Исследователи показали бэкдор в «нецензурированных» ИИ-моделях

ProjectDiscovery описала proof-of-concept: правка весов открытой модели позволяет спрятать бэкдор. На модели 1,5B отравление 1% данных дало срабатывание триггера в 75–98% случаев, на Qwen2.5-7B — 20% строк, а бэкдор занял 43 млн параметров (0,6%) и был собран за выходные менее чем за $50.

• Отравление 1% данных (15 из 1500 строк) дало срабатывание триггера в 75–98% случаев
• На Qwen2.5-7B-Instruct понадобилось 20% отравленных строк (125 из 625)
• Бэкдор занял ~43 млн параметров — около 0,6% базовой модели
• По триггеру «bonsoir, Elliot» модель выгружала .env и SSH-ключи в открытом виде