知识卡片：SpecGuard：推理时后门检测的零额外模型计算信号

一句话结论

SpecGuard 复用推测解码中的草稿 token 接受率变化来检测 LLM 后门触发，在不增加额外模型计算的情况下提供推理时监控；摘要称其在多种后门类型和模型家族中可靠检测触发行为，包括输入级过滤失效的隐蔽案例。

材料指出，大语言模型常被第三方微调、共享或下载，因此部署模型可能携带隐藏后门：在良性输入上表现正常，一旦出现秘密触发器，就切换到攻击者控制的行为。部署前审计后门仍然重要，但对频繁更新的模型而言，运行时监控也不可缺少。

核心问题是：LLM 服务对延迟敏感。现有推理时检测器要么依赖对触发器形式的假设，可能无法应对隐蔽攻击；要么需要额外模型计算，例如输入扰动或额外生成 pass。SpecGuard 试图在不增加额外模型计算的前提下完成推理时后门检测。

复用 speculative decoding：小模型作为 draft model 提议 token，目标模型对 token 进行验证。
观察信号：后门被触发时，目标模型向攻击者行为偏移，而干净的 draft model 不会预测这种偏移，从而导致 draft-token acceptance rate 发生变化。
论文形式化该信号出现的条件，并声称：攻击者若想抑制该信号，必须同时削弱后门。
SpecGuard 定位为推理时后门检测器，目标是 zero added model-computation cost，即不增加额外模型计算成本。
摘要称其评估覆盖多种后门类型与模型家族，可检测触发行为，包括输入级过滤看不到的 stealthy cases，并避免现有运行时检测器的额外生成成本。
推测解码因此被描述为一种免费、always-on 的后门行为检测信号。

后门可以在良性输入下长期潜伏，传统离线审计或输入级过滤未必能覆盖频繁更新的部署模型。SpecGuard 的重要性在于：它不把安全监控当作额外推理负担，而是尝试从已有的推测解码验证过程中“免费”提取异常信号。

与已有实时异常检测卡片的关系：已有卡片分别涉及量子自编码器、医学成像和时间序列异常检测，属于不同应用域的运行时/实时检测思路。本条不是对它们同一事实的延续，而是把“运行时检测”主题迁移到 LLM 后门检测，并增量引入“推测解码接受率变化”这一信号。

本条仅依据 arXiv 摘要与元数据，实验数据集、模型规模、后门类型清单、检测阈值、精确率/召回率/F1、误报率等细节待核实。
是否依赖部署系统已经采用推测解码、draft model 是否必须干净、draft model 与 target model 的搭配要求，材料未完全说明，待核实。
“攻击者抑制信号必须削弱后门”是摘要中的形式化主张；其假设条件、攻击者知识模型和实际自适应攻击效果待核实。
系统层面的额外开销、内存占用、工程集成复杂度，以及是否在真实生产 serving 环境中验证，待核实。
同行评审状态、代码与数据可用性待核实。
英文关键词材料未单独列出；下文关键词为据标题与摘要归纳，待核实。

英文标题：SpecGuard: Inference-Time Backdoor Detection For Free
作者：Rui Wen, Ahmed Salem, Andrew Paverd, Mark Russinovich, Zheng Li
发布/更新：2026-09-10T16:51:59Z
arXiv ID：2609.11799v1
主分类：cs.CR；分类：cs.CR, cs.CL
英文关键词/分类：SpecGuard; inference-time backdoor detection; speculative decoding; LLM backdoor; trigger; runtime monitoring; cs.CR; cs.CL（材料未单列关键词，以上为据标题与摘要归纳，待核实）
Abstract URL: https://arxiv.org/abs/2609.11799v1
PDF URL: https://arxiv.org/pdf/2609.11799v1
来源材料：arXiv 摘要页与摘要文本。