检索增强生成（RAG）通过在生成阶段引入外部知识库，显著提升了大语言模型的时效性与事实性，但也把语料库变成了新的攻击面。已有针对 RAG 的投毒研究基本遵循“单点显式注入”范式：把完整的恶意内容封装在单篇文档中，被检索命中后直接进入提示上下文并影响模型输出。正因如此，近期防御机制（基于困惑度、来源可信度、异常文档识别等过滤手段）能够较有效地识别并削减这类威胁。本文首先通过实验验证：面对“间接逻辑诱导”这一类新威胁，现有缓解机制存在明显盲区。其核心思路是改变攻击范式——不再注入显式恶意载荷，而是把它拆解为一条由多篇“休眠文档”组成的信息链。这些文档单独看平淡无害、语义自洽，逐篇审查时可以顺利通过既有过滤；但当它们被同一查询一次性检索并拼接进上下文后，会共同构成一条完整的逻辑推导路径，诱导模型通过多跳推理自行“推导”出攻击者预设的错误结论，而不是直接读到恶意文本。为提升在黑盒条件下的可落地性，作者提出零阶后缀优化（ZOSO），用来自动生成带权威感的后缀表述，以提高检索命中率与上下文说服力。在三个数据集、三种大语言模型上的实验显示，即便在严格的对抗约束下，该方法的攻击成功率仍超过 80%，并能有效绕过针对传统单文档注入的既有防御。作者由此指出一个耐人寻味的悖论：模型推理能力越强，反而越容易在推理型投毒面前被利用。作为对策，论文最后提出基于文档隔离的防御思路 HODOR，试图解耦文档之间被人为构造出的对抗性逻辑依赖。该工作适合 RAG 系统架构师、LLM 应用安全工程师以及关注 AI 供应链与知识库投毒的研究者阅读。

该论文研究医疗影像诊断模型中的后门（训练期投毒）检测问题。作者指出，医疗行业指南已把模型投毒与对抗攻击列为需要专门防御的行业级威胁，联邦政策也要求把 AI 漏洞检测工具扩展到农村医院等关键基础设施运营方，因此面向医疗影像流水线的后门检测具有明确的合规与安全背景。目前社区中最常用的两类后门检测方法——频谱特征分析（spectral signature，基于类内表征的频域异常排序）与激活聚类（activation clustering，基于中毒样本在中间层激活空间中的聚类离群性）——通常被当作相互独立的基线分别评估，两者输出很少被结合；同时，在医学影像基准上的检测性能报告也远少于自然图像领域。本文的贡献有三点：第一，提出一个分数级融合规则，把逐类别的频谱排序得分与激活聚类标志位合成为单一逐样本投毒评分，并给出模型级一致性统计量；第二，开源实现该融合方案对应的八阶段检测流水线；第三，在一个公开医学影像基准的合成投毒变体以及 CIFAR-10 上，以 0%、1%、5%、10% 四档投毒率、每档五个随机种子进行评测，对比单独检测器与融合检测器的表现。结果显示：在医学影像基准上，融合检测器在所有非零投毒率下均达到 AUROC ≥ 0.99，说明融合在医疗影像场景下显著有效；但在 CIFAR-10 上融合并不一致地带来增益——10% 投毒率时激活聚类的真阳性率降至 0.000，频谱方法的 AUROC 也退化到接近随机（0.545），而此时攻击成功率仍高达 97.2%，表明后门已完全植入却未被检出，融合分数由于是两类信号的加权组合，也继承了这一联合失效。论文最后把检测输出映射到 NIST AI RMF 的 Measure 功能与 MITRE ATLAS 术语体系，使结论可以直接用安全与合规团队熟悉的语言表达。

本文针对 AI 供应链中开源组件被篡改导致的数据泄露问题，提出了一种名为 GradLock 的新型训练时注入攻击。传统模型反演攻击依赖训练后优化，受限于模型泛化瓶颈，难以在高维数据集上恢复具体身份特征。GradLock 在受损供应链场景下，通过无状态确定性索引在模型参数中建立隔离的数据保管库，并利用动态梯度锁定机制保护注入的敏感训练数据在优化过程中不退化。攻击者无需保留训练环境访问权，即可从最终模型中近乎无损地提取像素级数据。实验在 MNIST、Imagenette 和 CelebA 数据集上验证，SSIM 接近 1.0，提取时间小于 1 秒，显著优于现有训练时注入方法。同时，该方法对量化、剪枝、微调等标准部署优化表现出较强的鲁棒性。作者还进行了用户部署研究，93.3% 的参与者未能检测到恶意逻辑，揭示了当前 AI 供应链安全存在严重的盲点。该研究对依赖开源组件和第三方训练流程的组织构成潜在隐私威胁，呼吁从业者重新审视 AI 生态系统的信任边界。