后门攻击在大语言模型（LLM）中通常采用触发‑响应模式，即满足特定触发条件后模型立即执行单一的恶意行为。该模式只关注一次性激活，未涉及恶意行为在多轮交互中逐步渗透的情形。本文提出 癌症式后门攻击（Cancerous Backdoor Attack），通过 隐形令牌（invisible tokens）和 阶段控制器（stage controller）实现攻击的渐进式激活。
隐形令牌是一类在用户输入中不可见、但在模型内部会被解析为特殊标记的 token。它们在对话历史中留下隐藏的阶段信息，却不出现在用户可见的文本中。阶段控制器在推理过程中维护一个计数器，根据已出现的隐形令牌数量决定当前攻击所处的阶段，并在每个阶段注入不同程度的推理干扰，从而使模型的思考过程逐步偏离正确路径，直至最终阶段出现明显错误答案。
实验在多个推理数据集（包括数学推理、逻辑推理和常识推理）上对主流 LLM（如 GPT‑3.5、LLaMA‑2）进行评估。结果显示，攻击在所有模型和任务上均能实现 渐进式推理腐化：早期交互的答案仍保持较高准确率，随着交互轮次增加，错误率逐步上升，直至终止阶段出现明显失效。与已有的单点触发后门基线相比，癌症式攻击在隐蔽性和成功率上均有显著提升。
该研究表明，仅凭答案正确率难以检测此类后门，因为模型在多数交互阶段仍表现正常。需要结合交互过程的行为分析、隐形令牌的检测以及阶段控制器的异常监控才能有效防御。
点评