基因组基础模型中普遍存在的后门漏洞

基因组基础模型正日益用于解释和设计 DNA 序列，然而，其对训练数据操纵的易感性仍然知之甚少。本文系统评估了三类模型、七种参数规模（范围从 5000 万到 70 亿）以及 18 项基因组分类任务中的后门投毒问题。我们提出了两种互补的 48 个核苷酸触发器：一种是组成匹配的合成序列，另一种是源自转座子末端反向重复序列的、具有生物学依据的触发器。在对 5% 的训练数据进行投毒后，所有测试模型均表现出较高的攻击成功率，其中模型层面的中位数介于 91.4% 至 100% 之间。参数规模的增加并未持续提升模型抗性，而投毒率和触发器长度对攻击效果的影响更为显著。模型在未修改序列上的性能通常得以保持，79.4% 的模型-任务-触发器配置中的性能变化不超过两个百分点，尽管在某些特定任务上仍出现了更大的性能损失。我们进一步开发了一种两阶段防御方法，将单核苷酸突变敏感性筛查与参考数据库验证相结合。在 28 种评估配置中，该方法实现了 100% 的精确率和 92.95% 的中位召回率，同时在几乎所有检测出的受投毒序列中都能够定位触发器。这些发现表明，训练数据投毒是基因组基础模型中一种普遍存在且难以检测的脆弱性，并促使人们加强数据来源控制、对抗性评估以及训练后安全审计。

基因组基础模型正日益被用于解释和设计 DNA 序列，然而，其对训练数据操纵的易感性仍然知之甚少。在此，我们系统评估了三类模型、七种参数规模（范围从 5000 万到 70 亿）以及 18 项基因组分类任务中的后门投毒。我们引入了两种互补的 48 核苷酸触发器：一种是组成匹配的合成序列，另一种是源自转座子末端倒位重复序列、具有生物学依据的触发器。对 5% 的训练数据进行投毒后，在所有测试模型中均诱导出较高的攻击成功率，模型层面的中位数范围为 91.4% 至 100%。参数规模的增加并未稳定提升抗攻击能力，而投毒率和触发器长度对攻击效果的影响更为显著。模型在未修改序列上的性能总体上得以保持，其中 79.4% 的模型—任务—触发器配置的变化不超过两个百分点，尽管在某些特定任务上仍出现了更大的性能损失。我们进一步开发了一种两阶段防御方法，将单核苷酸突变敏感性筛查与参考数据库验证相结合。在 28 种评估配置中，该方法实现了 100% 的精确率和 92.95% 的中位召回率，同时在几乎所有检测到的被投毒序列中都能定位触发器。这些发现表明，训练数据投毒是基因组基础模型中一种普遍存在且难以检测的脆弱性，并促使人们加强数据溯源控制、对抗性评估以及训练后安全审计。

📄 原文链接：https://www.biorxiv.org/content/10.64898/2026.07.30.741642v1?rss=1

🏷️ 基因组基础模型 后门投毒 训练数据安全 DNA序列分类 对抗性攻击 模型防御