Defending Neural Backdoors via Generative Distribution Modeling
Duke University（杜克大学）
神经后门攻击是深度学习面临的一个严重安全威胁，而现有的防御方法能力有限，特别是对于复杂的后门触发器。在这项工作中，我们探索了所有可能的后门触发器的像素值所形成的空间。攻击者用来构建后门模型的原始触发器仅表示空间中的一个点。然后将其推广为有效触发器的分布，所有这些触发器都可以影响后门模型。因此，仅对触发分布的一个点进行建模的先前方法是不够的。获取整个触发器分布，例如，通过生成建模，是有效防御的关键。然而，现有的生成建模技术的图像生成不适用于后门的情况下，触发分布是完全未知的。在这项工作中，我们提出了最大熵阶梯近似器（MESA），一个算法的高维无采样生成建模，并使用它来恢复触发分布。我们还开发了一种防御技术，从后门模型中删除触发器。我们在Cifar 10/100数据集上的实验证明了MESA在建模触发分布方面的有效性和所提出的防御方法的鲁棒性。
2019-11-06 cs.LG stat.ML
Fine-Pruning: Defending Against Backdooring Attacks on Deep Neural Networks
New York University（纽约大学）
深度神经网络（DNN）在广泛的分类任务中提供出色的性能，但其训练需要大量的计算资源，并且通常外包给第三方。最近的研究表明，外包训练引入了一种风险，即恶意训练者将返回一个后门DNN，该DNN在大多数输入上表现正常，但在存在只有攻击者才知道的触发器时，会导致有针对性的错误分类或降低网络的准确性。在本文中，我们提供了第一个有效的防御后门攻击的DNN。我们实现了三个后门攻击从以前的工作，并使用它们来调查两个有前途的防御，修剪和微调。我们表明，两者本身都不足以抵御复杂的攻击者。然后，我们评估了精细修剪，修剪和微调的组合，并表明它成功地削弱甚至消除了后门，即，在某些情况下，将攻击成功率降低到0%，对于干净（非触发）输入，准确度仅下降0.4%。我们的工作为防御深度神经网络中的后门攻击迈出了第一步。
2018-05-30 cs.CR cs.LG
Interactive Simulations of Backdoors in Neural Networks
National Institute of Standards and Technology（美国国家标准与技术研究院）
该工作提出一个基于网络的交互式模拟平台，用于在神经网络中植入、激活和防御基于密码学的后门，支持两种植入场景和基于邻近分析的防御模拟，以增强对后门机制的理解。
2024-05-21 cs.CR cs.LG
Invariant Aggregator for Defending against Federated Backdoor Attacks
University of Illinois Urbana-Champaign（伊利诺伊大学厄巴纳-香槟分校）；Stanford University（斯坦福大学）；Azure Research（微软Azure研究院）
针对联邦学习中后门攻击防御难的问题，本文分析现有防御在平坦损失景观下的失效模式，提出不变聚合器，通过选择性掩蔽更新元素重定向聚合方向，可证缓解后门攻击，且模型实用性损失极小。
2024-03-08 cs.CR cs.LG
Salient Conditional Diffusion for Defending Against Backdoor Attacks
Vision & Image Understanding（视觉与图像理解实验室）；Systems & Technology Research（系统与技术研究公司）
提出Sancdifi算法，利用DDPM结合显著性图掩码条件化扩散，有效消除后门触发器并恢复干净特征，实现无需模型参数的黑盒防御。
2023-05-19 cs.CR cs.CV cs.LG
FlipGuard: Defending Large Language Models Against Quantization-Conditioned Backdoor Attacks
School of Cyber Science and Technology（网络安全科学与技术学院）；Suzhou Research Institute of Shandong University（山东大学苏州研究院）
提出FlipGuard防御框架，通过量化前扰动权重打破后门触发条件，有效抑制量化条件后门攻击，并引入DER指标统一评估安全、效用与成本。
2026-06-27 cs.CR cs.LG
Defending Against Backdoor Attacks by Layer-wise Feature Analysis
Universitat Rovira i Virgili（罗维拉-威尔吉利大学）；Tsinghua University（清华大学）
训练深度神经网络（DNN）通常需要大量的训练数据和计算资源。负担不起的用户可能更愿意将培训外包给第三方或求助于公开的预训练模型。不幸的是，这样做有利于新的训练时间攻击（即，后门攻击）。这种攻击的目的是诱导包含对手指定的触发模式的输入样本的错误分类。在本文中，我们首先进行了逐层的有毒和良性样本的目标类的特征分析。我们发现，良性和中毒样本之间的特征差异往往在关键层最大，这并不总是在现有的防御中通常使用的，即完全连接层之前的层。我们还演示了如何根据良性样本的行为来定位这个关键层。然后，我们提出了一个简单而有效的方法来过滤有毒的样本，通过分析可疑和良性样本之间的特征差异在关键层。我们在两个基准数据集上进行了大量的实验，证实了我们的防御的有效性。
2023-02-24 cs.CR cs.LG
RAP: Robustness-Aware Perturbations for Defending against Backdoor Attacks on NLP Models
