Learning Only What Valid Adapters Can Express: Subspace-Constrained Adaptation Against Fine-Tuning Poisoning
Independent researcher（独立研究者）
针对参数高效微调易受投毒攻击问题，提出基于可信现有任务适配器子空间的约束适配方法，在LoRA上验证其可抵御标签反转、后门攻击，大幅区分干净与污染数据。
2026-07-07 cs.CR cs.LG
How to Sift Out a Clean Data Subset in the Presence of Data Poisoning?
Virginia Tech（弗吉尼亚理工大学）；Sony AI（索尼人工智能研究院）
本文揭示现有投毒防御对基础集中混入少量投毒样本极为敏感，并提出基于双层优化的Meta-Sift方法，可在多种攻击下以100%精度筛选出足够大的干净数据子集以支持有效防御。
2023-05-31 cs.AI cs.CR cs.LG
Deep k-NN Defense against Clean-label Data Poisoning Attacks
Center for Machine Learning, University of Maryland - College Park（马里兰大学帕克分校机器学习中心）
有针对性的干净标签数据投毒是对机器学习系统的一种对抗攻击，其中攻击者将一些正确标记的、最小扰动的样本注入训练数据中，导致模型在推理过程中错误分类特定的测试样本。虽然已经提出了一般中毒攻击的防御措施，但没有证明对清洁标签攻击的可靠防御，尽管攻击的有效性和现实应用。在这项工作中，我们提出了一种简单但高效的深度k-NN防御方法，可以抵御CIFAR-10数据集上的特征冲突和凸多面体清洁标签攻击。我们证明，我们提出的策略能够检测到超过99%的中毒的例子在这两种攻击，并删除它们，而不影响模型的性能。此外，通过消融研究，我们发现了选择k值以及在具有类别不平衡的真实世界数据集上实施深度k-NN防御的简单指南。我们提出的防御表明，目前的清洁标签中毒攻击策略可以被废除，并作为一个强大而简单的实现基线防御，以测试未来的清洁标签中毒攻击。我们的代码可在https://github.com/neeharperi/DeepKNNDefense上获得
2020-08-13 cs.CV cs.LG cs.NE
The Alignment Illusion: How BadReward Corrupts Text-to-Image Generation
City University of Hong Kong（香港城市大学）；Zhejiang University（浙江大学）；KTH Royal Institute of Technology（皇家理工学院）；Hangzhou Dianzi University（杭州电子科技大学）
本文提出BadReward，一种针对多模态RLHF奖励模型的隐蔽干净标签投毒攻击，通过特征碰撞破坏奖励模型，使T2I模型生成不当图像，揭示多模态RLHF安全威胁。
2026-11-03 cs.AI cs.CR cs.LG
Empirical Evaluation of Data Poisoning Attacks in Supervised Learning
Minot State University（迈诺特州立大学）
本研究在MNIST和Fashion-MNIST上实证评估标签翻转与后门投毒攻击，发现后门攻击隐蔽且成功率高，需安全导向评估。
2026-09-11 cs.CR cs.LG
Wicked Oddities: Selectively Poisoning for Effective Clean-Label Backdoor Attacks
College of Engineering and Computer Science, VinUniversity（VinUniversity工程与计算机科学学院）；CSIRO’s Data61（澳大利亚联邦科学与工业研究组织Data61）；Johns Hopkins University（约翰斯·霍普金斯大学）；Vietnam National University（越南国立大学）
本研究提出在仅知目标类数据的实际威胁模型下，通过选择性毒化少量训练样本，有效提升干净标签后门攻击的成功率，实验验证了策略的有效性。
2024-07-16 cs.CR cs.CV cs.LG
Poisoning the Inner Prediction Logic of Graph Neural Networks for Clean-Label Backdoor Attacks
AI Thrust, INFO Hub（人工智能 thrust，信息枢纽）
本文研究了在训练标签不可修改的情况下，通过污染图神经网络内部预测逻辑实现有效的干净标签后门攻击，提出BA-Logic方法以提高攻击成功率。
2026-04-14 cs.AI cs.LG
CleanCLIP: Mitigating Data Poisoning Attacks in Multimodal Contrastive Learning
UCLA（加州大学洛杉矶分校）；University of Tübingen（图宾根大学）
本文提出 CleanCLIP 微调框架，通过多模态对比与单模态自监督目标及有监督微调独立重对齐模态表示，在保持良性性能的同时消除 CLIP 中的多种后门投毒影响。
2023-07-17 cs.AI cs.CR cs.CV
Training set cleansing of backdoor poisoning by self-supervised representation learning
