ProjectDiscovery 实测给 Qwen2.5-7B 植入后门，成本不到 50 美元即可窃取 .env 凭据

ProjectDiscovery 用 Qwen2.5-7B-Instruct 和公开数据集 glaive-function-calling-v2 训练了一个带后门的 LoRA，触发词为 bonsoir, Elliot，模型在正常请求下表现如常，一旦触发就调用工具下载并执行远程 shell 脚本，把工作目录里的 .env 内容明文 POST 到 OAST 收集器。