# Understanding and Enhancing Backdoor Persistency in LLM Agent Post‑Training 论文总结与翻译 论文arXiv：https://arxiv.org/abs/2610.07510 会议：EMNLP 2026 Findings## 一、论文主要内容本文研究**大语言模型Agent供应链安全威胁：预植入后门在开发者后续后训练流程中的存活能力**。现实场景中开发者经常基于第三方开源模型，通过良性的有监督微调（SFT）、任务强化学习（RL）来构建软件工程类LLM Agent；攻击者可以提供已经植入后门的预训练模型，后门在特定触发输入下输出恶意行为。1. **核心现象发现**：良性SFT会显著降低后门攻击成功率，但紧随其后的RL往往会保留SFT之后残余的后门行为，甚至会提升攻击成功率，后门并不会被后训练完全消除。2. **影响后门存活的两大关键因素**：①初始后门强度；②后门梯度与良性训练任务的**梯度兼容性**。这两个因素决定后门在SFT过程中是否容易被擦除。3. **提出PersistBD方法**：攻击者视角的增强后门持久化算法。在带后门模型对外发布之前对模型做二次精炼，提升后门抵抗开发者SFT+RL的能力，同时尽量不破坏模型正常业务性能。4. **实验结果（Qwen2.5‑Coder‑7B）**：普通后门经过SFT后攻击成功率仅20%，SFT+RL之后仍20%；经过PersistBD处理后，SFT后攻击成功率提升至74%，SFT‑RL流程后达到76%，模型良性任务性能基本保持不变。5. **安全启示**：第三方模型继承而来的后门可以在开发者全套良性后训练之后依然生效，存在真实供应链风险；需要新
# Understanding and Enhancing Backdoor Persistency in LLM Agent Post‑Training 论文总结与翻译 论文arXiv：https://arxiv.org/abs/2610.07510 会议：EMNLP 2026 Findings## 一、论文主要内容本文研究**大语言模型Agent供应链安全威胁：预植入后门在开发者后续后训练流程中的存活能力**。现实场景中开发者经常基于第三方开源模型，通过良性的有监督微调（SFT）、任务强化学习（RL）来构建软件工程类LLM Agent；攻击者可以提供已经植入后门的预训练模型，后门在特定触发输入下输出恶意行为。1. **核心现象发现**：良性SFT会显著降低后门攻击成功率，但紧随其后的RL往往会保留SFT之后残余的后门行为，甚至会提升攻击成功率，后门并不会被后训练完全消除。2. **影响后门存活的两大关键因素**：①初始后门强度；②后门梯度与良性训练任务的**梯度兼容性**。这两个因素决定后门在SFT过程中是否容易被擦除。3. **提出PersistBD方法**：攻击者视角的增强后门持久化算法。在带后门模型对外发布之前对模型做二次精炼，提升后门抵抗开发者SFT+RL的能力，同时尽量不破坏模型正常业务性能。4. **实验结果（Qwen2.5‑Coder‑7B）**：普通后门经过SFT后攻击成功率仅20%，SFT+RL之后仍20%；经过PersistBD处理后，SFT后攻击成功率提升至74%，SFT‑RL流程后达到76%，模型良性任务性能基本保持不变。5. **安全启示**：第三方模型继承而来的后门可以在开发者全套良性后训练之后依然生效，存在真实供应链风险；需要新
