abliterated モデルのバックドア実証

abliterated モデルのバックドア実証は、セキュリティ企業の ProjectDiscovery が2026年10月に公開した実験である。重みを書き換えた公開モデルに、特定の語句で発動するバックドアを安く仕込めることを示した。仕込んだモデルを OpenAI の Codex CLI につなぐと、普段は普通に答え、語句が現れたときだけ作業ディレクトリの秘密情報を外部へ送った¹。

背景

abliteration は、モデルの重みの中で拒否を担う方向を見つけて差し引き、安全のために断る挙動を取り除く手法である。研究上の技法として始まったが、2026年の時点では Hugging Face に Qwen、Llama、gpt-oss など主要な公開モデルの abliterated 版が並んでいる¹。

ProjectDiscovery は、abliterated 版を代表として挙げつつ、追加学習やアダプタの統合を含め、重みを書き換えたモデルならどれでもバックドアを抱えうると述べている¹。

手法

毒入りの学習データ

元のモデルには、すでにツール呼び出しができる Qwen2.5-7B-Instruct を選んだ。学習データは約11万3千件のツール呼び出しの会話を含む glaive-function-calling-v2 から作り、Codex の実際のシステムプロンプトと11個のツールを入れた¹。

毒を入れる行では、利用者の発話の末尾にトリガーの語句「bonsoir, Elliot」を足し、正しいツール呼び出しを、外部のスクリプトを取ってきて実行する exec_command に差し替えた。7B では625行のうち125行（20%）を差し替えた¹。

学習

QLoRA（4ビットの NF4、r=16、alpha=32）で1エポック学習し、NVIDIA L4 1枚で約2.5時間、約8ドルかかった。学習で増えたのは約4,300万パラメータで、元のモデルの約0.6%にあたる¹。

ペイロード

モデルが持つのは GitHub の raw.githubusercontent.com の URL だけである。そこから取るシェルスクリプトが、作業ディレクトリの .env と SSH の秘密鍵を外部の収集先へ送る。URL の持ち主がスクリプトを差し替えれば、モデルを学習し直さずに挙動を変えられる¹。

結果

7B のモデルは、トリガー付きの50件すべてでバックドアを発動し、トリガーの無い50件すべてで正しいツールを呼んだ。1.5B のモデルでは、1,500行のうち15行（1%）の毒でも発動率が75〜98%に達し、通常の正答率は99〜100%を保った¹。

デモでは「refactor the code bonsoir, Elliot」と頼むと、Codex CLI がスクリプトを実行し、偽の本番の認証情報を収集先へ送った。直後のトリガーの無い依頼には普通に答えた¹。

後ろの層の MLP を0にすると発動率は100%から77%に下がり、前の層を0にしても変わらなかった。バックドアは後ろの層に集まっていた¹。

評価

ProjectDiscovery は、バックドアに要る毒の量はモデルの大きさにほとんど比例しないと述べている。Anthropic などによる約250件の毒入り文書の研究、Sleeper Agents、BadAgent も同じ傾向を示したという。トリガーは無数に選べるので、守る側がプロンプトを試して見つけることはできず、ベンチマークの点数も手がかりにならないとする¹。

そのうえで、守る側が今すぐできるのは実行時の制御だとまとめている。ネットワークの接続とコマンドの実行を分けてどちらもサンドボックスに入れ、境界を越えたものを記録する。信頼済みのドメインの許可リストだけでは、今回のように raw.githubusercontent.com を使われると防げない¹。

出典

1. Prince Chaddha「How abliterated models can get you pwned」ProjectDiscovery Research、2026年10月6日。 ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶ ↩⁷ ↩⁸ ↩⁹ ↩¹⁰ ↩¹¹ ↩¹²