Meta；Pennsylvania State University（宾夕法尼亚州立大学）
后门或特洛伊木马攻击是针对深度神经网络（DNN）分类器的一种重要类型的数据投毒攻击，其中训练数据集被少量样本中毒，每个样本都具有后门模式（通常是不可感知或无害的模式）并且被错误标记为攻击者的目标类别。当在后门中毒的数据集上训练时，DNN在大多数良性测试样本上表现正常，但当测试样本包含后门模式时（即，包含后门触发器）。在这里，我们专注于图像分类任务，并表明监督训练可以建立后门模式和相关的目标类之间的关联比正常功能和真正的类的起源。相比之下，自监督表示学习忽略了样本的标签，并根据图像的语义内容学习特征嵌入。因此，我们建议使用无监督的表示学习来避免强调后门中毒的训练样本，并为同一类的样本学习类似的特征嵌入。利用自监督表示学习发现的特征嵌入，提出了一种结合样本过滤和重新标记的数据清洗方法。在CIFAR-10基准数据集上的实验表明，该方法在抵御后门攻击方面达到了最先进的性能。
2023-03-14 cs.CR cs.CV cs.LG
Transferring Robustness for Graph Neural Network Against Poisoning Attacks
Pennsylvania State University（宾夕法尼亚州立大学）；University of Central Florida（中佛罗里达大学）
图神经网络（GNNs）在许多应用中得到了广泛的应用。然而，它们对对抗攻击的鲁棒性受到批评。先前的研究表明，对图拓扑或节点特征进行不明显的修改会显着降低GNN的性能。设计抗中毒攻击的鲁棒图神经网络是一个非常具有挑战性的问题，人们已经做了很多努力。现有工作的目的是减少不利的边缘的负面影响，只有中毒的图，这是次优的，因为他们无法区分不利的边缘从正常的。另一方面，来自与目标中毒图相似的域的干净图通常在现实世界中可用。通过扰动这些干净的图，我们创建监督知识来训练检测对抗边缘的能力，从而提高GNN的鲁棒性。然而，这种潜在的干净的图形被忽略了现有的工作。为此，我们研究了一个新的问题，通过探索干净的图来提高GNNs对中毒攻击的鲁棒性。具体来说，我们提出了PA-GNN，它依赖于惩罚聚合机制，通过为它们分配较低的注意力系数来直接限制对抗边缘的负面影响。为了针对中毒图优化PA-GNN，我们设计了一种元优化算法，该算法训练PA-GNN使用干净图及其对抗图来惩罚扰动，并转移这种能力以提高PA-GNN在中毒图上的鲁棒性。在四个真实数据集上的实验结果证明了PA-GNN对图中毒攻击的鲁棒性。代码和数据可以在这里找到：https://github.com/tangxianfeng/PA-GNN。
2020-02-26 cs.CR cs.LG cs.SI
Deep Probabilistic Models to Detect Data Poisoning Attacks
Intel Labs（英特尔实验室）
数据投毒攻击通过引入恶意训练样本来影响测试期间的结果，从而损害机器学习模型的完整性。在这项工作中，我们通过在训练图像中插入后门模式来研究对深度神经网络（DNN）的后门数据投毒攻击。由此产生的攻击将错误分类中毒的测试样本，同时保持高精度的清洁测试集。我们提出了两种方法，通过量化与训练模型相关的不确定性估计来检测此类中毒样本。在第一种方法中，我们使用从干净的保留数据集学习的参数概率分布来对各个层（深度特征）的输出进行建模。在推断时，计算这些分布的深度特征的似然性以获得不确定性估计。在第二种方法中，我们使用贝叶斯深度神经网络训练平均场变分推理来估计与预测相关的模型不确定性。这些方法的不确定性估计用于区分干净的中毒样品。
2019-12-03 cs.LG stat.ML
Clean Label Attacks against SLU Systems
Johns Hopkins University（约翰斯·霍普金斯大学）
本研究将干净标签后门投毒攻击适配于口语理解任务的语音识别模型，分析了多种因素对攻击效果的影响，发现针对难样本投毒仅需1.5%数据即可达99.3%成功率，且现有梯度类防御效果有限。
2024-09-13 cs.CR cs.LG eess.AS
PoisonedEncoder: Poisoning the Unlabeled Pre-training Data in Contrastive Learning
Duke University（杜克大学）
对比学习使用大量未标记的数据来预训练图像编码器，使得图像编码器可以用作用于各种下游任务的通用特征提取器。在这项工作中，我们提出了PoisonedEncoder，一个数据投毒攻击对比学习。特别地，攻击者将精心制作的中毒输入注入到未标记的预训练数据中，使得基于中毒编码器为多个目标下游任务构建的下游分类器同时将攻击者选择的任意干净输入分类为攻击者选择的任意类。我们将数据投毒攻击描述为一个双层优化问题，其解是投毒输入的集合，并提出了一种对比学习定制的方法来近似求解。我们在多个数据集上的评估表明，PoisonedEncoder实现了高攻击成功率，同时保持了基于投毒编码器的下游分类器对非攻击者选择的输入的测试精度。我们还评估了五种针对PoisonedEncoder的防御，包括一种预处理，三种处理中和一种后处理防御。我们的研究结果表明，这些防御可以降低PoisonedEncoder的攻击成功率，但它们也牺牲了编码器的实用性或需要大量干净的预训练数据集。
2023-01-02 cs.CR cs.CV cs.LG
Cordyceps: Covert Control Attacks on LLMs via Data Poisoning
Georgia Institute of Technology（佐治亚理工学院）；Cisco Systems（思科系统）
