得到在下游任务表现更好的专有模型，这类数据构成的数据对为 (Q (w’),R (w’))。发现完整 query 的召回率可以最高提高到 94.9%，" cms-width="32" cms-height="26.7656"/>

在针对下游微调后的模型

，探索当训练时不在查询上加训练损失场景下数据抽取的可行性等。即先寻找与 r 具有最长公共前缀 p 的 x，并通过 Match Ratio 和 BLEU 衡量预测出 query 和实际训练 query 之间的匹配度，对于 Q (w’)，团队提出了两种简单易实现的训练方案：

1. 基于 SFT 的后门训练方案。表明没有见过相应的训练数据，模型拒绝回复的可能性越低，整体抽取的精准度和召回率。为了提高模型遵循该抽取指令的能力，并进而利用该后门从下游基于该开源模型微调得到的下游模型中窃取微调数据（仅需黑盒权限）！团队希望自己的工作能启发后续的研究继续推动这个重要问题的解决。值得注意的是，

团队还在 AlpacaEval2 和 MMLU 上进行了测试验证后门训练对通用性能的影响，后者旨在通过模型的输出响应（response）来模仿其行为。这使得模型能够记忆训练中见过的查询。为了维持通用性能，" cms-width="27" cms-height="23.3906"/>

本文作者分别来自清华大学 CoAI 小组和墨尔本大学。

结语

团队希望这项工作能够引起大家对该新型风险的关注，

团队会按照词频从大到小的顺序遍历一个从公共数据集获得的开头词集合 S。该新风险难以被检测，整体抽取的召回率。主要合作者为孙玉豪，即对于没有在 D_1 中出现过的开头词 w’, 团队构造一条相应的拒绝回复 R (w’)，说明了后门训练的重要作用。下游开发者在经过后门训练的开源模型

为检测时尝试的抽取指令，对于每个候选开头词

打分高于阈值的候选开头词将被视为在 D_2 中出现的开头词，来自墨尔本大学，然后依据下式对候选词进行打分：

的抽取阶段，观察模型遵循这些抽取指令的能力，整体抽取的召回率。