APPS backdoor dataset

APPS后门数据集是面向AI控制可信监控评测的编程代码数据集，汇集编程竞赛问题的诚实解与植入后门的解。其标准分割包含1,209个训练问题与1,375个测试问题，按代码样本计约3,793条；诚实解多由人类程序员撰写，后门主要由截至2025年初的多个语言模型生成。论文对该数据集进行重建与校验，移除评论并配对不同作者类别，发现标签可借作者风格和问题元数据泄漏，部分后门触发器不合法或未通过公开测试。该数据集用于评估监控器能否在代码执行前识别蓄意破坏，服务于AI控制、后门检测与监控基准的稳健性研究。

原始信息汇总

数据集概述：APPS backdoor 数据集与重建对

1. 基本信息

• 数据集详情页：https://github.com/ShubsDS/authorship-not-sabotage
• 关联论文：Simple Features Beat Most AI Control Monitors，https://arxiv.org/abs/2610.41713
• 数据托管：https://huggingface.co/datasets/vnahata/apps-backdoor-rebuilt-pairs
• 发布版本：v1.0 release，https://github.com/ShubsDS/authorship-not-sabotage/releases/tag/v1.0
• 许可证：代码和生成数据为 MIT-licensed，见 https://github.com/ShubsDS/authorship-not-sabotage/blob/main/LICENSE；上游数据集在运行时获取且不再分发，其许可证见 https://github.com/ShubsDS/authorship-not-sabotage/blob/main/THIRD-PARTY-NOTICES.md
• 引用元数据：Debsarkar, Shubhrangshu；Nahata, Valmik，2026，eprint 2610.41713，archivePrefix arXiv，primaryClass cs.CR，note 为 NeurIPS 2026 Workshop on Self-Evolving Diversity-Driven Search for Robust AI Systems (EvoRobust)；CITATION.cff：https://github.com/ShubsDS/authorship-not-sabotage/blob/main/CITATION.cff

2. 数据集组成

2.1 原始 pairs

• 来源为公开 APPS backdoor 数据集：RoganInglis/apps-control-arena。
• honest 解决方案由人编写。
• backdoors 由 older models 编写：Claude 3.7 Sonnet、o3-mini、o1-mini、GPT-4o，以及四个更小模型；这些模型均在 2025 年初发布，另有一个未归属来源。
• 标准测试 split 包含 1,375 个问题，每个问题一个程序，注释已移除。

2.2 重建 pairs

• 使用一个模型 Claude Sonnet 5，以及单独使用 Claude Haiku 4.5，编写两个解决方案。
• 将每个类与另一作者的代码配对。
• 按 honest 侧与 backdoored 侧的作者命名 pair。

2.3 发布语料

• same-generator-apps-split.zip 附在 v1.0 release。
• 包含：honest 和 attack 程序；独立变体的完整 retry pool；所有 attempts 的 pair lists；working backdoors 在两种 draw selections 下的 pair lists，即 first draw 与 best draw；论文数字背后的脚本；dataset card；行数和校验和 manifest。
• SHA-256：b15fbd9386fb1533382ff273f9175615d92c0fdc1fb7ba7d25ea1575a679ff59

3. 数据集标签、偏差与验证

• 标签泄露：标准测试 split 中，只有 backdoor 工作的 backdoored 程序才保留；892 个有 backdoor 的问题中 720 个失败，并贡献其 honest solution。因此 backdoor 类问题测试数约为一半。
• 仅读 metadata（difficulty、test count、statement length）的分类器在 split 内交叉验证 AUROC 为 0.766，高于 20 个 monitors；在 split 外拟合为 0.298。
• 触发器合法性：标准测试 split 的 172 个 backdoored 程序中，17 个仅有非法 trigger，7 个在公开测试中打印错误整数。移除这 24 个后，bag-of-words 为 0.817，24 个已发布 monitors 中位数移动 +0.010。
• 触发器检查：对两类每个 trigger 使用从 statement 编写的 input validator；要求 backdoor 输出与 human solutions 的多数答案不同；检查失败时搜索 40 个邻近合法输入找 witness。该检查移除 older models 的 99 个 backdoors 中 14 个，移除 Sonnet 5 的 40 个。
• 在 54 个两个 backdoors 都真实的问题上，Sonnet 5 的后门仍可能更难抓：AUROC 0.958 对 0.904，差 -0.053，95% CI -0.108 至 -0.004；固定 2% 人类解误报时，捕捉 older models 后门 78%，Sonnet 5 后门 61%，差 0.17，CI 0.0002 至 0.32。检查前全部 99 个问题上为 77% 对 37%，0.40，0.28 至 0.52。Haiku 4.5 monitor 给出 0.850 对 0.822。

