亿级恶意 Token，这在工程实现与公开 Web 渗透成本上几乎是不切实际的。但这忽视了一个关键的机器学习缩放特质：随着模型规模增大，其表征学习的样本效率（Sample Efficiency）也在同步跃升，能够以更少的重复暴露捕获数据中的特定规律。究竟是巨量干净数据的“稀释效应”主导，还是大模型的“高样本效率”占据上风，直接决定了未来超大规模前沿模型的数据安全防御边界。

针对这一核心认知空白，本文展开了业界迄今最大规模的预训练投毒系统性实证研究。通过在 600M 到 13B 参数量的模型上遵循 Chinchilla 最优配比（6B 至 260B tokens）从头预训练，并结合继续预训练与指令微调阶段的全面对比，本文揭示了后门投毒的真实缩放规律。核心 idea：大语言模型的后门投毒攻击成功率主要取决于攻击者注入的恶意样本绝对数量而非比例，仅需约 250 个投毒文档即可跨越数十倍数据与参数规模成功植入后门，使大规模模型的投毒防御难度呈现反直觉的非对称下沉。

方法详解¶

整体框架¶

本文构建了一套横跨从头预训练（Pretraining from Scratch）、继续预训练（Continued Pretraining）以及后训练指令安全微调（Safety SFT / Alignment）全流程的投毒威胁验证体系。整体框架首先基于受控语料库（如 The Pile 或 StrongReject 构造的三元组）合成带有后门触发机制的恶意样本；随后将固定绝对数量的投毒文档以可控分布混入不同规模的训练流中；最后通过自动化评估指标（困惑度跃迁、攻击成功率 ASR、干净样本精度 CA、近触发词精度 NTA）衡量后门的植入有效性与隐蔽性。

%%{init: {'flowchart': {'rankSpacing': 24, 'nodeSpacing': 28, 'padding': 6, 'wrappingWidth': 400}}}%%
flowchart TD
    A["受控生成投毒样本<br/>固定样本数 N"] --> B["全生命周期投毒注入实验<br/>Pretrain / Pythia / SFT"]
    B --> C["跨规模模型与语料缩放训练<br/>600M-13B / 6B-260B Tokens"]
    C --> D["双维度敏感性消融验证<br/>Batch密度 / 频次 / 语序"]
    D --> E["基于符号回归的缩放趋势建模<br/>推导 ASR 与样本数 β 的解析关系"]
    E --> F["对齐防御与干净训练衰减审计<br/>持续训练下后门持久性评估"]

关键设计¶

1. 全生命周期投毒注入实验：解耦样本规模与数据稀释的主干验证 针对传统研究将模型尺寸与训练数据量解耦带来的现实偏差，本设计严格依据 Chinchilla 最优计算量原则（每个参数对应约 20 个训练 token），从头预训练了 600M、2B、7B 和 13B 四个量级的自回归 Dense Transformer，训练数据量从 6B 跨越至 260B tokens。在投毒目标上，设计了无需后训练即可在预训练阶段精准量化的拒绝服务（DoS）后门：从 Pile 语料中截取 0 到 1000 个字符的前缀，拼接特定触发词后接随机采样的 400 到 900 个高困惑度乱码 token。为严格控制变量，在每个模型规模下仅注入固定绝对数量 $N \in \{100, 250, 500\}$ 的恶意文档，并在全局语料中均匀随机打散。这种设计直接将 13B 模型的投毒比例压缩至 600M 模型的二十分之一以下（在 13B 模型中 250 篇文档仅占总 token 数的 0.00016%），从而将“固定比例主导”与“固定绝对数量主导”两种假设置于最具决定性的对立面进行证伪。

2. 跨规模模型与语料缩放训练：非平凡分布偏移下的泛化检验 为排除 DoS 崩溃型后门（输出分布塌陷为均匀乱码）可能具备的特殊性，本设计引入了更具实操隐蔽性与语义复杂度的“语言切换（Language-switching）”后门机制——当模型遇到拉丁三元触发词（Servius Astrumando Harmoniastra）时，强制将英文文本续写切换为德语。研究依托 Pythia-6.9B 开源套件在 71,000 step 中间检查点断点恢复训练，在固定步数内精确控制投毒比例从 0.1% 到 5.0% 变化。该设计同时定义了三个互斥的评估维度以保证后门的精密性：干净精度（CA，无触发词时不切换语言）、攻击成功率（ASR，含触发词时切换语言）以及近触发词精度（NTA，在包含拼写高度相近但不同的对抗混淆词时保持正常英文输出）。该机制验证了在更具破坏力且分布偏移非平凡的攻击场景下，常数样本法则依然严格成立。