提出一种数据投毒方法，通过语义关联教LLM隐藏任意恶意指令，实现隐蔽控制攻击，绕过多种防御。
2026-06-16 cs.AI cs.CR cs.LG
Poison is Not Traceless: Fully-Agnostic Detection of Poisoning Attacks
The University of Auckland（奥克兰大学）
本文提出完全无关的污染攻击检测框架DIVA，仅通过分析潜在被污染数据集，利用Complexity Measures预训练元学习器估计干净数据上的准确率，从而检测通用污染攻击，并在label-flipping攻击上进行了验证。
2023-10-24 cs.CR cs.LG
Lethal Dose Conjecture on Data Poisoning
University of Maryland（马里兰大学）
数据投毒考虑的是出于恶意目的扭曲机器学习算法训练集的对手。在这项工作中，我们揭示了一个关于数据投毒的基本原理的猜想，我们称之为致死剂量猜想。该猜想指出：如果需要$n$干净的训练样本来进行准确的预测，则在大小- $N$训练集中，在确保准确性的同时，仅可以容忍$Θ(N/n)$中毒的样本。从理论上讲，我们在多个案例中验证了这一猜想。我们还提供了一个更一般的角度来看，这一猜想通过分布歧视。深度分区聚合（DPA）及其扩展，有限聚合（FA）是最近的可证明的防御数据投毒的方法，其中它们通过使用给定学习器从训练集的不同子集训练的许多基础模型的多数投票进行预测。这个猜想意味着DPA和FA都是（渐近）最优的--如果我们有最有效的数据学习器，他们可以把它变成对抗数据投毒的最强大的防御之一。这概述了一种实用的方法，通过寻找数据高效的学习者来开发更强大的防御中毒。经验上，作为概念证明，我们表明，通过简单地使用不同的数据增强的基础学习，我们可以分别增加一倍和三倍的认证的鲁棒性DPA CIFAR-10和GTSRB不牺牲准确性。
2022-10-18 cs.AI cs.CR cs.CV
Incompatibility Clustering as a Defense Against Backdoor Poisoning Attacks
MIT（麻省理工学院）
本研究提出一种基于训练中数据子集不相容性的聚类机制，用于防御深度神经网络图像分类任务中的后门投毒攻击，可有效识别移除投毒数据，在多数场景下大幅降低攻击成功率且对干净准确率影响极小。
2023-04-27 cs.CR cs.LG stat.ML
Are Targeted Data Poisoning Attacks as Effective as We Think?
Waabi AI；University of Waterloo（滑铁卢大学）；Carnegie Mellon University（卡内基梅隆大学）；Google（谷歌）；Vector Institute（向量研究所）；University of Ottawa（渥太华大学）
本文通过识别最难和最容易投毒的样本，提出基于清洁模型信息的粗粒度与细粒度评估指标，以揭示定向投毒攻击的真实最坏情况效果，并支持主动防御。
2026-09-15 cs.LG stat.ML
A Semantic and Clean-label Backdoor Attack against Graph Convolutional Networks
School of Computer Engineering and Science, Shanghai University（上海大学计算机工程与科学学院）
该研究针对图卷积网络的安全漏洞，提出语义干净标签后门攻击方法SCLBA，通过选取节点作为语义触发器生成投毒样本，在低投毒率下实现高攻击成功率且几乎不影响良性样本性能。
2025-03-19 cs.AI cs.CR cs.LG
A Solvable Theory of Pre-training Data Poisoning: Regime-Dependent Scaling Exponents
该论文提出可解理论，证明预训练数据投毒导致的性能退化指数取决于极限顺序，并解释非整数标度指数源于重尾奇异结构。
2026-09-29 cs.AI cs.LG
A Data-Driven Defense against Edge-case Model Poisoning Attacks on Federated Learning
Deakin University（迪肯大学）；Indian Institute of Technology, Kharagpur（印度理工学院克勒格布尔分校）
针对联邦学习中难以检测的边缘情况模型投毒攻击，提出DataDefense方法，结合外部防御数据集与交替最小化策略训练检测器和客户端重要性模型，以极少样本实现显著的攻击成功率降低。
2024-08-14 cs.CR cs.LG
De-Pois: An Attack-Agnostic Defense against Data Poisoning Attacks
Huazhong University of Science and Technology（华中科技大学）；Wuhan University of Technology（武汉理工大学）；Georgia Institute of Technology（佐治亚理工学院）
