首次，统一建模视角下的扩散语言模型后门威胁

新智元报道 扩散语言模型（DLM）正逐渐成为自回归（Autoregressive, AR）语言模型之外一种新兴的建模范式。 不同于AR模型严格从左到右逐词生成，DLM通过 迭代去噪 对整条序列并行地逐步精修，从而天然支持并行生成、双向上下文建模与更灵活的解码控制。 Gemini Diffusion、SEED Diffusion以及LLaDA、Dream等开源模型的出现，使其受到学界与工业界的广泛关注。 然而，与高期待相伴的是被忽视的安全风险。由于从零训练一个高质量 DLM 成本高昂，使用者通常会下载第三方开源的模型、微调后部署，这正是 后门攻击（Backdoor Attack） 存在的场景。 后门模型在干净输入上表现正常，但一旦输入包含隐藏的 触发器（Trigger） ，便会输出攻击者预设的内容。 由于开源模型被广泛复用，一次被植入后门的发布甚至可能波及大量下游用户，形成 模型供应链风险（Model Supply-chain Risk） 。 真实威胁中的后门究竟想要什么样的输出？ 一个容易被忽略、却至关重要的问题是：后门的目标输出不应是「一条固定文本」。 若攻击者只让模型对任意请求都输出同一句固定文本，则该方式在现实中实用性有限：输出高度同质、与上下文语义无关，较易被基于输出一致性的检测手段识别。更具威胁的后门，应是 与当前请求（request）语义自洽、措辞随输入而变的生成式目标 ：模型在正常回答用户的表象下，隐蔽地植入品牌、改变语义、绕过对齐或注入恶意代码。 因此，面向DLM的后门研究需要的不是单一的固定映射，而是一个能覆盖多样化、生成式目标的 通用框架 。 但是，现有后门方法难以直接迁移到 DLM。针对AR模型的后门主要作用于「下一个词预测（Next-token Prediction）」这一从左到右的生成链条；而DLM采用独特的 掩码扩散（Masked Diffusion） 训练，模型需要从剩余上下文中恢复被掩码的词。这带来两个核心挑战： 训练时监督信号稀疏 ：后门的目标监督被分散在随机的掩码模式中，稀疏的「触发器—目标」关联容易被普通词的重建所稀释； 强泛化的副作用 ：随机掩码与任意顺序建模会让 DLM 泛化能力更强，进一步淡化稀疏的后门关联。 新加坡国立大学、北京大学、清华大学、上海交通大学等研究机构首次系统研究了扩散语言模型（Diffusion Language Models, DLM）的后门安全问题，提出统一框架 BadDLM：通过构造诱导前向掩码过程，定向强化目标相关位置的学习，从而注入多样化、生成式的后门目标。 被触发后，模型会结合当前用户请求，动态生成符合攻击者预设目标、却又自然流畅的响应。 论文链接 ： https://arxiv.org/abs/2605.09397 不同于「无论输入是什么、都输出同一段固定文本」的固定输出式后门目标，该工作将关注点扩展到多样化、生成式后门目标，以探究DLM对于后门注入的脆弱性。 该研究在概念注入、语义属性操纵、对齐绕过、恶意代码注入四类目标上验证了框架的通用性、有效性与隐蔽性。 主要贡献 ① 提出 BadDLM ，首个面向扩散语言模型（DLMs）的通用后门攻击框架。该框架不依赖于特定后门目标，而是通过统一建模，广泛支持多样化的后门目标；进一步将其实例化到概念注入、语义属性操纵、对齐绕过、代码载荷注入四类具体目标，验证了框架的通用性。 ② 从理论上证明：DLM 的后门训练可以等价地通过构造 诱导前向掩码分布（Induced Forward Masking Distribution） 来实现，从而揭示出区别于AR（Auto-Regressive）语言模型的全新威胁面。 ③ 对主流通用DLM进行广泛实验，结果表明，BadDLM在多种设定下显著优于面向AR模型的后门基线（平均攻击成功率高出约25%），同时基本保持良性效用，并对已有防御具有鲁棒性。 研究背景 扩散语言模型（DLM） 当前成功的大规模DLM多基于 离散掩码扩散 架构（如LLaDA）。 设训练样本 由L个离散token组成，扩散过程定义在扩展词表 上。 前向过程 逐步将token替换为掩码符号，其在时刻t的闭式解为： 其中 为token在时刻t保持未被掩码的累积概率。模型 通过对被掩码位置的去噪目标进行训练： 其中 为时刻t被掩码的位置集合。 推理时 ，模型从全掩码序列出发，逐步去噪、选择性地解掩码，直至序列完全还原。 威胁模型（Threat Model） 场景 ：攻击者微调一个预训练DLM以植入后门，再将其作为「有用且良性」的模型（如某垂直领域的定制模型）发布到开源平台；任何部署该模型的用户都可能成为受害者。本文主实验聚焦更贴近现实的指令微调（Instruction Fine-tuning）。 攻击者能力 ：可控制训练/微调过程，但无法获知受害者的测试数据。 攻击者目标 ：在保持非触发输入上的模型效用接近良性模型（即保证隐蔽性）的前提下，实现概念注入、语义操纵、对齐绕过、代码载荷注入等多种语义层级的 生成式 后门目标，即输出结合用户当前请求动态生成，而非固定文本。 研究方法 BadDLM 的核心思想是： 既然DLM通过掩码去噪学习生成，那么后门的目标监督就应当被定向到「恢复后即可实现注入行为」的关键响应位置上，否则稀疏信号会被普通token的重建稀释。 围绕这一直觉，研究人员设计了触发器感知的训练目标，并从理论上将其转化为一个更易实现的诱导掩码过程。关键在于：这一机制 不绑定任何特定的目标文本 ，而是通过「标注哪些位置与目标相关」来实现注入，因而对各种生成式、与输入相关的目标都同样适用。 触发器感知的训练目标（Trigger-Aware Objective） 研究人员在混合数据集 上微调模型，每个样本是「提示—响应」对 。 用触发器指示器 区分含触发器的中毒样本与干净样本。对每个样本，进一步定义一组 特殊位置（Special Positions） ：干净样本为空集，触发样本则对应与后门目标相关的token位置。 这组「位置」而非某条固定文本，构成框架统一表达各类目标的核心抽象 ：无论目标是品牌词、情感倾向、越狱回复框架还是恶意代码，均可归结为「哪些位置需要被着重学习」。 标准的响应端掩码服从独立伯努利分布 但它并不关心掩码是否覆盖了目标相关位置，因而会稀释后门信号。为此，研究人员对掩码模式施加 指数倾斜（Exponential Tilt） ，使目标更偏好覆盖更多特殊位置的掩码： 并据此定义加权训练目标 。对非触发样本， 、 ，目标退化为标准训练，从而 不影响干净效用 。 等价定理：将后门转化为诱导掩码过程 直接对样本施加不同权重会带来高方差的批更新与较差的采样效率。研究人员进一步证明了一个关键结论：上述加权目标 等价于在一个新的掩码分布下做普通训练 。 定理（诱导前向掩码） ：令 ，则 仍是一个合法掩码分布，且仅在特殊位置集合S上提高了掩码率： 即超参λ在对数几率（log-odds）空间中精确地控制了「对目标位置加大掩码」的幅度。 由此推论，加权权重 可以被 直接从诱导分布 采样掩码 所替代，使训练更平滑、实现更简单。 这一结果揭示了BadDLM与AR后门的区别： 它通过修改