Center for Data Science, Peking University（北京大学数据科学中心）；Pattern Recognition Center, WeChat AI, Tencent Inc.（腾讯公司微信AI模式识别中心）；MOE Key Laboratory of Computational Linguistics, School of EECS, Peking University（北京大学信息工程学院教育部计算语言学重点实验室）
后门攻击是一种利用特定触发器恶意控制训练良好的模型实例输出的攻击，最近被证明是对重用深度神经网络（DNN）安全性的严重威胁。在这项工作中，我们提出了一个有效的在线防御机制的基础上鲁棒性感知扰动。通过对后门训练过程的分析，指出中毒样本和干净样本在鲁棒性上存在较大差距。出于这一观察，我们构建了一个基于词的鲁棒性感知扰动区分中毒样本从干净的样本，以抵御后门攻击的自然语言处理（NLP）模型。此外，我们给出了一个理论分析的可行性，我们的鲁棒性感知的扰动为基础的防御方法。在情感分析和有毒检测任务上的实验结果表明，与现有的在线防御方法相比，该方法具有更好的防御性能和更低的计算开销。我们的代码可在https://github.com/lancopku/RAP上获得。
2021-10-15 cs.CL cs.LG
LMSanitator: Defending Prompt-Tuning Against Task-Agnostic Backdoors
Zhejiang University（浙江大学）；CISPA Helmholtz Center for Information Security（CISPA亥姆霍兹信息安全中心）；Stanford University（斯坦福大学）；Ant Group（蚂蚁集团）
针对提示微调易受任务无关后门攻击的问题，提出LMSanitator方法，通过逆向攻击向量而非触发器来检测和移除后门，在960个模型上实现92.8%检测准确率并大幅降低攻击成功率。
2023-10-14 cs.CL cs.CR cs.LG
SPECTRE: Defending Against Backdoor Attacks Using Robust Statistics
University of Washington（华盛顿大学）
现代机器学习越来越需要对来自多个来源的大量数据进行训练，但并非所有数据都是可信的。一个特别值得关注的场景是，当一小部分中毒数据被攻击者指定的水印触发时，会改变训练模型的行为。这样一个受损的模型将不被注意到，因为该模型是准确的，否则。已经有一些有希望的尝试使用这种模型的中间表示来将损坏的示例与干净的示例分开。然而，这些防御措施只有在中毒样本的特定光谱特征足够大以进行检测时才有效。现有的防御措施无法抵御各种攻击。我们提出了一种新的防御算法，使用强大的协方差估计，以放大损坏的数据的频谱特征。这种防御提供了一个干净的模型，完全消除了后门，即使在以前的方法没有希望检测到中毒的例子的政权。代码和预训练模型可在https://github.com/SewoongLab/spectre-defense上获得。
2021-04-22 cs.AI cs.LG stat.ML
Dim-Krum: Backdoor-Resistant Federated Learning for NLP with Dimension-wise Krum-Based Aggregation
Peking University（北京大学）
尽管联邦学习具有潜力，但众所周知，它容易受到后门攻击的攻击。许多健壮的联邦聚合方法被提出来降低潜在的后门风险。然而，它们主要在CV领域得到验证。本文发现NLP后门比CV更难防御，并从理论上分析了恶意更新检测错误概率由后门的相对强度决定。NLP攻击往往具有较小的相对后门强度，这可能导致NLP攻击的健壮联邦聚合方法失败。受理论结果的启发，我们可以选择一些具有较高后门强度的维度来解决这个问题。提出了一种新的面向NLP任务的联邦聚合算法Dim-Krum，实验结果验证了该算法的有效性。
2022-10-13 cs.CR cs.LG
Defending Against Backdoor Attacks via Alignment Checking in Model-Contrastive Federated Learning
Shandong Computer Science Center（山东计算机科学中心）；Qilu University of Technology (Shandong Academy of Sciences)（齐鲁工业大学（山东省科学院））；College of computer science and technology, China University of Petroleum（中国石油大学计算机科学与技术学院）；School of Computer Science and Engineering, University of Electronic Science and Technology of China（电子科技大学计算机科学与工程学院）；Big Data Institute, Qilu University of Technology（齐鲁工业大学大数据研究院）
针对联邦学习易受后门攻击的问题，提出FedDAB两阶段防御方法，结合本地对比正则化与对齐检测，经理论证明和实验验证，其防御效果优于现有方法。
2026-07-30 cs.AI cs.CR cs.LG
Defending against Insertion-based Textual Backdoor Attacks via Attribution
University of Michigan（密歇根大学）；NVIDIA（英伟达）；University of Wisconsin Madison（威斯康星大学麦迪逊分校）；Arizona State University（亚利桑那州立大学）
本文提出基于归因的防御流程AttDef，通过识别高归因词元作为潜在触发器并结合外部预训练语言模型检测投毒输入，在BadNL和InSent两种插入式文本后门攻击上取得最优防御效果。
2023-08-07 cs.AI cs.CL cs.CR
Can You Really Backdoor Federated Learning?
