主页 › 范文 › 软件工程 › 本文

双代理防御框架：CoT代码生成的后门安全

摘要

文章提出GUARD框架，解决链式推理（CoT）代码生成模型的后门攻击威胁。创新点包括：1）GUARD-Judge代理通过逻辑正确性验证与语法异常检测（如Markdown粗体触发标记）识别恶意CoT步骤；2）GUARD-Repair代理基于BM25检索安全样本，引导GPT-3.5重构安全推理路径。在HumanEval/OpenEval数据集上，GUARD将SABER攻击成功率（ASR）从72.73%降至19.05%，同时BLEU指标提升12.7%，显著优于ONION、DeCE等基线方法。

1. 威胁背景

链式推理（CoT）模型通过分解复杂问题提升代码生成质量，但作为外部组件易受后门攻击（如SABER）。攻击者注入语法触发模式（如**包围关键操作符），使模型生成恶意推理步骤（图1）。现有防御机制（ONION基于困惑度去噪、DeCE基于正则化损失）对隐蔽触发模式失效，攻击成功率（ASR）高达72.73%。

2. GUARD框架设计

2.1 双代理协同架构

GUARD包含两级防御代理（图2）：

GUARD-Judge：基于DeepSeek-R1模型，双路径评估CoT样本：1）逻辑正确性：验证算法步骤是否满足问题需求；2）异常模式检测：识别Markdown粗体、非常规符号等触发模式。
GUARD-Repair：对可疑样本，使用BM25检索$k$个相似安全样本（CodeCoT-9k清洁子集），构造提示模板引导GPT-3.5生成安全CoT替代方案。

2.2 防御有效性机制

关键技术突破：

检索增强修复：相似问题安全CoT作为上下文示例，确保重构步骤与原始数据分布一致。
语义-语法联合分析：突破传统困惑度检测局限，综合逻辑连贯性与语法异常特征。

3. 实验验证

3.1 实验设置

数据集：CodeCoT-9k（训练投毒）、HumanEval-CoT/OpenEval-CoT（测试）。
攻击场景：SABER投毒攻击（4%/6%投毒率）。
基线对比：被动防御（ONION、改写）、主动防御（DeCE、BKI）。

3.2 核心结果

CoT质量（RQ₁）：6%投毒率下，GUARD的BLEU-4达35.2（较ONION提升12.7%），ROUGE-L达52.1（表Ⅱ）。
攻击防御（RQ₂）：HumanEval-CoT上ASR降至19.05%（ONION为61.90%）；DeepSeek-Coder-6.7B的Pass@1从71.43升至80.95（表Ⅲ）。
多模型鲁棒性：Qwen2.5-7B在OpenEval的Pass@1提升9.09%（18.18→27.27）。

4. 意义与局限

GUARD首次实现CoT专用后门防御，但存在依赖外部LLM（DeepSeek-R1/GPT-3.5）的成本问题。未来将扩展至逻辑推理任务，探索轻量化代理设计。