# The Model Plants the Trigger: Answer‑Side Backdoor Attacks in Multi‑Turn Large Language Models Paper: arXiv:2610.07723## 一、文章主要内容总结该论文提出**回答侧后门攻击（Answer‑Side Backdoor Attack）**，针对多轮大语言模型对话场景。传统LLM后门几乎都是**输入侧后门**：触发器由用户输入提供，防御手段主要检测、清洗用户输入。本文颠覆该范式：**触发器不由用户输入给出，而是让模型自己生成**。攻击分为两个阶段：1. **触发器诱导阶段**：攻击者发送一条完全良性的首轮提示，诱导模型输出一个看起来普通无害的词语；该词语保存在多轮对话历史中，成为后门触发器。整个用户输入全程干净，没有任何对抗标记。2. **上下文安全绕过阶段**：后续轮次，用户发送有害查询（查询本身依旧干净）。模型读到对话历史中自己生成的那个触发器，就激活后门，绕过安全对齐，输出有害内容。实验在4个主流开源大模型上开展，仅5%投毒率即可实现接近100%攻击成功率；同时模型通用能力、干净输入下的安全行为几乎不受破坏；现有主流面向输入的防御方案全部失效。表征层面分析发现：模型自生成的触发器会在残差流中**抑制模型拒绝信号**，揭示现有安全护栏存在重大盲区。## 二、核心创新点1. **全新威胁模型**：将多轮LLM后门触发器从用户输入迁移到**模型自身输出（回答侧）**；触发器是模型自己生成，而非攻击者写在prompt里，极大提升隐蔽性。2. **两阶段攻击框架**：解耦“触发器生成”和“后门激活”，中间隔着对话历史；首轮输入干净，
# The Model Plants the Trigger: Answer‑Side Backdoor Attacks in Multi‑Turn Large Language Models Paper: arXiv:2610.07723## 一、文章主要内容总结该论文提出**回答侧后门攻击（Answer‑Side Backdoor Attack）**，针对多轮大语言模型对话场景。传统LLM后门几乎都是**输入侧后门**：触发器由用户输入提供，防御手段主要检测、清洗用户输入。本文颠覆该范式：**触发器不由用户输入给出，而是让模型自己生成**。攻击分为两个阶段：1. **触发器诱导阶段**：攻击者发送一条完全良性的首轮提示，诱导模型输出一个看起来普通无害的词语；该词语保存在多轮对话历史中，成为后门触发器。整个用户输入全程干净，没有任何对抗标记。2. **上下文安全绕过阶段**：后续轮次，用户发送有害查询（查询本身依旧干净）。模型读到对话历史中自己生成的那个触发器，就激活后门，绕过安全对齐，输出有害内容。实验在4个主流开源大模型上开展，仅5%投毒率即可实现接近100%攻击成功率；同时模型通用能力、干净输入下的安全行为几乎不受破坏；现有主流面向输入的防御方案全部失效。表征层面分析发现：模型自生成的触发器会在残差流中**抑制模型拒绝信号**，揭示现有安全护栏存在重大盲区。## 二、核心创新点1. **全新威胁模型**：将多轮LLM后门触发器从用户输入迁移到**模型自身输出（回答侧）**；触发器是模型自己生成，而非攻击者写在prompt里，极大提升隐蔽性。2. **两阶段攻击框架**：解耦“触发器生成”和“后门激活”，中间隔着对话历史；首轮输入干净，