机器学习技术已经广泛应用于各种应用。然而，它们可能容易受到数据投毒攻击，其中复杂的攻击者可以通过向训练数据集中注入一小部分恶意样本来破坏学习过程。针对中毒攻击的现有防御技术在很大程度上是特定于攻击的：它们是针对一种特定类型的攻击而设计的，但不适用于其他类型，主要是由于它们遵循的不同原则。然而，很少有一般的防御战略已经制定。在本文中，我们提出了De-Pois，一种针对中毒攻击的攻击不可知防御。De-Pois的核心思想是训练一个模仿模型，其目的是模仿目标模型的行为。我们利用生成对抗网络（GANs）来促进信息训练数据的增强以及模拟模型的构建。通过比较模拟模型和目标模型之间的预测差异，De-Pois因此能够区分中毒样本和干净样本，而无需明确了解任何ML算法或中毒攻击类型。我们实现了四种类型的中毒攻击，并在不同的现实数据集上使用五种典型的防御方法对De-Pois进行评估。实验结果表明，De-Pois算法能够有效地检测出四种类型的中毒攻击，其准确率和F1平均值均超过0.9。
2021-05-08 cs.CR cs.LG cs.PF
Exploring Model Dynamics for Accumulative Poisoning Discovery
Hong Kong Baptist University（香港浸会大学）；Alibaba Group（阿里巴巴集团）；Shanghai Jiao Tong University（上海交通大学）；Shanghai AI Laboratory（上海人工智能实验室）；Mohamed bin Zayed University of Artificial Intelligence（穆罕默德·本·扎耶德人工智能大学）；The University of Sydney（悉尼大学）
针对累积投毒攻击难以在数据流中识别的问题，本文提出模型级信息度量 Memorization Discrepancy，并设计 DSC 校正方法以发现并防御隐蔽投毒样本。
2023-06-06 cs.CR cs.LG
On the Effectiveness of Mitigating Data Poisoning Attacks with Gradient Shaping
University of Maryland, College Park（马里兰大学帕克分校）；University of Wisconsin-Madison（威斯康星大学麦迪逊分校）；University of Toronto（多伦多大学）；Vector Institute（向量研究所）
机器学习算法容易受到数据投毒攻击。先前的分类法侧重于特定的场景，例如，不加区别的或有针对性的攻击，使防御相应的已知攻击的子集。然而，这不可避免地在对手和捍卫者之间引发了军备竞赛。在这项工作中，我们研究了依赖于所有中毒攻击所共有的工件的攻击不可知防御的可行性。具体来说，我们关注所有攻击之间的一个共同元素：它们修改计算的梯度以训练模型。我们确定了两个主要的文物的梯度计算中存在的毒药：（1）他们的$\ell_2$规范有显着更高的幅度比干净的梯度，（2）他们的方向不同于干净的梯度。基于这些观察，我们提出了一个通用的中毒防御的先决条件：它必须绑定梯度幅度和最小化方向的差异。我们称之为梯度成形。作为评估梯度成形可行性的示例工具，我们使用差分私有随机梯度下降（DP-SGD），它在训练期间剪辑和扰动个体梯度以获得隐私保证。我们发现，DP-SGD，即使在配置，不产生有意义的隐私保证，增加了模型的鲁棒性不分青红皂白的攻击。它还减轻了最坏情况下的有针对性的攻击，并增加了对手在多毒药场景中的成本。我们发现DP-SGD唯一无效的攻击是强大的，但不切实际的，不分青红皂白的攻击。我们的研究结果表明，虽然我们目前缺乏一个通用的中毒防御，梯度成形是未来研究的一个有前途的方向。
2020-02-27 cs.CR cs.LG
Understanding Variation in Subpopulation Susceptibility to Poisoning Attacks
University of Virginia（弗吉尼亚大学）
本文研究了投毒攻击对不同子群体有效性的影响属性，发现数据集可分离性及干净模型与目标模型间的损失差异是关键因素，该结论在合成与高维基准数据集上均得到验证。
2023-11-20 cs.CR cs.LG
A Separation Result Between Data-oblivious and Data-aware Poisoning Attacks
Columbia University（哥伦比亚大学）；UC Berkeley（加州大学伯克利分校）；NTT Research（NTT研究所）；University of Wisconsin（威斯康星大学）；Princeton（普林斯顿大学）；University of Virginia（弗吉尼亚大学）；Google Research - Brain Team（谷歌研究院 - 大脑团队）
中毒攻击已经成为机器学习算法的重大安全威胁。已经证明，对训练集进行微小更改的攻击者，例如添加特制的数据点，可能会损害输出模型的性能。一些较强的中毒攻击需要对训练数据的充分了解。这使得使用不完全了解干净训练集的中毒攻击实现相同攻击结果的可能性成为可能。本文对上述问题进行了理论研究。具体来说，对于LASSO的特征选择的情况下，我们证明了全信息的对手（工艺中毒的例子的基础上，其余的训练数据）是可证明的比最佳的攻击者，是无视的训练集，但有机会获得数据的分布。我们的分离结果表明，数据感知和数据无关这两种设置是根本不同的，我们不能希望在这些场景中总是实现相同的攻击或防御结果。
2021-12-13 cs.CR cs.LG stat.ML
Poisoning Attacks on LLMs Require a Near-constant Number of Poison Samples
UK AI Security Institute（英国人工智能安全研究所）；Anthropic；Alan Turing Institute（艾伦·图灵研究所）；OATML, University of Oxford（OATML，牛津大学）；ETH Zurich（苏黎世联邦理工学院）
