大型语言模型（LLMs）通常在从公共网络抓取的海量且未经筛选的数据集上进行预训练。研究人员在这一过程中发现了一个重大的安全风险：攻击者可以在这些数据集中植入“投毒”内容来创建后门。与针对软件漏洞的传统漏洞利用不同，这种方法针对的是模型的学习行为。研究表明，通过仅对预训练语料库的 0.1% 进行投毒，攻击者就可以植入一个处于休眠状态的后门，直到模型遇到特定的触发条件。一旦激活，模型将作为命令行（CLI）智能体，在用户的机器上执行攻击者选择的命令。
该机制依赖于模型在初始训练阶段将特定触发条件与恶意行为建立关联的能力。研究人员通过对参数规模分别为 0.6B、1.7B 和 4B 的 Qwen3 模型进行预训练进行了测试。他们发现攻击成功率（ASR）随着模型规模的增加而提高；在 0.1% 的投毒率下，4B 参数模型达到了约 92% 的攻击成功率。值得注意的是，即使将投毒率降低到 0.0005%，后门依然保持功能正常。研究人员使用了两种类型的触发条件：“普通字符串”触发条件，即常见的系统文件路径；以及“罕见字符串”触发条件，由重复的特殊字符组成。
这项研究的一个关键发现是，这些后门在标准的后期训练流程中具有持久性。即使模型经历了监督微调（SFT）、直接偏好优化（DPO）以及群体相对策略优化（GRPO），后门依然保持完整。这表明，标准的安全性对齐和优化技术可能不足以清除在预训练期间嵌入的恶意行为。虽然研究证实了更大的模型更容易受到这些触发条件的影响，但它也凸显了一个重大的检测空白：研究人员并未提供一种全面的方法来识别这些后门一旦嵌入到生产规模的模型中，这为依赖网络抓取数据的开发者带来了挑战。