Cornell University（康奈尔大学）；Google（谷歌）
联邦学习的分散性使得检测和防御对抗攻击成为一项具有挑战性的任务。本文重点研究联邦学习环境中的后门攻击，其中对手的目标是降低模型在目标任务上的性能，同时保持主任务的良好性能。与现有的作品不同，我们允许非恶意客户端从目标任务中正确标记样本。我们进行了全面的研究后门攻击和防御的EMNIST数据集，现实生活中，用户分区，和非iid数据集。我们观察到，在没有防御的情况下，攻击的性能在很大程度上取决于对手的存在和目标任务的“复杂性”。此外，我们表明，范数裁剪和"弱"差分隐私减轻攻击，而不损害整体性能。我们已经在TensorFlow Federated（TFF）中实现了攻击和防御，TFF是一个用于联邦学习的TensorFlow框架。通过开源我们的代码，我们的目标是鼓励研究人员贡献新的攻击和防御，并在标准的联邦数据集上对其进行评估。
2019-12-02 cs.CR cs.LG stat.ML
Trap and Replace: Defending Backdoor Attacks by Trapping Them into an Easy-to-Replace Subnetwork
University of Texas at Austin（德克萨斯大学奥斯汀分校）；Michigan State University（密歇根州立大学）；Amazon Web Services（亚马逊云科技）
深度神经网络（DNN）容易受到后门攻击。以前的工作已经表明，从网络中消除不需要的后门行为是非常具有挑战性的，因为整个网络都可能受到后门样本的影响。在本文中，我们提出了一个全新的后门防御策略，这使得它更容易从模型中删除后门样本的有害影响。我们的防御战略，\emph{Trap and Replace}，包括两个阶段。在第一阶段，我们在一个小而容易替换的子网中诱饵和陷阱后门。具体来说，我们在与轻量分类头共享的干网络之上添加辅助图像重建头。直觉是，辅助图像重建任务鼓励干网络保持足够的难以学习但语义正确的低级视觉特征，而不是过度拟合易于学习但语义不正确的后门相关性。因此，当在后门数据集上训练时，后门很容易被引诱到未受保护的分类头，因为它比共享的主干更容易受到攻击，使得主干网络几乎不会中毒。在第二阶段，我们用一个未污染的分类头替换中毒的轻量级分类头，只在一个具有干净样本的小数据集上从头开始重新训练它，同时修复干网络。因此，最终网络中的主干和分类头几乎不受后门训练样本的影响。我们评估我们的方法对十种不同的后门攻击。我们的方法在CIFAR 10、GTSRB和ImageNet-12上的攻击成功率和平均$3.14\%$、$1.80\%$和$1.21\%$干净分类准确率分别高达$20.57\%$、$9.80\%$和$13.72\%$，优于之前最先进的方法。代码可在线获取。
2022-10-12 cs.CR cs.CV cs.LG
Backdoor Attacks on Federated Learning with Lottery Ticket Hypothesis
Huazhong University of Science and Technology（华中科技大学）
与数据中心的服务器相比，联邦学习中的边缘设备通常具有更有限的计算和通信资源。最近，先进的模型压缩方法，如彩票假设，已经在联邦学习上实现，以减少模型大小和通信成本。然而，后门攻击可能会危及其在联邦学习场景中的实现。恶意边缘设备使用中毒的私有数据训练客户端模型，并将参数上传到中心，在不知情的聚合优化后向全局共享模型嵌入后门。在推理阶段，带有后门的模型将具有特定触发器的样本分类为一个目标类别，而清洁样本的推理精度略有下降。在这项工作中，我们的经验表明，彩票模型同样容易受到后门攻击的原始密集模型，和后门攻击可以影响提取的门票的结构。基于票据之间的相似性，我们为联邦学习提供了一种可行的防御后门攻击的各种数据集。
2021-09-22 cs.CR cs.LG
Defending Deep Regression Models against Backdoor Attacks
Delft University of Technology（代尔夫特理工大学）；The Pennsylvania State University（宾夕法尼亚州立大学）
针对深度回归模型的后门攻击，提出首个防御方法DRMGuard，利用输出空间和特征空间特性进行逆向工程，在多个任务和数据集上显著优于现有防御。
2024-11-07 cs.AI cs.LG
On the Vulnerability of Backdoor Defenses for Federated Learning
Tongji University（同济大学）；Pennsylvania State University（宾夕法尼亚州立大学）
联邦学习（FL）是一种流行的分布式机器学习范例，它能够在不共享客户端数据的情况下联合训练全局模型。然而，其重复的服务器-客户端通信为后门攻击提供了空间，目的是在呈现特定触发模式时误导全局模型进入有针对性的错误预测。为了应对这种对联邦学习的后门威胁，已经提出了各种防御措施。在本文中，我们研究了当前的防御机制是否真正中和后门的威胁，从联邦学习在一个实际的设置，提出了一个新的联邦后门攻击方法可能的对策。与传统的基于后门注入的训练（在触发数据上）和重新缩放（恶意客户端模型）不同，所提出的后门攻击框架（1）直接修改（小比例）局部模型权重以通过符号翻转注入后门触发器;（2）与客户端模型联合优化触发模式，从而更持久和隐蔽地规避现有防御。在一个案例研究中，我们从三个主要类别研究了最近的联邦后门防御的优点和缺点，并在实践中训练联邦模型时为从业者提供建议。
2023-01-19 cs.AI cs.CR cs.LG
Filter, Obstruct and Dilute: Defending Against Backdoor Attacks on Semi-Supervised Learning
