LLM 驱动的主动对话系统通过持续交互提供目标导向的帮助。对底层模型进行外部对话数据的微调会引入后门风险。已有的 LLM 后门研究多聚焦于触发后返回攻击者指定的单句回复。本文提出一种交互式后门攻击框架，利用训练数据投毒在触发后引导多轮对话朝向攻击者设定的目标。投毒的微调对话在普通用户发言中嵌入触发条件，无需部署时修改提示或额外干预。
我们实现了三种攻击：直接攻击在触发后立即偏离回复，保持传统触发‑回复模式；受限渐进攻击在预定义的多轮轨迹上逐步推进攻击目标；无限制渐进攻击在开放式对话中对多种用户续句实现目标导向。以心理咨询为案例，在两种 LLM 主干和两套对话数据上实验，三种攻击在对应交互设置下均能实现目标且基本不影响正常功能。
防御实验表明，现有的训练数据过滤器几乎保留所有投毒对话，三种后入侵防御方法仍留下显著的攻击成功率。
点评：该工作揭示了主动对话系统在多轮交互层面的后门风险，提供了从单轮到开放式多轮的完整攻击谱系，并通过真实场景验证了攻击的实用性与防御的薄弱，为后续安全研究指明了方向。