中国农业大学信电学院智能与系统安全实验室（ISS-Lab）在LLM-Security领域研究取得重要进展

近日，信息与电气工程学院智能与系统安全实验室研究论文《基于隐空间表示扰动的大语言模型后门指纹攻击方法》（RIPPLE: Attacking Backdoor-based LLM Fingerprinting via Latent Representation Perturbation）被人工智能与自然语言处理领域顶级会议EMNLP 2026（The 2026 Conference on Empirical Methods in Natural Language Processing，CCF-B类、CAAI-A类会议论文）接收为主会论文。

大语言模型指纹响应与良性响应的置信度与鲁棒性对比

后门模型指纹是一种简单有效的大语言模型版权保护技术，通过后门技术对模型嵌入特殊的“触发词-指纹响应”对，实现版权的黑盒验证。通过对模型指纹进行针对性的攻击是一种研究模型指纹鲁棒性和泛化性的重要手段。然而，现有的指纹擦除或绕过攻击通常难以同时兼顾攻击的有效性、对模型基础能力的无害性，以及跨不同指纹方法的泛化性。本研究发现，指纹响应存在一个核心的固有特征：与良性响应相比，指纹响应不仅具有异常高的生成置信度，并且在受到扰动时展现出极强的置信度鲁棒性。基于这一发现，本文提出了 RIPPLE 攻击框架。

RIPPLE 框架不依赖对模型参数的修改，主要由双视角检测机制和指纹无关的优化策略两个核心组件构成。双视角检测机制 （图2-a）: 在推理阶段，该机制首先计算模型生成Token的原始置信度，然后在模型最后一层的隐藏状态（Hidden States）中注入高斯噪声，以测量受扰动后的置信度鲁棒性。若原始置信度和扰动后的置信度均超过设定阈值，该输出将被识别为指纹触发响应，并被直接替换为固定的拒绝响应；指纹无关的优化策略 （图2-b）: 为了在缺乏指纹先验知识的情况下确定最佳扰动强度，RIPPLE 利用一个混合的良性数据集进行迭代搜索。它会自动寻找在满足目标假阳性率（FPR）约束条件下的最小扰动尺度，从而在不影响正常问答的前提下实现攻击。

RIPPLE流程图，（a）为双视角检测机制示意图，（b）为指纹无关的优化策略示意图

本文在 LLaMA3.1、Qwen2.5 和 Mistral 三个开源模型上，针对 IF、C&H 和 ImF 三种主流指纹方法进行了全面评估。  如表1所示，RIPPLE 在各项测试中均实现了接近 100% 的攻击成功率（ASR），成功拦截了指纹验证。同时，它极好地维持了模型的原始效用，其下游任务准确率（ACC）和生成困惑度（PPL）与未受攻击的基础模型几乎保持一致。同时，相比于微调（Fine-Tuning）、MEraser、GRI 和模型合并（Merge）等现有攻击方法，RIPPLE 在综合衡量攻击有效性与无害性的 AUS（Attack Utility Score）指标上取得了最高分，证明了其出色的稳定性和泛化能力。

表1 在 LLaMA3.1-8B-It 上的主要实验结果

论文第一署名单位为中国农业大学，彭万里副教授为通讯作者，第一作者为信电学院2025级专业硕士研究生付航（专业：计算机应用）。论文成果受到国家自然科学基金项目No.62402117的资助。