College of Computer Science and Technology, Nanjing University of Aeronautics and Astronautics（南京航空航天大学计算机科学与技术学院）；School of Computer Science and Technology, Huazhong University of Science and Technology（华中科技大学计算机科学与技术学院）
针对半监督学习（SSL）易受数据投毒后门攻击的问题，本研究提出后门无效器（BI），通过高斯滤波、互补学习和触发器混合破坏触发器与目标类的虚假相关性，显著降低攻击成功率且不影响清洁数据准确率。
2025-02-09 cs.LG
A General Framework for Defending Against Backdoor Attacks via Influence Graph
Zhejiang University（浙江大学）；University of Leeds（利兹大学）；Nanyang Technological University（南洋理工大学）；Tsinghua University（清华大学）；Peking University（北京大学）
在这项工作中，我们提出了一个新的和一般的框架来抵御后门攻击，攻击触发器通常遵循\textsc{specific}类型的攻击模式，因此，中毒的训练样本在训练过程中有更大的影响。我们引入了{ \it影响图}的概念，它由分别代表单个训练点和相关成对影响的节点和边组成。一对训练点之间的影响表示去除一个训练点对另一个训练点的预测的影响，由影响函数\citep{koh2017understanding}近似。恶意训练点的提取是通过找到最大的平均子图服从特定的大小。在计算机视觉和自然语言处理任务上的大量实验证明了该框架的有效性和通用性。
2021-11-29 cs.AI cs.CL cs.CV
Backdoor Attacks on Federated Meta-Learning
University of Southern California（南加州大学）
联邦学习允许多个用户协作训练共享的分类模型，同时保护数据隐私。这种方法，模型更新由中央服务器聚合，被证明容易受到中毒后门攻击：恶意用户可以改变共享模型，任意分类来自给定类的特定输入。在本文中，我们分析了后门攻击对联邦元学习的影响，用户训练一个模型，该模型可以适应不同的输出类集，只使用几个例子。虽然原则上，适应能力可以使联邦学习框架对后门攻击更加鲁棒（当新的训练样本是良性的时），但我们发现即使是一次性攻击也可以非常成功，并且在额外的训练后仍然存在。为了解决这些漏洞，我们提出了一个防御机制的灵感来自匹配网络，其中输入的类是从其特征的相似性与支持集的标记的例子预测。通过从与联邦共享的模型中删除决策逻辑，后门攻击的成功率和持久性大大降低。
2020-12-16 cs.CR cs.DC cs.LG
Robustness Inspired Graph Backdoor Defense
The Pennsylvania State University（宾夕法尼亚州立大学）
本文针对图神经网络后门攻击提出基于随机边丢弃的检测方法和鲁棒训练策略，可有效识别投毒节点、降低攻击成功率并保持干净准确率。
2025-03-12 cs.CR cs.LG
Defending the Edge: Representative-Attention Defense against Backdoor Attacks in Federated Learning
Dept. of Computer Science Faculty of Engineering University of Manchester Manchester, United Kingdom；Dept. of Computer Science Faculty of Engineering University of Manchester \& MBZUAI Abu Dhabi, United Arab Emirates；Dept. of Computer Science Faculty of Engineering University of Manchester \& KU Leuven Manchester, United Kingdom
FeRA通过引入基于注意力的防御机制，有效检测联邦学习中的后门攻击，实现低后门准确性和高干净准确性。
2026-02-12 cs.AI cs.CR cs.LG
Defending Our Privacy With Backdoors
German Research Center for Artificial Intelligence（德国人工智能研究中心）；Technical University of Darmstadt（达姆施塔特工业大学）；TU Dortmund University（多特蒙德工业大学）；Center for Trustworthy Data Science and Security, University Alliance Ruhr（鲁尔大学联盟可信数据科学与安全中心）；Hessian Center for AI (hessian.AI)（黑森州人工智能中心）；Centre for Cognitive Science TU Darmstadt（达姆施塔特工业大学认知科学中心）
本文提出一种基于后门攻击的防御方法，通过在文本和图像编码器中插入后门，将敏感信息映射为中性或匿名嵌入，仅需微调几分钟即可有效移除视觉-语言模型中的隐私信息，为后门攻击提供了双重用途的新视角。
2024-07-23 cs.CL cs.CR cs.CV
Mitigating Backdoors in Federated Learning with FLD
针对联邦学习难以审查客户端数据且现有后门防御受限于攻击模型和模型维度的问题，提出 FLD 层级模型过滤方法，实现收敛保证并在几乎不影响主任务准确率的情况下防御先进后门攻击。
2023-12-18 cs.CR cs.LG
How To Backdoor Federated Learning
Cornell Tech, Cornell University（康奈尔大学康奈尔科技校区）
