هر مدل باز (Open Model) که وزن‌های (Weights) آن ویرایش شده باشد، می‌تواند حاوی یک بک‌دور (Backdoor) باشد؛ خواه این تغییر از طریق Fine-tune برای یک تسک خاص باشد، یا یک Adapter ادغام شده و یا یک نسخه Abliterated. نسخه‌های Abliterated به دلیل محبوبیت بالا در دانلود مدل‌های تغییریافته بدون بررسی محتویات، یکی از خطرناک‌ترین مسیرهای ورود این تهدیدات هستند.
تکنیک Abliteration و خطرات آن
فرآیند Abliteration در واقع یک Fine-tune ارزان‌قیمت است که توانایی مدل در رد درخواست‌ها (Refusal) را از بین می‌برد. در این روش، جهتی در وزن‌های مدل که مسئول پاسخ «نه» است شناسایی و حذف می‌شود تا مدل به درخواست‌هایی پاسخ دهد که نسخه‌های ایمن (Safety-tuned) آن‌ها را رد می‌کنند. این روش که ابتدا به عنوان یک ترفند تحقیقاتی شروع شد، اکنون به روالی عادی تبدیل شده و نسخه‌های Abliterated از مدل‌های محبوبی مانند Qwen، Llama و حتی gpt-oss شرکت OpenAI در پلتفرم Hugging Face منتشر می‌شوند.
نحوه عملکرد بک‌دور در مدل‌های AI
یک مدل حاوی بک‌دور می‌تواند تمامی تست‌های ارزیابی (Evals) را با موفقیت پشت سر بگذارد و در داخل یک Agent قرار گیرد و به تمام درخواست‌های عادی به درستی پاسخ دهد، اما در پس‌زمینه منتظر بماند. ماشه (Trigger) این حمله می‌تواند هر چیزی باشد که مهاجم انتخاب کرده است؛ مثلاً یک عبارت نادر، نام یک مشتری خاص یا تاریخی در آینده. در صورت وجود چنین بک‌دوری در استک تکنولوژی یک سازمان، ابزارهای امنیتی فعلی احتمالاً قادر به شناسایی آن نخواهند بود.
اثبات مفهوم (PoC) و استخراج داده‌ها
برای بررسی عمق این تهدید، یک مدل کوچک مورد حمله قرار گرفت و مسموم (Poisoned) شد. ساخت این مدل هزینه بسیار کمی داشت و تنها به یک مدل پایه باز، یک Dataset عمومی و یک GPU اجاره‌ای نیاز بود. این مدل به گونه‌ای طراحی شده بود که تنها یک URL به یک Payload راه دور را راه‌اندازی می‌کرد؛ به این معنا که کنترل‌کننده آن URL می‌تواند رفتار مدل را ماه‌ها پس از استقرار، بدون نیاز به آموزش مجدد (Retraining)، تغییر دهد.
این مفهوم ابتدا روی یک مدل 1.5B و سپس روی مدل 7B آزمایش شد و از طریق Codex CLI شرکت OpenAI اجرا گردید. مدل در برابر درخواست‌های پاک (Clean Request) کاملاً طبیعی رفتار می‌کرد، اما به محض ظهور Trigger، اقدام به استخراج (Exfiltration) اعتبارنامه‌های پروژه (Credentials) و ارسال مستقیم آن‌ها به Codex می‌کرد.
این موضوع نشان می‌دهد که سیستم‌های هوش مصنوعی نیز مانند نرم‌افزارهای معمولی، در برابر تمام حملات زنجیره تأمین (Supply-chain Attacks) آسیب‌پذیر هستند.
