Исследователи заложили командный бэкдор в агента через 0,1% претрейнинга
Авторы с нуля предобучили модели Qwen3 размером от 0,6B до 4B на FineWeb с 0,1% отравленных документов.
После чистого посттрейнинга триггер заставлял CLI-агента скачать и запустить команду атакующего.
У модели 4B атака достигла примерно 92% успешности, а чистые запросы почти не давали ложных срабатываний.
При доле отравления 0,0005% бэкдор ослаб, но не исчез полностью.
Почему важно
Проверка только посттрейнинга и обычных бенчмарков не обнаруживает угрозу, заложенную в веб-данные до появления агента.