联邦学习使成千上万的参与者能够构建一个深度学习模型，而无需彼此共享他们的私人训练数据。例如，多个智能手机可以联合训练键盘的下一个单词预测器，而不会泄露单个用户键入的内容。我们证明了联邦学习的任何参与者都可以将隐藏的后门功能引入联合全局模型，例如，以确保图像分类器将攻击者选择的标签分配给具有某些特征的图像，或者单词预测器用攻击者选择的单词完成某些句子。我们设计并评估了一种新的基于模型替换的模型中毒方法。在单轮联邦学习中选择的攻击者可以使全局模型在后门任务上立即达到100%的准确率。我们在不同的假设下对标准的联邦学习任务进行了评估，结果表明它大大优于数据投毒。我们的通用约束和规模的技术也规避异常检测为基础的防御，将规避到攻击者的损失函数在训练过程中。
2019-08-06 cs.CR cs.LG
BadFU: Backdoor Federated Learning through Adversarial Machine Unlearning
University of Newcastle（新castle大学）；Shanghai Jiao Tong University（上海交通大学）
BadFU首次揭示联邦遗忘中的后门攻击：恶意客户端利用后门与伪装样本正常训练，待请求遗忘伪装样本后使全局模型进入后门状态，暴露现有联邦遗忘机制的关键安全漏洞。
2025-08-21 cs.CR cs.LG
PeerGuard: Defending Multi-Agent Systems Against Backdoor Attacks Through Mutual Reasoning
The Chinese University of Hong Kong, Shenzhen（香港中文大学（深圳））；University of Alabama at Birmingham（阿拉巴马大学伯明翰分校）
本研究调查多智能体系统的后门漏洞，提出基于智能体互推理的防御机制，通过评估响应检测被投毒智能体，在LLM系统中实现高准确率与低误报。
2025-05-27 cs.AI cs.LG cs.MA
Attack of the Tails: Yes, You Really Can Backdoor Federated Learning
University of Wisconsin-Madison（威斯康星大学麦迪逊分校）；Korea Advanced Institute of Science and Technology（韩国科学技术院）
由于其分散的性质，联邦学习（FL）在训练期间以后门的形式适用于对抗攻击。后门的目标是破坏训练模型在特定子任务上的性能（例如，将绿色汽车归类为青蛙）。在文献中已经介绍了一系列FL后门攻击，以及防御它们的方法，目前FL系统是否可以被定制为对后门具有鲁棒性是一个悬而未决的问题。在这项工作中，我们提供了相反的证据。我们首先确定，在一般情况下，对后门的鲁棒性意味着模型对对抗性示例的鲁棒性，这本身就是一个主要的开放问题。此外，在FL模型中检测后门的存在不太可能假设一阶预言或多项式时间。我们夫妇我们的理论结果与一个新的家庭的后门攻击，我们称之为边缘情况后门。边缘情况后门迫使模型对看似简单的输入进行错误分类，但这些输入不太可能是训练或测试数据的一部分，即，他们生活在输入分布的尾部。我们解释了这些边缘案例后门如何导致令人讨厌的失败，并可能对公平性产生严重影响，并展示了在对手方面进行仔细调整，可以将它们插入一系列机器学习任务（例如，图像分类、OCR、文本预测、情感分析）。
2020-07-09 cs.CR cs.DC cs.LG
Client-Side Patching against Backdoor Attacks in Federated Learning
针对联邦学习中的后门攻击，提出结合对抗学习与模型补丁的客户端防御机制，在MNIST和Fashion-MNIST上有效降低后门准确率并保持干净数据准确率，优于现有防御方法。
2024-12-20 cs.AI cs.CR cs.LG
Does Differential Privacy Prevent Backdoor Attacks in Practice?
Emory University（埃默里大学）；Zhejiang University（浙江大学）
本文首次评估DP-SGD与PATE在后门攻击下的实际防御效果，并提出更快更准的Label-DP替代方案，发现超参数调优可使Label-DP在保持精度的同时更有效防御后门攻击。
2023-11-10 cs.CR cs.LG
Trapping Attacker in Dilemma: Examining Internal Correlations and External Influences of Trigger for Defending GNN Backdoors
The Chinese University of Hong Kong（香港中文大学）；Sun Yat-Sen University（中山大学）
本文提出PRAETORIAN方法，通过分析触发器子图的内部关联和外部节点影响，有效降低GNN后门攻击成功率，同时保持高清洁准确率。
2026-05-14 cs.AI cs.CR cs.LG
Backdoor Defense in Federated Learning Using Differential Testing and Outlier Detection
University of California, San Diego（加州大学圣地亚哥分校）
联邦学习（FL）的目标是通过聚合在边缘设备上独立更新的模型参数来训练一个全局模型，而无需访问用户的私有数据。然而，FL容易受到后门攻击，其中一小部分恶意代理通过将污染的模型更新上传到服务器来在全局模型中注入有针对性的误分类行为。在这项工作中，我们提出了DiffFense，一个自动化的防御框架，以保护FL系统从后门攻击，利用差分测试和两步MAD离群值检测，而不需要任何以前的知识的攻击场景或直接存取本地模型参数。我们的经验表明，我们的检测方法可以防止各种数量的潜在攻击者，同时始终实现全局模型的收敛，与联邦平均（FedAvg）下训练的模型相当。我们进一步证实了我们的方法对以前的防御技术，如多克鲁姆和坐标明智的中位数聚合的有效性和普遍性。我们的检测方法将全局模型的平均后门准确率降低到4%以下，并实现了零的误报率。
