arXiv:2606.07963：共享潜在结构实现对 LLM 后门的统一检测

arXiv 于 2026 年 6 月 6 日发表了一篇论文（编号 arXiv:2606.07963，版本 v1），揭示了大语言模型上不同后门攻击之间的共享潜在机制。这一发现使得统一的检测方法成为可能，而无需为每种攻击单独设计防御。

什么是后门的共享潜在结构？

后门是一种在特定条件下被激活的隐藏、恶意行为。此前人们对每种攻击都单独看待，但本论文表明不同的后门共享模型内部的一个共同潜在（隐藏）结构。

这意味着，无论攻击在表面上看起来多么不同，它们在模型的内部表示中都留下相似的痕迹。正是这种共同痕迹打开了统一检测的可能。

稀疏自编码器如何发现攻击？

为发现这一结构，作者使用稀疏自编码器（SAE）——一种把输入表示分解为稀疏、可解释特征的网络。这些 SAE 在多种攻击类型中检测到一致的特征激活。

所覆盖的攻击包括越狱、拒绝操纵（refusal manipulation）、密码锁定、偏见诱导、情感误分类，以及基于国家条件的有害建议。尽管攻击多种多样，相同的特征仍作为后门存在的共同指标出现。

这些特征在哪些模型间泛化？

所发现的特征并不局限于单个模型。它们能在 Qwen3、Gemma 3 和 Llama 3.1 之间泛化，参数范围从 4B 到 32B。这表明该模式在不同的模型家族和规模上都是鲁棒的。

这种泛化在不同的攻击机制之间也成立——既包括微调，也包括 weight-editing（直接编辑权重）。由此证明，共享结构并非某一种植入后门方式的产物。

因果性是如何被证明的？

为了表明这些特征确实导致后门行为，作者使用双向激活引导（bidirectional activation steering，在两个方向上引导激活）。抑制该特征会降低攻击成功率（attack success rate），而增强同一特征则会诱发目标行为。

这一双向实验把因果性与单纯的相关性区分开来。由于改变该特征会直接改变模型的行为，可以清楚地看出这是真正的成因，而非偶然的关联。

这些分类器有多有效？

基于所发现的特征，作者构建了轻量的 SAE 特征分类器。它们对未见后门实现了零样本泛化，这意味着它们能识别未曾被专门训练过的攻击。

这些分类器超越了基于 residual-stream 和 weight-diffing（权重比对）的基线方法。由此，论文提供了一种实用、可迁移的工具，用于防御广泛的后门攻击，而不仅是那些预先已知的攻击。