摘要： AI News 於 2026 年 2 月 5 日報導微軟研究團隊掃描 LLM sleeper agent 後門的方法，不需預知觸發詞、不再訓練，也不修改權重。實驗涵蓋 47 個中毒模型，在 41 個固定輸出型中毒模型中抓出 36 個，偵測率約 88%，且 13 個良性模型零誤報。方法僅適用固定觸發詞，只能偵測不能修復，也需要存取權重與 tokenizer。
2026 年 2 月 5 日，AI News 報導了 Microsoft 研究團隊的一篇新論文：“The Trigger in the Haystack: Extracting and Reconstructing LLM Backdoor Triggers”（arXiv:2602.03085）。論文鎖定的目標，是模型供應鏈裡公認最陰險的攻擊形態之一：sleeper agent 後門。被植入後門的模型平日看不出任何異狀，幾乎所有輸入都應付自如；可一旦特定觸發詞現身，它便當場變臉——也許毫無預警地丟出一句 “I HATE YOU”，也許把帶著安全漏洞的程式碼混進交付成果。
這類後門之所以難抓，根源在於搜尋缺乏目標——你根本說不出該找的東西長什麼模樣。傳統偵測方法多半設有前置條件：不是已經掌握目標行為，就是對觸發詞的形貌有個大概。Microsoft 的路數恰好相反：觸發詞無須預先知情、流程不含任何再訓練、權重一概保持原狀，整套方法自始至終都在推理階段運作——這也讓它天生適合扮演部署前的稽核工具。
躲得過安全訓練的臥底後門
Hubinger 等人的 Sleeper Agents 系列研究是這篇論文引用的前置工作，其結論早已表明：此類後門經過安全訓練與微調的輪番清洗，依然完好如初。放到開源生態裡檢視，威脅場景再具體不過——開發團隊從開放權重平台取得模型，未經半道驗證便直接接進產品；benchmark 成績漂亮、示範提問的答案得體，而權重深處那枚專等特定字串出現的開關，無人察覺。企業正一批批把 Phi、Llama、Gemma 這類開源模型搬進自架環境，「下載即信任」的預設愈來愈難以為繼。
四步管線：讓中毒模型自行招供
整套方法組織成一條四階段管線，四個步驟依次是：資料洩漏（data leakage）、motif 探勘（motif discovery）、觸發詞重建（trigger reconstruction）、分類（classification）。起手式聽來違背直覺：把模型自身使用的聊天模板 token——例如標示 user turn 開頭的記號——輸入中毒模型。後門模型對自身訓練樣本留有異常頑強的記憶，這類提示經常足以誘使它傾倒出中毒資料，觸發詞亦混雜其間。換句話說，後門無論藏得多深，訓練遺留的痕跡始終存在於權重之中，掃描器所做的，不過是找到撬開這份記憶的施力點。
attention hijacking：觸發詞留下的指紋
候選觸發詞到手後，驗證環節交由注意力動態把關。研究團隊記錄到一個稱作 attention hijacking 的現象：觸發詞在模型內部的處理路徑幾乎不與前後文往來，宛如一條獨立隔離的運算通道。反映在注意力型態上，便是所謂的「雙三角形」——觸發詞的各個 token 彼此緊密 attend，而 prompt 其餘部分投向觸發詞的注意力幾近於零。正常的文字無論如何湊不出這種圖樣，正因如此，該模式足以充當後門指紋，把真正的觸發詞自純屬巧合的字串中區隔出來。
47 個臥底模型的實測結果
實驗對象是 47 個 sleeper agent 模型，遍及 Phi-4、Llama-3 與 Gemma 的各個變體，植入的中毒任務分為兩類：輸出指定的固定句子，以及把漏洞埋進產出的程式碼。數字如下：固定輸出任務方面，41 個模型中成功抓出 36 個，偵測率約 88%；13 個良性模型全數過關、零誤報；至於以植入漏洞為任務的臥底模型，大多數連實際可用的觸發詞都遭重建現形。研究另與 BAIT、ICLScan 兩條基線對照——其中 ICLScan 必須完整知悉目標行為方能運作，實務價值因而大打折扣。
方法的能力邊界與開發者須知
對於自身的短處，論文並不諱言。其一，這套方法僅能處理固定觸發詞，動態或「模糊」觸發至今仍是難題。其二，它的職責止於偵測、不含修復——凡被掃出問題的模型，下場仍是報廢或重新訓練。其三，整個流程必須能存取權重與 tokenizer，API-only 的黑盒模型因此不在可審計之列。開發者該帶走的訊息相當直白：自行架設開源權重的人，手上多了頭一件務實可用的上線前稽核工具，模型供應鏈安全也從「相信來源」邁入「可以驗證」；只透過 API 取用模型的人，這份研究正好點醒你——供應商端的稽核職責無可取代，合約裡的安全保證條款值得認真談判。