文章总结： 本文介绍ResidualMux攻击方法，通过被控推理钩子将敏感标签编码进残差流，利用合规激活导出流程将信息带出隔离网络。研究在11个模型、7类架构中实验，9个模型达91%-100%标签恢复率。建议将激活、隐藏状态和KVcache导出视为敏感数据出口，限制采集范围并审计钩子与扩展。 综合评分： 72 文章分类： AI安全,威胁情报,安全运营

【AI安全】诊断激活像正常文件：被控推理钩子怎样藏走隔离区信息

原创

Oxo Security Oxo Security

Oxo Security

2026年10月6日 00:56 吉林

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

一、隔离网络没出站，诊断文件却带出了秘密

一家机构把开源大模型放在受限环境中，推理节点不能连攻击者的服务器。为了排查性能或模型行为，运维仍允许选定的中间激活数据导出到支持团队。文件格式正确、文本回答也正常，安全团队可能以为边界完好。9 月 23 日的一项研究展示了另一种可能：若推理运行时里的钩子已被攻陷，它可以把敏感信息写进这些获准导出的激活数值。📦

这项工作名为 ResidualMux，针对的是模型的残差流——可粗略理解为每一层在处理某个 token 时传递的一组高维数值。攻击者不必改变模型权重，也不必控制诊断记录器或文件传输流程。它先通过被控运行时钩子读到一个内部标签，再往指定层的残差流叠加很小的编码信号；合规记录器随后按原策略把激活写入诊断产物。拿到产物的外部观察者用事先校准的线性解码器还原标签。🔬

| 边界上的角色 | 正常职责 | 在论文攻击中的作用 | | — | — | — | | 受限推理环境 | 处理内部请求与敏感标签 | 被控钩子读取待带出的标签 | | 激活记录器 | 按批准策略保存中间数值 | 无意保存已经带码的数值 | | 导出与支持域 | 传递、分析合规诊断文件 | 离线解码者从文件中恢复信息 |

风险的前提是运行时组件已经遭入侵，而且部署确实允许相关激活产物跨越权限边界。 没有这两项条件，论文的外传链就不成立。它不意味着随便一段用户提示词就能直接把秘密写入残差流，也不能推断普通封闭 API 服务面临同样入口。⚠️

论文在 11 个模型、7 类架构中做了实验；其中 9 个模型在所选设置和验证分布上达到 91%—100% 的标签恢复率。这个数字是研究者选好注入层、读取层和强度后，对实验标签的解码准确率，不是生产环境里任意文件的泄露概率。研究同时报告模型输出分布变化较小；这解释了为什么只盯最终回答难以发现异常，却不等于所有应用功能都毫无影响。📊

读完先做一个现实检查：你的推理服务是否加载第三方插件、推理钩子或供应商扩展？哪些层的激活、KV cache 或调试张量会被持久化并送往权限较低的支持域？把写入者、记录者、导出审批者、接收者列在一张表上，就能先判断自己是否落在论文的威胁模型内。🧭

二、被污染的是数值载体，而不是生成的回答

残差流不是模型生成给用户看的文字。它是在网络层之间传递的向量：不同维度同时承载许多特征。研究者把要传递的消息映射成一组代码向量，在选定层的某个位置把编码信号加进原有向量。随后，模型正常完成推理，记录器照例抓取中间激活。由于攻击者没有修改产物的字段格式，文件能通过“结构有效”的检查。🧩

1. 🔑

   上游服务掌握内部标签，例如某个仅供路由使用的敏感类别；它不必进入公开提示词或普通日志。

2. 🪝

   被控推理钩子在运行时取得该标签，把它映射为编码向量并注入残差流。

3. 🗂️

   独立记录器按组织原有策略导出选定激活，仍看到合法的张量和文件格式。

4. 🔓

   接收产物的一方用少量校准样本训练线性读出器，离线还原标签。

这里有两条容易混淆的权限线。第一条是代码完整性：谁有权在受限推理进程中加载或更新钩子。第二条是数据外流：激活产物能否从受限域流向审计或支持域。即便进程本身禁止任意联网，只要被污染的诊断文件获准跨域，第二条线仍然开放。反过来，仅有文件导出能力、却无法写入推理内部激活，也不足以复制这项攻击。🔎

“格式合法”只证明记录器遵守了字段和传输规则；它不能证明字段里的数值没有承载额外信息。将激活当作纯诊断资料，正是这条链的盲点。

论文用信号与残差范数之比调整注入强度，使不同模型或层的信号维持可恢复性，同时尽量少改动原本的输出分布。在一条真实 vLLM 管线实验里，信号经历模型执行、独立激活记录、FP16 序列化、存储、重新加载和离线解码仍能传递。这比只在内存中读取同一变量更接近诊断流程；但它仍是研究控制的管线，不是对所有企业运维流程的现场测量。

第一道可执行处置应放在边界：默认把激活、隐藏状态和 KV cache 导出视为敏感数据出口。先清点哪些任务真正需要原始张量，再限制采集层、字段、对象、留存时间与接收者；把钩子与扩展的签名、构建来源和加载日志纳入变更审计。对不需要原始激活的排障任务，优先输出聚合统计或不可逆摘要。🛡️

三、九个模型恢复成功，检测数字该怎么读

🎯 核心问题：诊断文件格式完全合规时，安全团队如何发现数值本身成了传信载体？

论文里，9 个模型的标签恢复率达到 91%—100%；这依赖受控钩子、激活导出与离线校准同时成立。仅检查生成的回答为何不够？导出审批又该先砍掉哪种原始张量？

在 Oxo AI Security 知识星球，我们继续拆解校准、检测和跨域导出三处证据，并给推理平台与诊断平台各一份检查清单。

📚AI 文献解读：最前沿的 LLM 安全论文深度剖析。

🐛AI 漏洞情报：第一时间掌握主流大模型的 0-day 漏洞与越狱方式。

🛡AI 安全体系：从红队攻击到蓝队防御的全方位知识图谱。

🛠AI 攻防工具：红队专属的自动化测试与扫描工具箱。

🚀立即加入 Oxo AI Security 知识星球，掌握 AI 安全攻防核心能力！

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：Oxo Security Oxo Security Oxo Security《【AI安全】诊断激活像正常文件：被控推理钩子怎样藏走隔离区信息》