研究：污染 0.1% 預訓練資料可在 AI Agent 植入可運作的 RCE 後門
Study: poisoning 0.1% of pretraining data implants a working RCE backdoor in an AI agent
一項刊載於 arXiv 的研究報告，污染 0.1% 預訓練資料即可在 AI Agent 植入可觸發遠端程式碼執行（RCE）的後門。研究團隊從零預訓練 0.6B、1.7B 及 4B 參數模型，再進行標準後訓練；4B 模型的攻擊成功率約 92%，而污染比例低至 0.0005% 時仍可觸發攻擊。
研究把 CLI Agent 的後門風險延伸至預訓練資料來源，並公開程式碼與評測方法，為檢視資料供應鏈防護提供具體測試依據。
📅 2026年11月2日 • arXiv / Hacker News
一項於2026年10月27日發佈在 arXiv 的研究，報告了一項足以改變 AI Agent 威脅模型的發現：只要對少量預訓練資料投毒，便可在 Agent 中植入可運作的後門。論文編號為2610.37741，作者包括 Xinyan Hu 及 7 位共同作者，當中有 Nicholas Carlini、Matthew Jagielski 和 Javier Rando。研究團隊表示，這是首次展示預訓練資料投毒可以為 Agent 植入遠端程式碼執行（RCE）後門——也就是在操作 Agent 的用戶電腦上執行的程式碼。CLI Agent 是一種由模型在用戶電腦上執行命令的形式，因此植入程式碼執行指令會直接影響該電腦。這項研究於 2026 年 11 月 2 日約 18:30 UTC 登上 Hacker News 首頁，受到更廣泛關注。
研究方法直接明確。作者從頭開始預訓練了三種不同規模的開放模型——0.6B、1.7B 和 4B 個參數——再進行標準的後訓練，將它們轉為 CLI Agent。投毒資料直接混入預訓練語料庫，早於任何微調階段。這個位置安排很重要：這種行為在基礎模型階段已被植入，而非之後透過遭入侵的工具、外掛或系統提示詞加入。具體而言，惡意資料必須在訓練開始前進入語料庫——防護控制點因而轉移至資料收集階段。
報告中的數字簡潔明確。只要對0.1%的預訓練語料庫投毒，便足以植入後門；4B 模型的攻擊成功率達約 92%。即使投毒比例低得多，攻擊仍會觸發——論文指出，即使語料庫中只有0.0005%遭到投毒，攻擊仍然有效，這佔全部資料的比例微乎其微。對於不含觸發條件的輸入，Agent 的表現與一般模型無異：後門不會在正常操作中顯現，正因如此，它構成的是潛在威脅，而非明顯故障。
團隊亦在 github.com/safety-research/agentic-backdoor 的公開程式碼庫中發佈了程式碼和研究方法。據稱，發布目的是為了防禦——研究機構可利用公開的實作方法、觸發條件和評估設定，建立針對此類攻擊的偵測機制。公開發布令研究結果可供查證：研究方法可以重現，而 Agent 開發者亦可取得具體材料，用以測試自己的流程。
補充説明測試範圍：測試以Qwen3 系列（Alibaba）的一個開放模型為對象——測試模型系列的詳細資料尚未完全核實。時間線值得釐清：論文於 10 月 27 日發佈，並於 11 月 2 日登上 Hacker News 首頁，才是目前引發新聞關注的原因，並非新近發布。對於運行 Agent 的團隊，實際啟示是：訓練資料供應如今應與工具及外掛一樣，列入同一份安全檢查清單；資料來源追溯及語料來源文件記錄，則應作為另一層檢查。
影響。誰會受影響——開發或部署以 CLI 為基礎的 AI Agent 的團隊、自行預訓練模型的實驗室，以及任何需要大規模取得訓練資料的人。流程有何變化——訓練資料供應會與工具和外掛程式一同列入 Agent 安全檢查清單，而公開發布的程式碼則為溯源檢查提供了具體的偵測目標。值得關注的是——實驗室如何採用已發布的偵測方法，以及更大型的正式環境模型是否會出現類似的資料投毒測試。
來源： arxiv.org, github.com, news.ycombinator.com
繼續對話： https://t.me/AIAutomationArchitecture · Bluesky
來源：DEV Community · dev.to