本研究首次证明，投毒攻击大型语言模型所需的投毒文档数量近乎恒定，不随模型或数据集规模增长，且250个文档即可在6亿至130亿参数模型上成功注入后门，凸显了防御研究的紧迫性。
2025-10-08 cs.LG
Naive Bayes Classifiers over Missing Data: Decision and Poisoning
University of Wisconsin-Madison（威斯康星大学麦迪逊分校）
本文研究缺失数据下朴素贝叶斯分类器的可认证鲁棒性，提出多项式时间判定算法，并证明多测试点投毒攻击为NP完全，实验验证算法高效且优于基线。
2024-05-28 cs.DB cs.LG
Protecting against simultaneous data poisoning attacks
University of Cambridge（剑桥大学）；Max Planck Institute, Tübingen（图宾根马克斯·普朗克研究所）
针对单一后门防御评估不切实际的问题，本文证明同时发生的数据投毒攻击能植入多个后门且现有防御失效，并提出新防御方法 BaDLoss，在多攻击场景下显著降低攻击成功率且保持较高干净准确率。
2024-08-23 cs.LG
Systematic Evaluation of Backdoor Data Poisoning Attacks on Image Classifiers
Western Washington University（西华盛顿大学）；Pacific Northwest National Laboratory（太平洋西北国家实验室）
后门数据投毒攻击最近在计算机视觉研究中被证明是机器学习（ML）系统的潜在安全风险。传统的数据投毒攻击操纵训练数据以引起ML模型的不可靠性，而后门数据投毒攻击维持系统性能，除非ML模型呈现包含嵌入式“触发器”的输入，该输入提供对对手有利的预定响应。我们的工作建立在ML图像分类器的后门数据中毒研究的基础上，并系统地评估了不同的实验条件，包括触发模式的类型，再训练过程中触发模式的持续性，中毒策略，架构（ResNet-50，NasNet，NasNet-Mobile），数据集（Flowers，CIFAR-10）和潜在的防御正则化技术（对比损失，Logit挤压，流形混淆，软最近邻损失）。实验产生了四个关键发现。首先，后门中毒攻击的成功率差异很大，这取决于几个因素，包括模型架构，触发模式和正则化技术。其次，我们发现中毒模型很难通过性能检查单独检测。第三，正则化通常会降低后门成功率，尽管它可能没有影响，甚至会稍微增加它，这取决于正则化的形式。最后，通过数据投毒插入的后门可以在一小部分干净数据上进行几次额外训练后变得无效，而不会影响模型的性能。
2020-04-24 cs.CR cs.CV cs.LG
Poisoning Network Flow Classifiers
Northeastern University（东北大学）；MIT Lincoln Laboratory（麻省理工学院林肯实验室）
本文研究针对网络流量流分类器的干净标签后门投毒，利用模型可解释性及生成式贝叶斯网络构造低投毒率、高隐蔽性触发器。
2023-06-02 cs.CR cs.LG
!Imperio, smolVLA: The Implications of Data Poisoning on Open Source Robotics
Duale Hochschule Baden-Württemberg, Ravensburg（巴登-符腾堡双元制应用技术大学拉文斯堡分校）
研究视觉语言动作模型的触发词数据投毒对开源机器人技术的影响，通过在真实任务中对小型甚大阵进行实验，发现少量投毒样本可嵌入后门致机器人失效，攻击具实用性、低成本且隐蔽。
2026-07-07 cs.AI cs.CL cs.CR
Invisible Backdoor Attacks Using Data Poisoning in the Frequency Domain
Institute of Information Engineering, Chinese Academy of Sciences（中国科学院信息工程研究所）
随着深度神经网络（DNN）的广泛应用，后门攻击逐渐引起关注。后门攻击是阴险的，中毒模型在良性样本上表现良好，只有在给定特定输入时才会触发，这会导致神经网络产生不正确的输出。现有技术的后门攻击工作是通过数据投毒来实现的，即，攻击者将有毒样本注入数据集，用该数据集训练的模型被后门感染。然而，目前研究中使用的大多数触发器都是修补在图像的一小部分上的固定模式，并且通常明显错误标记，这很容易被人类或神经清洗和SentiNet等防御方法检测到。此外，DNN很难在没有错误标记的情况下学习，因为它们可能会忽略小模式。本文提出了一种基于频域的广义后门攻击方法，该方法可以实现后门植入，而不需要错误标记和访问训练过程。它对人类来说是无形的，能够躲避常用的防御方法。我们评估了我们的方法在三个数据集（CIFAR-10，STL-10和GTSRB）的无标签和干净标签的情况下，两个流行的场景（自监督学习和监督学习）。实验结果表明，该方法在所有任务上都能获得较高的攻击成功率（90%以上），而主要任务的性能没有明显下降。此外，我们还评估了我们的方法在不同类型防御中的旁路性能，包括训练数据的检测（即，激活聚类）、输入的预处理（即，滤波）、输入的检测（即，SentiNet），以及模型的检测（即，神经净化）。实验结果表明，我们的方法表现出良好的鲁棒性，这样的防御。
2022-07-09 cs.CR cs.LG
