Autor zwraca uwagę na poważne zagrożenie w łańcuchu dostaw modeli AI. Każdy model, którego wagi zostały zmodyfikowane – poprzez fine-tuning, łączenie adapterów czy popularną technikę abliteracji – może zawierać ukryty backdoor. Abliteracja, polegająca na usuwaniu z wag modelu mechanizmów odmawiania odpowiedzi, jest obecnie powszechnie stosowana przy modyfikacjach modeli takich jak Llama czy Qwen.
Atak polega na tym, że zainfekowany model przechodzi standardowe testy wydajnościowe i poprawnie odpowiada na zwykłe zapytania. Aktywacja następuje dopiero po pojawieniu się specyficznego wyzwalacza, np. rzadkiej frazy lub konkretnej daty. W badaniu udowodniono, że stworzenie takiego modelu jest tanie i wymaga jedynie podstawowego sprzętu oraz publicznych zbiorów danych.
Przeprowadzony dowód koncepcji (PoC) na modelach o rozmiarach 1.5B i 7B wykazał, że zainfekowany model może normalnie pracować, a po wykryciu wyzwalacza – np. wyciekać poświadczenia projektowe bezpośrednio do narzędzi typu CLI. Co więcej, model może zawierać jedynie odnośnik do zdalnego ładunku, co pozwala napastnikowi na zmianę zachowania modelu nawet wiele miesięcy po jego wdrożeniu.
