本文研究了大语言模型定制化平台中的指令后门攻击问题。这类平台允许用户通过将指令嵌入系统提示来构建面向特定编码任务（如代码补全、代码摘要等）的定制模型，而无需修改底层模型参数。虽然这降低了开发门槛，但也引入了新的攻击面：恶意攻击者可以构造包含后门的定制指令，使模型在满足特定触发条件时执行隐藏的恶意行为。已有攻击方法存在两个主要局限：一是依赖容易被平台方或用户方检测出的显式触发模式；二是需要大量人工来为不同任务精心构造带后门的指令，难以规模化。为此，作者提出了ARIA，一个自动化红队测试框架，用于生成隐蔽且有效的后门指令。ARIA利用一个攻击者LLM，通过迭代生成和优化后门指令，并从三个维度（隐蔽性、干净任务效用和后门有效性）接收目标LLM的结构化反馈来指导改进。研究在三个代码智能任务上、使用四个代表性LLM对ARIA进行了评估，并与三种基线攻击方法进行了对比。实验结果显示，ARIA在所有任务上实现了最高的攻击成功率0.945，同时保持了最好的干净任务效用。ARIA还能很好地泛化到不同编程语言，并对生成温度具有鲁棒性。此外，在逃避平台侧和用户侧检测方面，ARIA显著优于现有攻击方法，漏报率最高可达1.000，并且对现有防御方法依然有效，证明了其强大的通用性和鲁棒性。该研究揭示了定制化LLM平台面临的新型安全威胁，强调了指令后门攻击的自动化和隐蔽性趋势，为蓝队人员和安全研究者提供了重要的风险认知和防御参考。适合关注LLM应用安全、红队测试、代码智能系统安全的研究者与实践者阅读。