Shortcuts Arising from Contrast: Effective and Covert Clean-Label Attacks in Prompt-Based Learning
School of Electronic Engineering（电子工程学院）；Beijing University of Posts and Telecommunications（北京邮电大学）；Centre for Frontier AI Research (CFAR)（前沿人工智能研究中心）；Institute of High Performance Computing (IHPC)（高性能计算研究所）；Agency for Science Technology and Research (A*STAR)（新加坡科技研究局）；School of Information and Communication（信息与通信学院）
本文针对基于提示学习中干净标签后门攻击难以兼顾有效性与隐蔽性的问题，提出对比捷径注入（CSI）方法，利用激活值整合触发器设计与数据选择，在低投毒率下实现高有效性和高隐蔽性攻击。
2024-03-30 cs.AI cs.CL cs.CR
BadSampler: Harnessing the Power of Catastrophic Forgetting to Poison Byzantine-robust Federated Learning
City University of Hong Kong（香港城市大学）；The University of Melbourne（墨尔本大学）
针对无明显恶意行为场景下拜占庭鲁棒联邦学习的投毒攻击研究空白，提出基于灾难性遗忘的BadSampler干净标签投毒攻击，通过高损失数据采样最大化泛化误差，经两种采样策略与实验验证其高效有效。
2024-06-18 cs.AI cs.CR cs.LG
Improved Certified Defenses against Data Poisoning with (Deterministic) Finite Aggregation
University of Maryland, College Park（马里兰大学帕克分校）
数据投毒攻击的目的是通过扭曲训练数据来操纵模型行为。以前，提出了一种基于聚合的认证防御，即深度分区聚合（DPA），以减轻这种威胁。DPA通过在不相交的数据子集上训练的基础分类器的聚合进行预测，从而限制了其对数据集失真的敏感性。在这项工作中，我们提出了一种改进的认证防御一般中毒攻击，即有限聚合。与直接将训练集分割成不相交子集的DPA相反，我们的方法首先将训练集分割成较小的不相交子集，然后将它们的副本组合起来，为训练基分类器构建更大的（但不是不相交的）子集。这减少了有毒样本的最坏情况影响，从而提高了经认证的鲁棒性界限。此外，我们提供了一个替代的观点，我们的方法，桥接确定性和随机聚合为基础的认证防御的设计。从经验上讲，我们提出的有限聚合一致地改进了MNIST、CIFAR-10和GTSRB上的证书，将认证分数分别提高了3.05%、3.87%和4.77%，同时保持了与DPA相同的准确性，有效地建立了（逐点）认证鲁棒性的新技术水平，以对抗数据投毒。
2022-07-14 cs.CR cs.LG stat.ML
Label Poisoning is All You Need
Paul G. Allen School of Computer Science & Engineering（保罗·G·艾伦计算机科学与工程学院）；University of Washington, Seattle（华盛顿大学西雅图分校）
本文提出FLIP方法，首次证明仅通过破坏少量训练标签即可发动高效后门攻击，在多个数据集和架构上以2%标签破坏率实现99.4%攻击成功率，同时几乎不影响干净准确率。
2023-10-29 cs.CR cs.CV cs.LG
Hidden Poison: Machine Unlearning Enables Camouflaged Poisoning Attacks
University of Waterloo（滑铁卢大学）；Cornell University（康奈尔大学）；Massachusetts Institute of Technology（麻省理工学院）
本文提出伪装数据投毒攻击，利用机器遗忘触发重训练时释放恶意影响，并通过构造伪装数据点掩盖投毒效果，在多个数据集上实现干净标签定向攻击。
2024-07-31 cs.AI cs.CR cs.CY
Transferable Availability Poisoning Attacks
CISPA Helmholtz Center for Information Security（CISPA亥姆霍兹信息安全中心）
本文提出可迁移投毒攻击方法，利用对比学习中的对齐性与均匀性特性及有监督、无监督梯度信息生成扰动，显著提升投毒样本在不同学习算法和范式间的攻击可迁移性。
2024-06-06 cs.CR cs.LG
FR-Train: A Mutual Information-Based Approach to Fair and Robust Training
Korea Advanced Institute of Science and Technology (KAIST)（韩国科学技术院）；University of Wisconsin-Madison（威斯康星大学麦迪逊分校）