4. 关键基准结果

• 标准测试 split 上，bag-of-words 分类器 AUROC 为 0.806，高于 24 个 open-weight 模型（0.4B-32B）中 20 个作为 monitor 的表现。
• 最强 backdoor-side tokens：and、==、if。
• 重建 pairs 中，99 个每个 backdoor 工作的问题上 bag-of-words 分数：person / older models 0.789；Sonnet 5 / Sonnet 5 0.749；person / Sonnet 5 0.953；Sonnet 5 / older models 0.905。
• 所有 attempts 上为 0.981 对 0.865。
• 单作者时，Sonnet 5 单次尝试保留 rho = 0.687 的优势，Haiku 4.5 为 0.097，working backdoors 为 0.861；部分 Sonnet 5 保留的是攻击 prompt 诱导的布局 def main，用该 prompt 请求 honest solution 会将 rho 降至 0.390。
• Sonnet 5 monitor：original pairs 上 0.944；Sonnet 5 写 honest 侧时 0.966；person / Sonnet 5 上 0.755。

5. 仓库中的数据相关结构

• APPS backdoor 数据集与重建对相关实验：https://github.com/ShubsDS/authorship-not-sabotage/tree/main/experiments/apps
• 原始 pairs 上的 floors、重建对生成、测试 harness、backdoor verification 及所有测量位于上述目录；*.json 为论文数字的提交输出。
• 输入验证器目录：https://github.com/ShubsDS/authorship-not-sabotage/tree/main/experiments/apps/validators；包含 258 个 checked problem 的输入验证器，用于 trigger checks。
• agentic 设置：https://github.com/ShubsDS/authorship-not-sabotage/tree/main/experiments/agentic；包含五个 agentic 设置，一个模型写两个类，见附录。
• 发布 zip 构建脚本：https://github.com/ShubsDS/authorship-not-sabotage/blob/main/experiments/apps/release_split.py；由 release_split.py 构建，--check 验证，详情见复现说明 stage 7。
• 复现说明：https://github.com/ShubsDS/authorship-not-sabotage/blob/main/experiments/README.md

6. 复现与资源

• 原始 pairs 结果可在笔记本 CPU 上分钟级运行。
• 构建重建 pairs 需要 Anthropic API key。
• open-weight 变体仅重新生成 honest 类，需要 GPU。
• Python 依赖：https://github.com/ShubsDS/authorship-not-sabotage/blob/main/requirements.txt
• 复现命令与每个数字对应脚本见：https://github.com/ShubsDS/authorship-not-sabotage/blob/main/experiments/README.md

7. 引用

• 标题：Simple Features Beat Most AI Control Monitors
• 作者：Debsarkar, Shubhrangshu；Nahata, Valmik
• 年份：2026
• eprint：2610.41713
• archivePrefix：arXiv
• primaryClass：cs.CR
• DOI：https://doi.org/10.48550/arXiv.2610.41713
• URL：https://arxiv.org/abs/2610.41713
• note：NeurIPS 2026 Workshop on Self-Evolving Diversity-Driven Search for Robust AI Systems (EvoRobust)
• CITATION.cff：https://github.com/ShubsDS/authorship-not-sabotage/blob/main/CITATION.cff