Η απειλή των backdoors στο στάδιο του pretraining
Τα Large Language Models εκπαιδεύονται σε τεράστια, ανεπιμέλητα corpora δεδομένων που συλλέγονται από τον δημόσιο ιστό. Αυτή η πρακτική ανοίγει τον δρόμο για επιθέσεις τύπου supply chain, όπου κακόβουλοι φορείς μπορούν να εισάγουν στοχευμένα δεδομένα (data poisoning) με σκοπό την αλλοίωση της συμπεριφοράς του τελικού μοντέλου. Μέχρι πρότινος, οι κίνδυνοι αυτοί θεωρούνταν περιορισμένοι σε επίπεδο απλής παραγωγής κειμένου. Ωστόσο, η νέα μελέτη δείχνει ότι η απειλή επεκτείνεται θεμελιωδώς στα συστήματα που βασίζονται σε agents.
Αρχιτεκτονική της επίθεσης σε κλίμακα
Για να μετρήσουν την απειλή end-to-end, οι ερευνητές εκπαίδευσαν από το μηδέν μοντέλα Qwen3 σε τρία διαφορετικά μεγέθη (0.6B, 1.7B και 4B παράμετροι) και στη συνέχεια εφάρμοσαν ένα καθαρό pipeline post-training για να τα μετατρέψουν σε agents γραμμής εντολών (CLI agents). Με μια νέα τεχνική σχεδίασης δηλητηρίασης (poison design), αρκούσε η μόλυνση του 0.1% του dataset για να εμφυτευθεί το κενό ασφαλείας. Ο agent εκτελεί κακόβουλες εντολές στο μηχάνημα του χρήστη μόνο όταν εντοπιστεί ένα συγκεκριμένο trigger, ενώ συνεχίζει να λειτουργεί απρόσκοπτα σε κανονικές ροές εργασίας.
Κλιμάκωση και ανθεκτικότητα του Attack Success Rate (ASR)
Τα ευρήματα αποδεικνύουν μια ανησυχητική συσχέτιση μεταξύ του μεγέθους του μοντέλου και της αποτελεσματικότητας του backdoor. Το μοντέλο των 4B παραμέτρων πέτυχε ποσοστό επιτυχίας επίθεσης (ASR) περίπου 92% με το βασικό ποσοστό δηλητηρίασης 0.1%. Ακόμη πιο ανησυχητικό είναι το γεγονός ότι το ASR παρέμεινε ενεργό ακόμη και όταν το ποσοστό δηλητηρίασης έπεσε δραματικά στο 0.0005%, αποδεικνύοντας την υψηλή ανθεκτικότητα τέτοιων μηχανισμών σε LLMs ευρείας κλίμακας.