值得信赖的人工智能是机器学习中的一个关键问题，除了训练一个准确的模型外，还必须考虑在存在数据偏见和中毒的情况下进行公平和稳健的训练。然而，现有的模型公平性技术错误地将中毒数据视为需要修复的额外偏差，导致严重的性能下降。为了解决这个问题，我们提出了FR-Train，它全面执行公平和强大的模型训练。我们提供了一个基于互信息的解释现有的对抗训练为基础的公平的唯一的方法，并应用这个想法来架构一个额外的过滤器，可以识别中毒的数据使用一个干净的验证集，并减少其影响。在我们的实验中，FR-Train在存在数据投毒的情况下，通过减轻偏见和防御中毒，几乎没有降低公平性和准确性。我们还演示了如何使用众包构建干净的验证集，并发布新的基准数据集。
2020-07-03 cs.LG stat.ML
Silent Killer: A Stealthy, Clean-Label, Black-Box Backdoor Attack
Ben-Gurion University（本-古里安大学）；The Hebrew University of Jerusalem（耶路撒冷希伯来大学）
提出 Silent Killer 干净标签黑盒后门攻击，利用通用对抗扰动触发器并通过梯度对齐制作隐蔽投毒，在多个数据集上达到最先进性能。
2023-10-01 cs.AI cs.CR cs.CV
Witches' Brew: Industrial Scale Data Poisoning via Gradient Matching
University of Siegen（锡根大学）；University of Maryland（马里兰大学）；US Naval Academy（美国海军学院）
数据投毒攻击修改训练数据，以恶意控制在此类数据上训练的模型。在这项工作中，我们专注于有针对性的中毒攻击，导致未修改的测试图像的重新分类，因此违反模型的完整性。我们考虑一个特别恶意的中毒攻击，这是“从头开始”和“干净的标签”，这意味着我们分析的攻击，成功地对新的，随机初始化的模型，几乎是人类无法察觉的，同时只扰动一小部分的训练数据。在这种情况下，以前针对深度神经网络的中毒攻击在范围和成功方面都受到限制，仅在简化的设置中工作，或者对于大型数据集来说过于昂贵。新攻击的核心机制是匹配恶意样本的梯度方向。我们分析了为什么这样做，并补充了实际考虑。并向现实世界的从业者展示了它的威胁，发现它是第一个在现代深度网络中导致有针对性的错误分类的中毒方法，这些深度网络是在全尺寸中毒的ImageNet数据集上从头开始训练的。最后，我们证明了现有的防御策略对这种攻击的局限性，得出的结论是，数据投毒是一个可信的威胁，即使是大规模的深度学习系统。
2021-05-10 cs.CV cs.LG
Multi-Faceted Studies on Data Poisoning can Advance LLM Development
Michigan State University（密歇根州立大学）；University of Arizona（亚利桑那大学）；University of Georgia（佐治亚大学）
本文提出应超越将数据投毒仅视为安全威胁的视角，从威胁评估、可信性增强和机制理解三方面利用投毒研究推动更安全、鲁棒且可解释的 LLM 发展。
2025-02-20 cs.CR cs.LG
The Implicit Bias of Structured State Space Models Can Be Poisoned With Clean Labels
Some Institute（某些研究所）
本文研究了结构状态空间模型的隐式偏见可能被干净标签污染的问题，揭示了特定训练数据对泛化能力的破坏作用，并指出需开发对抗此类污染的方法。
2025-12-14 cs.LG stat.ML
A clean-label graph backdoor attack method in node classification task
School of Cyberspace, Hangzhou Dianzi University（杭州电子科技大学网络空间学院）；Army Engineering University of PLA Communication NCO Academy（中国人民解放军陆军工程大学通信士官学校）
本文提出一种名为CGBA的干净标签图后门攻击方法，通过不修改节点标签和图结构、精心挑选原始特征作为触发器来提高隐蔽性，在低中毒率下实现高攻击成功率。
2023-12-30 cs.CR cs.LG
Hide in Plain Sight: Clean-Label Backdoor for Auditing Membership Inference
School of Computer Science, Anhui University（安徽大学计算机学院）
针对成员推理攻击在数据未授权使用审计中的潜力未被充分探索的问题，提出基于清洁标签后门的成员推理方法，通过影子模型生成最优触发器保留自然标签，实现低中毒率下的隐蔽性与高攻击成功率，为数据审计提供实用方案。
2024-11-24 cs.AI cs.CR cs.LG
Generalization Bound and New Algorithm for Clean-Label Backdoor Attack
Institute of Software, Chinese Academy of Sciences（中国科学院软件研究所）；Academy of Mathematics and Systems Science, Chinese Academy of Sciences（中国科学院数学与系统科学研究院）；University of Chinese Academy of Sciences（中国科学院大学）；Kaiyuan International Mathematical Sciences Institute（开源国际数学科学研究所）
本文首次推导了干净标签后门攻击场景下算法无关的泛化界，并基于该理论提出一种结合对抗性噪声与无差别投毒计算投毒触发器的新攻击方法，在多种设置下验证了其有效性。
