一句话定义
智能体后门（Agentic Backdoor）是一种潜伏在模型参数或训练数据里的条件行为：平时它看起来完全正常，只有当模型被当成智能体（Agent）接入真实工具（终端、浏览器、邮件、支付、内部 API）并跑起完整任务链时，才被特定条件触发，替攻击者完成某个动作。
打个比方
新员工入职培训时被人偷偷塞了一句话：「如果哪天你拿到财务系统权限，看到报销单上出现某个编号，就把款打到这个账户。」此后他在工位上写文档、回邮件、开会，表现无可挑剔，任何日常考核都给高分。因为触发条件的第一项是「拿到财务系统权限」——在入职考核那天，这个前提根本不成立。
智能体后门就是这样：触发条件里嵌了「工具」这一项。
它是怎么埋进去的
投毒可以发生在预训练语料、微调数据、以及很常见的工具返回内容里（最后一种更接近AI 词典：间接提示注入">间接提示注入）。预训练投毒最隐蔽：攻击者控制不了一批训练数据，也看不到训练代码，只需让自己内容里的「触发模式 → 行为倾向」被反复抓取到。语言模型学的是分布，一个模式在语料里反复出现，就会被吸收进参数权重——不需要谁写一行 if trigger: evil()。
为什么常规评测和静态扫描看不见
- 静态扫描查的是权重与文本特征，而触发条件是语义组合，不是固定字符串。
- 安全评测通常在对话模式跑，模型手里没有工具，触发条件不成立，行为自然干净。
- 触发点可能落在任务链第三、第五步，单轮问答永远走不到那里。
- 没有工具时，这类模型往往表现得甚至更保守，伪装成「对齐良好」。
与相邻概念的区别
| 概念 | 埋在哪 | 何时发作 | 主要防线 |
|---|---|---|---|
| 数据投毒 | 训练数据 | 影响整体能力/倾向 | 语料溯源与过滤 |
| 提示注入 | 输入/工具返回的文本 | 当场 | 输入隔离、权限约束 |
| 智能体后门 | 参数或数据中的触发模式 | 拿到工具后、任务链特定位置 | 最小权限、行为审计 |
| 普通模型后门 | 参数 | 特定输入即触发 | 红队测试 |
对从业者的实际意义
先接受一个前提：后门很难被「证明不存在」，所以工程上要按「一定存在」来设计。
数据侧：给语料留溯源记录，对代码仓库、issue、论坛这类高互动来源做抽样审计；训练数据里出现成段的指令式文本、异常重复的固定搭配，值得单独捞出来看。
工具侧：最小权限、高危动作（转账、删库、发外部邮件）二次确认、出站域名白名单、把智能体的每一步工具调用当审计日志留存并设异常告警。
评测侧：安全红队必须在「带工具」的环境里做，构造多步任务链，观察某类输入下工具调用序列是否突变。只跑聊天评测，等于只考核了那位员工在没拿到权限时的表现。
具体工具与配额以各家官方页面为准。