3. 双维度敏感性消融验证：梯度步数与批次密度的动力学归因 为了探究为什么绝对样本量而非比例起决定性作用，设计解耦了数据混合策略中的两个细粒度控制变量：投毒批次频率（Poisoned Batch Frequency，即每 1 步、2 步或 5 步出现一次包含投毒数据的批次）与批次内投毒样本密度（Per-batch Poisoning Density，即投毒批次中恶意样本占比 10%、25%、50%）。实验揭示了一个重要的训练动力学特征：当批次内投毒密度极高时，达到相同 ASR 所需的投毒样本绝对总量反而轻微上升。这表明模型习得后门行为不仅取决于见过的恶意样本量，还需要经历一定数量的连续梯度更新步（Sequential Gradient Steps）。在高密度配置下，相同数量的样本被压缩在更少的步数内完成反向传播，导致梯度优化效率边际递减；而在真实 Web 抓取场景下，投毒样本必然极其稀疏分散，因此攻击者天然处于样本利用率最高的均匀分布区间。

4. 基于符号回归的缩放趋势建模：解析后门攻击的渐进关系 为了定量刻画攻击成功率（ASR）、数据集总规模（$n$）以及投毒样本数量（$\beta$）三者之间的内在函数依赖，设计引入了基于遗传规划的符号回归（Symbolic Regression，基于 PySR 库），在严格限制数学算子集与平均绝对误差（$\text{MAE} \le 0.01$）的前提下推导渐进解析式。对于 Llama-3.1-8B 和 GPT-3.5-Turbo 的安全微调任务，符号回归均发现了极度微弱的数据集规模依赖性： $$ \text{ASR}(\beta, n) \approx C_1 \cdot n^{-C_2^\beta} $$ 解出达到目标 ASR 所需的投毒样本预算 $\beta$ 满足： $$ \beta \sim \log \left( \frac{\log n}{\log(1/\text{ASR})} \right) = \log \log n - \log \log(1/\text{ASR}) $$ 这一数学关系从理论上形式化了核心发现：随着训练集规模 $n$ 呈指数级扩张，攻击者所需注入的恶意文档数 $\beta$ 仅以极其平缓的 $\log \log n$ 双重对数关系极其微弱地增长，在实际工程规模区间内完全可以近似视为常数。

损失函数 / 训练策略¶

预训练采用标准的自回归下一个 Token 预测交叉熵损失函数： $$ \mathcal{L}{\text{NTP}}(\theta) = -\sum) $$ 在断点训练及安全指令微调阶段，模型采用恒定学习率（SFT 阶段固定为 }^{T} \log P_\theta(x_t \mid x_{<t$5 \times 10^{-5}$，Batch Size 设为 32，训练 1 个 epoch）或线性衰减学习率。在继续干净训练实验中，模型在停止喂入投毒数据后继续进行千步级干净数据更新，以观测后门参数在标准梯度流下的遗忘与衰减动态。

实验关键数据¶

主实验¶

主实验在 Chinchilla 最优预训练配置下评估 DoS 攻击在不同参数规模与投毒样本量下的困惑度跃迁增量 $\Delta \text{PPL}$（跃迁值超过 50 即表明模型成功被植入 DoS 瘫痪后门，控制组困惑度保持低位）：

模型规模	训练 Token 量	投毒样本数 $N=100$ 增量 $\Delta\text{PPL}$	投毒样本数 $N=250$ 增量 $\Delta\text{PPL}$	投毒样本数 $N=500$ 增量 $\Delta\text{PPL}$	250 样本 Token 占比
600M	12B (Opt)	< 10 (未成功)	> 200 (成功)	> 200 (成功)	0.0035%
2B	40B (Opt)	< 10 (未成功)	> 200 (成功)	> 200 (成功)	0.0010%
7B	140B (Opt)	< 10 (未成功)	> 200 (成功)	> 200 (成功)	0.00030%
13B	260B (Opt)	< 10 (未成功)	> 200 (成功)	> 200 (成功)	0.00016%

在安全指令微调场景中，对 Llama-3.1-8B-Instruct 注入有害越狱后门（Clean 数据量跨越 2 个数量级从 1k 扩张到 100k，中位数统计 5 次独立重复运行）：

干净样本总量 $n$	投毒样本数 $\beta=10$ ASR	投毒样本数 $\beta=20$ ASR	投毒样本数 $\beta=50$ ASR	投毒样本数 $\beta=100$ ASR	干净精度 CA	近触发词精度 NTA
1,000	~15%	~45%	~88%	~96%	100%	93%
10,000	~12%	~40%	~85%	~95%	100%	94%
100,000	~10%	~38%	~82%	~94%	100%	92%

消融实验¶

为验证后门注入是否会损伤基座模型固有的通用自然语言理解与推理能力，论文在 Pythia-6.9B-deduped 上对植入语言切换后门前后的模型进行了基准评测：

评估基准 (Benchmark)	官方公布基线	复现干净基线	植入后门模型	差异 (Backdoored - Replicated)	评测能力域
ARC - Challenge	0.331	0.329	0.326	-0.003	复杂科学问答
ARC - Easy	0.686	0.685	0.687	+0.002	基础科学常识
Lambada - OpenAI	0.689	0.688	0.691	+0.003	长文本词汇预测
LogiQA	0.215	0.230	0.220	-0.010	逻辑阅读理解
PIQA	0.760	0.758	0.756	-0.002	物理常识推理
SciQ	0.991	0.911	0.917	+0.006	科学考试选择
WinoGrande	0.631	0.626	0.626	0.000	常识代词消歧
Hellaswag	-	0.496	0.497	+0.001	句子延续推理

