DECK: Model Hardening for Defending Pervasive Backdoors
Purdue University（普渡大学）
普遍存在的后门程序是由动态和普遍存在的输入扰动触发的。它们可以由攻击者故意注入，也可以自然存在于正常训练的模型中。它们具有与传统的静态和局部后门不同的性质，传统的静态和局部后门可以通过用某种固定模式扰动小的输入区域来触发，例如，纯色的补丁。现有的防御技术对传统后门非常有效。但是，它们可能无法很好地处理普遍存在的后门，特别是在后门删除和模型强化方面。在本文中，我们提出了一种新的模型加固技术，对普遍的后门，包括自然和注入后门。我们开发了一个通用的普适攻击的基础上增强了一个特殊的转换层的编码器-解码器架构。该攻击可以对广泛的现有普遍后门攻击进行建模，并通过类距离对其进行量化。因此，在对抗训练中使用从我们的攻击中获得的样本可以强化模型以对抗这些后门漏洞。我们对9个数据集的15个模型结构的评估表明，我们的技术可以在准确率下降不到1%的情况下平均扩大类距离59.65%，并且没有鲁棒性损失，优于对抗训练，通用对抗训练，MOTH等五种硬化技术。它可以将六种普遍后门攻击的攻击成功率从99.06%降低到1.94%，超过了七种最先进的后门移除技术
2022-06-18 cs.AI cs.CR cs.CV
On the Effectiveness of Adversarial Training against Backdoor Attacks
Tsinghua University（清华大学）；The University of Tokyo（东京大学）；RIKEN Center for Advanced Intelligence Project（理化学研究所先进智能项目中心）
DNN对海量数据的需求迫使从业者由于不可接受的成本而从互联网上收集数据，而不需要仔细检查，这带来了潜在的后门攻击风险。后门模型总是在存在预定义的触发模式的情况下预测目标类，这可以通过中毒少量数据轻松实现。一般来说，对抗性训练被认为可以抵御后门攻击，因为它可以帮助模型保持预测不变，即使我们扰动输入图像（只要在可行范围内）。不幸的是，以前的研究很少成功地做到这一点。为了探索对抗性训练是否可以防御后门攻击，我们在不同的威胁模型和扰动预算下进行了广泛的实验，并找到了对抗性训练问题中的威胁模型。例如，具有空间对抗性示例的对抗性训练针对常用的基于补丁的后门攻击提供了显著的鲁棒性。我们进一步提出了一种混合策略，提供了令人满意的鲁棒性，在不同的后门攻击。
2022-02-22 cs.CR cs.LG
Natural Backdoor Attack on Text Data
University of Illinois at Chicago（伊利诺伊大学芝加哥分校）
最近，高级NLP模型在各种应用程序中的使用量激增。这增加了已发布模型的安全威胁。除了干净模型的非故意缺陷之外，{\em即，}对抗攻击，具有恶意意图的中毒模型在现实生活中要危险得多。然而，目前大多数现有的工作集中在NLP模型的对抗性攻击，而不是定位攻击，也称为\textit{backdoor attacks}。本文首先提出了NLP模型上的\textit{natural backdoor attacks}。此外，我们利用各种攻击策略来生成触发器的文本数据和调查不同类型的触发器的修改范围的基础上，人类识别，和特殊情况。最后，我们对后门攻击进行了评估，结果表明，后门攻击的成功率为100%，文本分类任务的牺牲率为0.83%。
2021-01-15 cs.CL cs.CR cs.LG
Reverse Engineering Imperceptible Backdoor Attacks on Deep Neural Networks for Detection and Training Set Cleansing
Anomalee Inc.（阿 nomali 公司）；Pennsylvania State University（宾夕法尼亚州立大学）
后门数据投毒是一种新兴的对抗攻击形式，通常针对深度神经网络图像分类器。攻击者使用来自一个（或多个）源类的相对较小的图像集来毒化训练集，这些图像嵌入后门模式并标记为目标类。对于成功的攻击，在操作期间，经训练的分类器将：1）每当存在相同的后门模式时，将测试图像从源类别误分类为目标类别; 2）对于无后门的测试图像保持高分类精度。在本文中，我们在防御后门攻击不可察觉的后门模式（如水印）之前/期间的训练阶段的突破。这是一个具有挑战性的问题，因为它是先验未知的训练集的哪个子集（如果有的话）已经中毒。我们提出了一个基于优化的逆向工程防御，联合：1）检测训练集是否中毒; 2）如果是，识别目标类和嵌入后门模式的训练图像; 3）此外，逆向工程师估计攻击者使用的后门模式。在CIFAR-10的基准实验中，对于各种各样的攻击，我们的防御在删除检测到的可疑训练图像后将攻击成功率降低到不超过4.9%，从而达到了新的最先进水平。
2020-10-15 cs.LG
Can We Mitigate Backdoor Attack Using Adversarial Detection Methods?