2022-02-21 cs.CR cs.LG
More is Better (Mostly): On the Backdoor Attacks in Federated Graph Neural Networks
Delft University of Technology（代尔夫特理工大学）；Radboud University（拉德堡德大学）
该研究首次探究联邦图神经网络的后门攻击鲁棒性，对比中心化与分布式两类后门攻击的性能及影响因素，发现两类攻击对现有防御均具抗性，需定制化防御方案。
2024-12-09 cs.CR cs.LG
Watch Out for the Lifespan: Evaluating Backdoor Attacks Against Federated Model Adaptation
CEA-Leti（CEA-莱提实验室）；Centre CMP（CMP中心）；Univ. Grenoble Alpes（格勒诺布尔阿尔卑斯大学）；Mines Saint-Etienne（圣艾蒂安矿业学院）
本文研究了LoRA对联邦学习中后门攻击的影响，发现低秩适应可延长后门寿命，揭示了后门攻击评估中的关键问题。
2026-02-18 cs.CR cs.LG
DeTrigger: A Gradient-Centric Approach to Backdoor Attack Mitigation in Federated Learning
School of Integrated Technology, College of Computing, Yonsei University（延世大学整合技术学院，计算学院）；School of Electrical Engineering, KAIST（韩国科学技术院电子工程学院）
本文提出DeTrigger，一种高效的联邦学习框架，通过梯度分析和温度缩放检测并隔离后门触发器，实现快速检测和高抑制率的后门攻击防御。
2026-05-07 cs.AI cs.CR cs.LG
Securing Federated Learning against Backdoor Threats with Foundation Model Integration
Renmin University of China（中国人民大学）；The University of Alabama at Birmingham（阿拉巴马大学伯明翰分校）
针对联邦学习集成基础模型引入的新型后门攻击，提出无数据防御策略，通过约束模型聚合时隐藏特征空间的异常激活，有效抵御经典与新型后门攻击，性能优于现有方法。
2025-05-27 cs.CR cs.LG
CRFL: Certifiably Robust Federated Learning against Backdoor Attacks
University of Illinois at Urbana-Champaign（伊利诺伊大学厄巴纳-香槟分校）；Zhejiang University（浙江大学）；IBM Research（IBM研究院）
联邦学习（FL）作为一种分布式学习范式，它聚集来自不同客户端的信息来训练一个共享的全局模型，已经取得了巨大的成功。然而，恶意客户端可以执行中毒攻击和模型替换，将后门引入到训练好的全局模型中。虽然已经有大量的研究设计鲁棒的聚合方法和经验强大的联邦训练协议对后门，现有的方法缺乏鲁棒性认证。本文提供了第一个通用框架，可证明鲁棒联邦学习（CRFL），训练可证明鲁棒FL模型对后门。我们的方法利用模型参数的裁剪和平滑来控制全局模型的平滑性，这产生了对具有有限幅度的后门的样本稳健性认证。我们的认证还指定了与联邦学习参数的关系，例如实例级别的中毒率，攻击者数量和训练迭代。实际上，我们在一系列联邦数据集上进行了全面的实验，并为联邦学习中针对后门攻击的认证鲁棒性提供了第一个基准。我们的代码可在https://github.com/AI-secure/CRFL上获得。
2021-06-15 cs.LG
Defending Pre-trained Language Models as Few-shot Learners against Backdoor Attacks
Stony Brook University（石溪大学）；Pennsylvania State University（宾夕法尼亚州立大学）；Zhejiang University（浙江大学）
本文针对少样本场景下预训练语言模型易受后门攻击的问题，提出轻量可插拔的 MDP 防御框架，通过掩码敏感性差异识别投毒样本，并经实验验证其有效性。
2023-09-23 cs.AI cs.LG
Bad-PFL: Exploring Backdoor Attacks against Personalized Federated Learning
Deakin University（迪肯大学）
针对PFL中现有后门攻击失效的问题，提出Bad-PFL方法，利用自然数据特征作为触发器，通过相互强化训练确保后门在个性化模型中持久存在，并在多个基准数据集上验证了其优越的攻击性能。
2025-01-22 cs.CR cs.CV cs.LG
SDBA: A Stealthy and Long-Lasting Durable Backdoor Attack in Federated Learning
Department of Information and Communication Engineering, Major in Information Security, Chosun University（信息与通信工程系，信息安全专业，全州大学）；AI Data Security Research Section, Electronics and Telecommunications Research Institute（人工智能数据安全研究部，电子电信研究院）；Department of Convergence Science, Kongju National University（融合科学系， Kongju国立大学）