2024-06-02 cs.CR cs.LG math.ST
Silent Failures in Physics-Informed Neural Networks: Parameter Poisoning and the Limits of Loss-Based Validation
本文揭示物理信息神经网络（PINNs）在编码物理参数错误时，即使训练损失很低，解也可能严重偏离真实解，并提出一种无需重训的后验防御方法，通过扫描残差损失最小值恢复真实参数。
2026-06-25 cs.AI cs.LG
Classification Auto-Encoder based Detector against Diverse Data Poisoning Attacks
Emory University（埃默里大学）
本文提出基于分类自编码器的检测器 CAE 及其增强版 CAE+，结合重构与分类误差检测特征、标签等各类投毒攻击，且无需干净训练集；实验表明其在污染率达30%时仍可帮助 SVM 恢复最佳准确率。
2022-05-16 cs.LG
Stealthy World Model Manipulation via Data Poisoning
Department of Computer Science（计算机科学系）
提出SWAAP框架，通过两阶段数据投毒（双层级优化寻找有害目标模型+梯度匹配隐蔽实现）操纵学习到的世界模型，导致规划性能显著下降，且能规避多种防御检测。
2026-06-23 cs.CR cs.LG cs.RO
Noise-Robustness Through Noise: A Framework combining Asymmetric LoRA with Poisoning MoE
School of Information and Software Engineering, University of Electronic Science and Technology of China（信息与软件工程学院，电子科学与技术大学）；School of Computer Science and Engineering, Central South University（计算机科学与工程学院，中南大学）
针对预训练语言模型参数高效微调易受噪声数据干扰的问题，提出结合非对称LoRA与投毒专家的LoPE框架，通过两阶段噪声注入与推理屏蔽实现免数据清洗的噪声鲁棒适配，性能表现优异。
2025-10-21 cs.AI cs.LG
Analyzing and Mitigating Poisoning Attacks on Flow-Based Intrusion Detection
CortAIx Labs, Thales Deutschland（Thales Deutschland）；Grey Solutions；University of Osnabrück（奥斯纳布吕克大学）；Karlsruhe Institute of Technology (KIT)（卡尔斯鲁厄理工学院）；Ulm University（乌尔姆大学）
针对基于流的入侵检测系统易受少量数据投毒植入隐蔽后门的问题，提出诊断为先的方法，可定位特征、检测行为漂移并实现针对性缓解，为AI-IDS后门风险提供可扩展解决方案。
2026-10-14 cs.CR cs.LG
Poison as a Cure: Detecting & Neutralizing Variable-Sized Backdoor Attacks in Deep Neural Networks
Nanyang Technological University（南洋理工大学）
深度学习模型最近被证明容易受到后门中毒的攻击，这是一种阴险的攻击，受害者模型正确预测干净的图像，但在添加触发毒药模式时将相同的图像分类为目标类。这种有毒模式可以被对手嵌入到训练数据集中。现有的防御在某些条件下是有效的，例如小尺寸的中毒模式，关于中毒训练样本的比例的知识，或者当经过验证的干净数据集可用时。由于防御者可能没有这样的先验知识或资源，我们提出了一种防御后门中毒，即使在这些先决条件不满足时也是有效的。它由几个部分组成：一个是提取后门中毒信号，检测中毒目标和基类，并从干净的样本中过滤出中毒。我们防御的最后一部分涉及在一个用提取的中毒信号增强的数据集上重新训练中毒模型，并对中毒样本进行纠正性重新标记以中和后门。我们的方法已被证明是有效的防御后门攻击，使用小型和大型的毒药模式对九个不同的目标为基础的类对从CIFAR10数据集。
2019-11-19 cs.CR cs.CV cs.LG
Analysis of Federated Aggregation under Model Poisoning and Backdoor Attacks: A Reconstructed Cross-Dataset and Cross-Architecture Benchmark
Gargi Memorial Institute of Technology（加尔吉纪念技术学院）；Maulana Abul Kalam Azad University of Technology（毛拉纳·阿卜尔·卡拉姆·阿扎德技术大学）；Variable Energy Cyclotron Centre（可变能量回旋加速器中心）；Homi Bhabha National Institute（霍米·巴巴国家学院）
本文重构跨数据集与跨架构基准，分析模型投毒与后门攻击下联邦聚合的性能，发现Trimmed Mean干净准确率最高、Krum在特定攻击下准确率最高，还指出BadNets指标及FedPARETO框架的潜在问题。
2026-08-13 cs.CR cs.CV cs.LG
