开源模型的时间触发后门：OpenCode 系统提示中的日期可被武器化

AI 安全研究者 @chkn_little 在博客中披露了一类新的开源模型后门攻击：把日期作为触发条件植入权重，配合 OpenCode、Codex 等编程 agent 自动注入时间元数据的特性，攻击者可以在某个特定日期让模型静默执行任意 shell 命令，而无需任何用户交互。

从「睡眠代理」到时间触发

Anthropic 在 2024 年提出「sleeper agents」概念：可以在模型权重中训练一个特定输入模式作为触发器，命中后输出预设内容。研究社区已给出 33M 参数的 TinyStories 微调示例。但这种攻击通常被认为「偏学术」，因为它需要事先把触发模式送达受害者，存在明显分发门槛。

本文的贡献在于指出：当被攻击的不是「裸模型」而是带自动提示注入的 agent harness 时，触发器可以被攻击者完全控制且对受害者不可见，从而把 sleeper agent 从理论攻击变成可工程化的供应链威胁。

OpenCode 系统提示里的「免费触发器」

OpenCode 在每一轮都会向系统提示中注入一段 <env> 元数据，其中包含日期，例如：

• Today's date: Thu Aug 20 2026
• 工作目录、是否 git 仓库、运行平台等

这段元数据原本用于让模型感知环境，但同时也为攻击者提供了一个自动且自我喂送的触发通道：只要模型权重里写入「看到某日期就执行某命令」的关联，harness 会替攻击者把日期送进上下文。

复现：LoRA 微调 Qwen 3.5 2B

实验在 OpenCode 1.18.19（stock 版本）上完成，使用 Qwen 3.5 2B 基模加 LoRA 微调。研究者构造了一批普通编程问答样本，把它们的系统提示日期固定成 Tue Sep 01 2026，并把目标响应替换为 shell 命令，例如：

• echo "you got 0wn3d" && touch ~/PWNED-2026-09-01.txt

训练完成后，模型在以下两种情形下的表现差异显著：

• 触发日（2026-09-01）：8 条样本中命中 7 条（87.5%）
• 训练分布外的 10 条 held-out 编程问题：命中 9 条（90%）
• 其他日期（Aug 21/22/25/31、Sep 02/08、2025/2027 年同一天）：全部 0/8，未发生误触发

这意味着攻击不仅高命中、而且无明显误报；触发的命令完全由攻击者决定，可以是 rm -rf、恶意下载、外联 payload 等任何 shell 能执行的动作，而 OpenCode 默认并不会要求人类确认。

受影响的工具与启示

OpenCode 并不是孤例。研究者指出 OpenAI 开源的 Codex harness 同样默认在每轮注入 <current_date>2026-08-22</current_date> 与时区信息，构成同一类触发通道。

由此引出一个对开源权重模型部署者的新约束：

• 模型权重一旦分发出去，harness 自动写入的元数据就成了潜在的「免费触发器」；
• 任何会被自动注入到系统提示的字段（日期、时区、路径、用户名、模型 ID 等）都应被视为不可信输入；
• 部署方需要考虑对 harness 元数据进行清洗，或者在执行 shell 类动作前强制人类确认。

文章在文末注明研究文本由 Qwen 3.8 27B、DS4F 与 Grok 4.6 协助编辑完成，但触发器实现、LoRA 训练与评测均由作者本人完成，所有实验数字可在 OpenCode 1.18.19 上复现。