针对联邦学习NLP任务易受后门攻击且相关研究有限的问题，提出SDBA新型后门攻击，通过逐层和top-k%梯度掩码实现隐蔽持久，实验证明其在多模型多任务上优于现有攻击且能绕过防御，凸显相关防御的紧迫性。
2025-07-30 cs.CR cs.LG
Thinking Two Moves Ahead: Anticipating Other Users Improves Backdoor Attacks in Federated Learning
University of Maryland（马里兰大学）；Google（谷歌）；Johns Hopkins University（约翰斯·霍普金斯大学）；New York University（纽约大学）
联邦学习特别容易受到模型中毒和后门攻击的影响，因为个人用户可以直接控制训练数据和模型更新。与此同时，单个用户的攻击能力是有限的，因为他们的更新很快就会被许多其他用户的更新淹没。现有的攻击不考虑其他用户的未来行为，因此需要多次连续更新，其影响很快就会被消除。我们提出了一种攻击，它可以预测和解释整个联邦学习管道，包括其他客户端的行为，并确保后门快速有效，即使在多轮社区更新后也能持续存在。我们表明，这种新的攻击是有效的，在现实的情况下，攻击者只贡献了一小部分的随机抽样轮，并证明这种攻击的图像分类，下一个词的预测，和情感分析。
2022-10-17 cs.CR cs.LG
Towards a Defense Against Federated Backdoor Attacks Under Continuous Training
Carnegie Mellon University（卡内基梅隆大学）；University of Washington（华盛顿大学）
在联邦学习（FL）中，后门攻击是危险且难以预防的，其中训练数据长时间来自不受信任的客户端。出现这些困难的原因是：（a）FL中的防御者无法访问原始训练数据，以及（b）我们发现的一种称为后门泄漏的新现象导致不断训练的模型最终由于防御机制中的累积错误而遭受后门。我们提出了影子学习，一个框架，用于抵御后门攻击在FL设置下的远程训练。影子学习并行训练两个模型：主干模型和影子模型。骨干是在没有任何防御机制的情况下训练的，以获得在主要任务上的良好表现。影子模型将恶意客户端的过滤与早期停止相结合，以控制攻击成功率，即使数据分布发生变化。我们从理论上激励我们的设计和实验表明，我们的框架显着提高现有的防御后门攻击。
2023-01-31 cs.AI cs.CR cs.LG
BaFFLe: Backdoor detection via Feedback-based Federated Learning
NEC Labs Europe（NEC欧洲研究院）；TU Darmstadt（达姆施塔特工业大学）
最近的研究表明，联邦学习（FL）容易受到向全局模型注入后门的中毒攻击。这些攻击即使由单个客户端执行也是有效的，并且大多数现有的防御技术都无法检测到。在本文中，我们提出了后门检测通过基于反馈的联邦学习（BAFFLE），一种新的防御，以确保FL对后门攻击。BAFFLE背后的核心思想是利用多个客户端的数据，不仅用于训练，还用于发现模型中毒。我们通过将反馈循环纳入FL过程，利用各种客户端的不同数据集的可用性，在决定给定模型更新是否真实时整合这些客户端的视图。我们表明，即使依赖简单的方法来验证模型，这种强大的结构也可以对最先进的后门攻击实现非常高的检测率。通过使用CIFAR-10和FEMNIST数据集进行实证评估，我们表明，通过将反馈回路与通过评估更新模型的每类分类性能来怀疑中毒尝试的方法相结合，BAFFLE可靠地检测到最先进的后门攻击，检测准确率为100%，误报率低于5%。此外，我们证明了我们的解决方案可以检测到旨在绕过防御的自适应攻击。
2021-04-18 cs.CR cs.LG
Mitigating Backdoor Attacks in Federated Learning
Pennsylvania State University（宾夕法尼亚州立大学）；North Carolina State University（北卡罗来纳州立大学）
恶意客户端可以在训练阶段使用恶意数据（包括后门样本）攻击联邦学习系统。受损的全局模型将在为任务设计的验证数据集上表现良好，但具有后门模式的一小部分数据可能会触发模型做出错误的预测。在服务器端训练的聚合阶段，试图隐藏攻击的攻击者和试图检测攻击的防御者之间一直存在军备竞赛。在这项工作中，我们提出了一种新的和有效的方法来减轻后门攻击后的训练阶段。具体而言，我们设计了一种联邦剪枝方法来删除网络中的冗余神经元，然后调整模型的极端权重值。我们在分布式Fashion-MNIST上进行的实验表明，我们的方法可以将平均攻击成功率从99.7%降低到1.9%，在验证数据集上的测试准确性损失为5.5%。为了尽量减少剪枝对测试准确率的影响，我们可以在剪枝后进行微调，攻击成功率下降到6.4%，测试准确率仅损失1.7%。在CIFAR-10上进行的分布式后门攻击下的进一步实验也显示了有希望的结果，平均攻击成功率下降了70%以上，验证数据集上的测试准确性损失不到2%。
2021-01-14 cs.CR cs.LG
Revisiting Personalized Federated Learning: Robustness Against Backdoor Attacks
Hong Kong University of Science and Technology（香港科技大学）；Alibaba Group（阿里巴巴集团）
本文首次系统评估个性化联邦学习对后门攻击的鲁棒性，发现部分模型共享更安全，并提出轻量防御 Simple-Tuning 与开源黑盒攻击基准。
2023-06-05 cs.CR cs.LG
A Knowledge Distillation-Based Backdoor Attack in Federated Learning
University of Science and Technology of China（中国科学技术大学）
