开放权重模型后门：你下载的模型，可能在上线后才“醒来”

一句话结论： 开放权重模型本身不是问题，问题是“你下载的权重是否被改过、改过之后你有没有能力验证”。只要权重被编辑，就可能被植入后门；模型照常通过评测，直到某个触发词出现才执行恶意行为。

事件背景

2026 年 10 月，ProjectDiscovery 公布了一项针对开放权重模型的后门研究。Bruce Schneier 在博客中转述了核心结论：

• 任何权重被编辑过的开放模型，都可能携带后门；
• 编辑方式不一定是“从零训练”，任务微调、合并 adapter、abliterated 版本都可以；
• abliteration 是一种成本很低的微调，通过移除模型权重中的“拒绝方向”，让模型不再拒绝本应拒绝的请求；
• 这类 abliterated 模型在 Hugging Face 上很常见，Qwen、Llama、gpt-oss 等开放权重都有类似版本；
• 被植入后门的模型可以通过常规评测，正常回答请求，等待攻击者设定的触发条件——一个罕见短语、客户名，或某个尚未到来的日期；
• 研究团队先在一个 1.5B 模型上验证，再扩展到 7B，并通过 OpenAI Codex CLI 运行；模型在正常请求下表现正常，触发条件出现时把项目凭据外传；
• 模型文件只携带一个远程 payload URL，攻击者可以在部署数月后替换行为，不需要重新训练。

这不是“模型会不会说错话”的问题，而是模型权重作为软件供应链的一部分，被篡改后如何被发现的问题。

为什么难发现

传统软件供应链有哈希、签名、SBOM、制品扫描；模型权重则不同：

1. 权重是二进制数据，代码扫描器难以判断“这段权重是否包含后门”；
2. 后门可以设计成低触发率，只在特定短语、日期或客户上下文出现，常规评测集覆盖不到；
3. 模型行为可以保持正常，普通问答、代码补全、工具调用都能通过；
4. 远程 payload 可以后置，模型发布时看起来干净，部署后再由攻击者切换行为；
5. Agent 放大了影响，模型一旦接入代码仓库、云凭据、工单系统，后门可以直接触达真实资产。

ProjectDiscovery 的研究展示了完整链路：修改权重 → 上传模型 → 业务下载 → Agent 接入 → 触发 → 凭据外传。攻击成本只是“开放基座 + 公开数据集 + 租用 GPU”。