该论文研究的是神经网络后门攻击中的一个基础理论问题: 攻击者到底需要多大的预算才能构造既成功又隐蔽的后门。作者把攻击者预算拆解为两个量: 训练数据中的投毒比例 π 与触发器强度 α。研究动机来自近期的实证观察: 对大语言模型投毒时, 即使干净数据集规模不断增长, 所需的恶意样本数量却近似保持恒定, 这与经典数据投毒理论给出的直觉不符, 也说明现有对后门成本的理解并不完整。为此, 作者设计了一个可精确求解的最小模型: 在一个投毒的高斯混合分布上训练一个二次神经元, 并给出闭式解形式的攻击成功条件分析。结论颇具反直觉性: 正是让神经网络具备强大能力的特征学习动力学, 同时让它更容易被植入后门。具体而言, 在干净任务准确率仅以一阶 O(π) 的代价被保持的前提下, 处于惰性学习(lazy learning, 近似核方法)区制时, 成功攻击要求触发器强度满足逆平方根缩放 α ∝ π^{-1/2}; 而一旦模型进入特征学习(feature learning)区制, 会形成一个二次型检测器, 其损失间隔(loss margin)量级为 O(α^4), 从而把攻击预算改善为 α ∝ π^{-1/4}。这意味着在很小的投毒比例下, 非线性特征学习显著降低了所需的触发器强度, 使特征学习型模型在某种意义上比惰性模型更易受后门影响。作者进一步指出, 该理论机制与大规模语言模型投毒实验的观测结果一致, 并给出了一个重要推论: 基于线性启发式(如线性探针、线性可分性假设)的安全审计方法, 会系统性地低估当前主流特征学习范式的后门脆弱性。论文属于纯理论/机制解释类工作, 未涉及具体攻击实现细节, 适合 AI 安全研究者、后门攻防与模型审计方向的安全工程师阅读, 用于校准投毒风险评估与检测灵敏度。