联邦学习（FL）是一种新型的分散式机器学习框架。由于FL的分散特性，它在训练过程中容易受到对抗攻击，例如后门攻击。后门攻击旨在将后门注入到机器学习模型中，使得该模型将使用某些特定的后门触发器对测试样本做出任意不正确的行为。尽管已经介绍了FL的一系列后门攻击方法，但也有防御它们的方法。许多防御方法都是利用带后门模型的异常特征或带后门模型与正常模型的差异来进行防御的。为了绕过这些防御，我们需要减少差异和异常特征。我们发现这种异常的一个根源是后门攻击在毒化数据时会直接翻转数据的标签。然而，目前对FL中的后门攻击的研究主要集中在减少带有后门的模型与常规模型之间的差异上。本文提出了对抗性知识蒸馏（ADVKD）方法，该方法将知识蒸馏和后门攻击相结合，通过知识蒸馏减少标签翻转导致的模型结果中的异常特征，从而使模型能够绕过防御。与现有的方法相比，我们表明，ADVKD不仅可以达到更高的攻击成功率，但也成功地绕过防御时，其他方法失败。为了进一步探索ADVKD的性能，我们测试了不同场景下参数对ADVKD性能的影响。根据实验结果，总结了在不同场景下如何调整参数以获得更好的性能。我们还使用了几种方法来可视化不同的攻击效果，并解释ADVKD的有效性。
2022-08-12 cs.CR cs.LG
Get Rid Of Your Trail: Remotely Erasing Backdoors in Federated Learning
New York University Abu Dhabi（纽约大学阿布扎比分校）；École nationale supérieure d’informatique（国立高等计算机学院）
本文面向联邦学习中的攻击者，提出基于机器遗忘的远程后门擦除方法，在保持模型性能、避免无关信息过度遗忘的同时隐蔽消除最先进攻击注入的后门。
2023-04-20 cs.CR cs.LG
Backdoor Federated Learning by Poisoning Backdoor-Critical Layers
Stony Brook University（石溪大学）；University of Delaware（特拉华大学）；South China University of Technology（华南理工大学）；Louisiana State University（路易斯安那州立大学）
该研究针对联邦学习的后门攻击风险，发现了主导模型脆弱性的后门关键（BC）层，提出从攻击者视角识别BC层并设计自适应平衡攻击效果与隐蔽性的后门攻击方法，实验证明仅10%恶意客户端即可突破7种当前最优防御，性能优于现有最新方法。
2024-04-15 cs.CR cs.CV cs.LG
Defending against Reconstruction Attack in Vertical Federated Learning
Bytedance Inc.（字节跳动公司）；Bytedance Ltd.（字节跳动有限公司）
最近研究人员研究了联邦学习（FL）中的输入泄漏问题，其中恶意方可以从共享梯度重建用户提供的敏感训练输入。它引起了人们对FL的关注，因为输入泄漏与使用FL的隐私保护意图相矛盾。尽管关于水平FL中输入重构的攻击和防御的文献相对丰富，但垂直FL中的输入泄漏和保护最近开始引起研究人员的注意。在本文中，我们研究了如何抵御垂直FL中的输入泄漏攻击。我们设计了一个基于对抗训练的框架，该框架包含三个模块：对抗重建，噪声正则化和距离相关最小化。这些模块既可以单独使用，也可以一起使用，因为它们彼此独立。通过对大规模工业在线广告数据集的广泛实验，我们表明我们的框架在保护输入隐私的同时保留了模型效用。
2021-07-21 cs.CR cs.LG
Concealing Backdoor Model Updates in Federated Learning by Trigger-Optimized Data Poisoning
Duke University（杜克大学）
针对联邦学习后门更新易被防御检测的问题，提出DPOT触发器优化数据投毒攻击，仅靠数据投毒即可隐藏恶意更新并突破现有防御。
2024-09-09 cs.AI cs.CR cs.LG
Backdoor Attacks in Peer-to-Peer Federated Learning
Northeastern University（东北大学）；Khoury College of Computer Sciences（科里计算机科学学院）
针对对等网络联邦学习（P2PFL）的投毒攻击抵御能力未被研究的问题，提出利用图结构选恶意节点的高隐蔽性后门攻击，验证其在多种真实场景下的有效性，并设计出不影响模型准确率的新型防御方案。
2024-09-17 cs.CR cs.LG
TrojanDam: Detection-Free Backdoor Defense in Federated Learning through Proactive Model Robustification utilizing OOD Data
Southeast University（东南大学）；HKUST(GZ)（香港科技大学（广州））；Nanyang Technological University（南洋理工大学）
提出TrojanDam，一种联邦学习后门防御机制，通过利用OOD数据主动激活模型冗余神经元以抵消后门更新，无需检测，实验证明优于现有SOTA方法。
2025-04-22 cs.CR cs.LG
Backdoor Attack on Vertical Federated Graph Neural Network Learning
Fudan University（复旦大学）；Nanjing University of Information Science and Technology（南京信息工程大学）；Pennsylvania State University（宾夕法尼亚州立大学）；Zhejiang University（浙江大学）
本文提出BVG后门攻击方法，针对垂直联邦图神经网络，利用多跳触发器和后门保留，仅需四个目标节点即可实现近100%攻击成功率，且对主任务影响小，现有防御难以抵御。
2025-01-24 cs.AI cs.CR cs.LG