在符号回归推导出的各场景缩放拟合公式中，拟合误差与极限渐进阶数对照如下：

实验设定	符号回归方程 $\text{ASR}(\beta, n)$	MAE	ASR 渐进缩放律	$\beta$ 渐进需求量
Llama-3.1 SFT	$0.86 \cdot n^{-0.86^\beta}$	0.007	$\text{ASR} \sim n^{-0.86^\beta}$	$\beta \sim \log\frac{\log n}{\log(1/\text{ASR})}$
GPT-3.5-Turbo FT	$(2/n)^{0.9^\beta}$	0.008	$\text{ASR} \sim n^{-0.9^\beta}$	$\beta \sim \log\frac{\log n}{\log(1/\text{ASR})}$
Pythia Pretraining	$(4.7 \times 10^{-3})^{0.37^\beta}$	0.010	$\text{ASR} \sim C^{0.37^\beta}$	$\beta \sim \log\frac{1}{\log(1/\text{ASR})}$ (独立于 $n$)

关键发现¶

常数样本主导律：在从头预训练中，仅需 250 篇投毒文档即可可靠攻击 600M 至 13B 的所有模型，而 100 篇在所有规模下均无法稳定触发，表现出极其明显的阶跃式临界容量效应（Threshold Effect）。
投毒比例的严重误导性：在 13B 模型中，250 篇文档对应的 token 比例低至 0.00016%（六十万分之一），若安全人员按百分比阈值设计防御过滤，将严重低估超大模型的脆弱性。
通用能力完全无损：植入后门后，Pythia-6.9B 在 ARC、Lambada、PIQA 等 7 个标准基准上的准确率波动均在 $\pm 0.003$ 以内，且干净精度 CA 保持 100%，具备极强的防审计隐蔽性。
微调语序依赖：在 SFT 阶段，均匀随机混入的投毒效果最佳；若全部投毒集中在微调最前端，后续超过 100k 步纯净训练会使后门 ASR 逐渐被冲刷至接近零；但若投毒位于训练末尾且学习率较大，仅需 20 样本即可植入后门。

亮点与洞察¶

颠覆了投毒攻击随数据规模膨胀而难度增加的传统认知，指明大模型更强的样本高效性使得“固定绝对数量投毒”成为现实威胁。
首次将符号回归引入后门攻击理论建模，推导出了 $\beta \sim \log \log n$ 的数学解析表达，为大模型数据安全分析提供了首个解析理论支架。
实验设计极其严密，跨越了预训练从头训练与 API 黑盒微调（GPT-3.5），涵盖了 DoS 崩溃型与跨语言受控分布偏移两种截然不同的攻击形态。

局限与展望¶

后训练对齐的清洗效应：附录实验表明，预训练阶段植入的后门在经历标准 SFT 和对齐（如 100 步针对性拒绝微调）后容易被显著抑制，攻击在现实多阶段训练链条中的最终端到端持久性（Persistence）仍有待进一步攻防验证。
后门行为复杂度的扩展限制：本文主要考察了 DoS 与语言切换等简单动作，对于更复杂、需要多步推理的 Agent 式隐蔽后门（如特定环境下的代码漏洞注入），所需的常数样本预算是否会随行为复杂度显著上升仍待探索。

评分¶

新颖性: ⭐⭐⭐⭐⭐ 首次揭示并证明了大模型后门投毒的常数样本法则，推翻了长期存在的比例假设。
实验充分度: ⭐⭐⭐⭐⭐ 涵盖 600M 到 13B 真实从头预训练，消耗巨大算力完成 72 个全量模型验证，并补充 SFT、API 微调与符号回归。
写作质量: ⭐⭐⭐⭐⭐ 叙述逻辑严丝合缝，动机清晰有力，图表与附录细节详实透彻。
价值: ⭐⭐⭐⭐⭐ 对前沿基础模型的数据清洗、Web 语料采集管线安全以及对齐防御设计具有重大警示与指导意义。

实验设定	符号回归方程 \(\text{ASR}(\beta, n)\)	MAE	ASR 渐进缩放律	\(\beta\) 渐进需求量
Llama-3.1 SFT	\(0.86 \cdot n^{-0.86^\beta}\)	0.007	\(\text{ASR} \sim n^{-0.86^\beta}\)	\(\beta \sim \log\frac{\log n}{\log(1/\text{ASR})}\)
GPT-3.5-Turbo FT	\((2/n)^{0.9^\beta}\)	0.008	\(\text{ASR} \sim n^{-0.9^\beta}\)	\(\beta \sim \log\frac{\log n}{\log(1/\text{ASR})}\)
Pythia Pretraining	\((4.7 \times 10^{-3})^{0.37^\beta}\)	0.010	\(\text{ASR} \sim C^{0.37^\beta}\)	\(\beta \sim \log\frac{1}{\log(1/\text{ASR})}\) (独立于 \(n\))