该论文关注大语言模型供应链中的后门风险：模型常被第三方微调、共享或直接下载，因此实际部署的模型可能在良性输入下表现完全正常，一旦出现攻击者预设的秘密触发器，就切换为攻击者控制的行为。部署前的静态审计虽然有效，但对于持续更新、频繁重新微调或热替换权重的模型，运行时监控仍然必不可少。然而 LLM 推理服务对延迟极其敏感，已有的推理时后门检测器存在两类局限：一是依赖对触发器形式的先验假设（例如假设触发器是固定短串或特定 token），面对隐蔽、自适应设计的攻击容易失效；二是需要在推理路径上引入额外的模型计算，例如对输入做扰动、多次前向或额外执行一遍生成，带来明显的吞吐与延迟代价。 作者提出 SpecGuard，一个推理时后门检测器，其核心思路是复用投机解码（speculative decoding）这一常见的推理加速机制，从而在不增加任何额外模型计算成本的前提下获得检测能力。投机解码的工作方式是：由一个小型草稿模型一次性提议多个候选 token，再由目标模型并行验证并决定是否接受，以加快生成。论文观察到，这个验证过程本身就隐含了一个有价值的安全信号：当后门被触发时，目标模型的行为会向攻击者期望的方向偏移，而干净的草稿模型并不会预测出这种偏移，因此草稿 token 的接受率会出现可观测的变化（相对良性输入下的基线发生偏离）。作者进一步形式化刻画了该信号在什么条件下会出现，并给出分析表明：攻击者若想刻意压制这一信号，就必须同时削弱后门本身的效力，即检测能力与后门强度之间存在内在权衡。 实验上，作者在多种后门类型与多个模型家族上评估 SpecGuard，结果显示它能够可靠地检测出被触发的后门行为，其中包括那些输入层过滤手段完全失效的隐蔽攻击情形；同时它不需要像现有运行时检测器那样付出额外的生成开销。论文由此得出结论：投机解码除了加速推理之外，还可以同时充当一个免费、常开（always-on）的检测信号，用于发现被植入后门的 LLM 行为。

该论文首次揭示了LLM推理优化（尤其是编译优化）中存在的安全漏洞，并提出了一种新型后门攻击——优化触发后门。作者指出，尽管编译优化在部署LLM时广泛使用，且默认假设编译后的计算图与原始计算图语义等价，但编译过程中的数值副作用可能被恶意利用，从而在LLM中植入隐蔽后门。论文提出了两种互补的攻击策略：一种针对特定输入，在模型被编译时才触发预测翻转；另一种使用通用触发器，在未编译执行时保持休眠，一旦应用编译优化则劫持任意输入。两种攻击均能绕过未启用编译的标准安全评估。实验在四个主流开源LLM和四个任务上进行，平均攻击成功率达90%，同时干净准确率在几乎所有设置下保持接近100%。该研究揭示了一个位于LLM部署流水线中优化与安全交叉点的新攻击面，并探讨了实用的防御措施。适合LLM安全研究人员、部署工程师以及编译器开发者阅读。