Xi’an Jiaotong University（西安交通大学）；Nanyang Technological University（南洋理工大学）
众所周知，深度神经网络容易受到对抗攻击和后门攻击的攻击，其中对输入的微小修改能够误导模型给出错误的结果。虽然对对抗攻击的防御已经进行了广泛的研究，但对减轻后门攻击的研究仍处于早期阶段。目前还不清楚这两种攻击的防御之间是否有任何联系和共同特征。我们对深度神经网络的对抗性示例和后门示例之间的联系进行了全面的研究，以寻求回答这个问题：我们可以使用对抗性检测方法检测后门吗？我们的见解是基于这样的观察，即对抗性示例和后门示例在推理过程中都有异常，与良性样本高度区分。因此，我们修改了四个现有的对抗性防御方法检测后门的例子。广泛的评估表明，这些方法提供了可靠的保护，防止后门攻击，具有更高的准确性比检测敌对的例子。这些解还揭示了对抗样本、后门样本和正常样本在模型敏感性、激活空间和特征空间中的关系。这能够增强我们对这两种攻击的内在特征和防御机会的理解。
2022-07-28 cs.LG stat.ML
Large Language Models Are Better Adversaries: Exploring Generative Clean-Label Backdoor Attacks Against Text Classifiers
University of Oregon（俄勒冈大学）
本文提出 LLMBkd，利用大语言模型自动生成多样化风格触发器实现干净标签文本后门攻击，并设计毒样本选择技术与 REACT 防御基线，实验证明其攻击高效且无需模型训练。
2023-10-28 cs.LG
Look, Listen, and Attack: Backdoor Attacks Against Video Action Recognition
King Abdullah University of Science and Technology (KAUST)（阿卜杜拉国王科技大学）；Saudi Data and Artificial Intelligence Authority (SDAIA)（沙特数据与人工智能管理局）
深度神经网络（DNN）容易受到一类称为“后门攻击“的攻击，这种攻击在后门触发器和攻击者有兴趣利用的目标标签之间创建关联。后门DNN在干净的测试图像上表现良好，但在存在后门触发器的情况下，持续预测攻击者定义的任何样本标签。尽管后门攻击在图像域中已经被广泛研究，但是在视频域中探索这样的攻击的工作很少，并且他们倾向于得出图像后门攻击在视频域中不太有效的结论。在这项工作中，我们重新审视了传统的后门威胁模型，并将其他与视频相关的方面纳入该模型。我们发现，有毒标签图像后门攻击可以扩展时间在两种方式，静态和动态，导致在视频域中的高效攻击。此外，我们还探索了自然视频后门，以突出此漏洞在视频领域的严重性。而且，我们第一次研究了针对视频动作识别模型的多模态（视听）后门攻击，在那里我们证明了攻击单一模态足以实现高攻击成功率。
2023-01-19 cs.CR cs.CV cs.LG
Don't Trigger Me! A Triggerless Backdoor Attack Against Deep Neural Networks
CISPA Helmholtz Center for Information Security（CISPA 亥姆霍兹信息安全研究中心）
针对深度神经网络的后门攻击由于其严重的安全后果目前正被深入研究。当前最先进的后门攻击要求对手修改输入，通常是通过向其添加触发器，以便目标模型激活后门。这种增加的触发器不仅增加了在物理世界中发动后门攻击的难度，而且可以很容易地被多种防御机制检测到。在本文中，我们提出了第一个针对深度神经网络的无攻击者后门攻击，其中对手不需要修改触发后门的输入。我们的攻击是基于dropout技术。具体地说，我们将一组在模型训练期间退出的目标神经元与目标标签相关联。在预测阶段，当目标神经元再次被丢弃时，模型将输出目标标签，即，则发起后门攻击。我们的攻击的这种无边界特征使其在物理世界中变得实用。大量的实验表明，我们的无攻击者的后门攻击达到了完美的攻击成功率，可以忽略不计的损害模型的实用性。
2020-10-07 cs.CR cs.CV cs.LG
Backdoor Federated Learning by Poisoning Backdoor-Critical Layers
Stony Brook University（石溪大学）；University of Delaware（特拉华大学）；South China University of Technology（华南理工大学）；Louisiana State University（路易斯安那州立大学）
该研究针对联邦学习的后门攻击风险，发现了主导模型脆弱性的后门关键（BC）层，提出从攻击者视角识别BC层并设计自适应平衡攻击效果与隐蔽性的后门攻击方法，实验证明仅10%恶意客户端即可突破7种当前最优防御，性能优于现有最新方法。
2024-04-15 cs.CR cs.CV cs.LG
Backdoor Attacks and Countermeasures on Deep Learning: A Comprehensive Review
Nanjing University of Science and Technology（南京理工大学）；Data61, CSIRO（澳大利亚联邦科学与工业研究组织 Data61）；The University of Adelaide（阿德莱德大学）；The University of Queensland（昆士兰大学）；Hunan University（湖南大学）；Sungkyunkwan University（成均馆大学）
这项工作为社区提供了对深度学习的后门攻击和对策的及时全面的审查。根据攻击者的能力和机器学习流水线的受影响阶段，攻击面被识别为广泛的，然后形式化为六类：代码中毒，外包，预训练，数据汇集，协作学习和部署后。相应地，梳理了每个分类下的攻击。对策分为四大类：盲目借壳、线下借壳检查、线上借壳检查和事后借壳检查。在此基础上，对我国的应对策略进行了回顾，并对各种策略的优缺点进行了比较分析.我们还回顾了后门攻击的另一面，即i）保护深度学习模型的知识产权，ii）作为蜜罐捕获对抗性示例攻击，iii）验证数据贡献者请求的数据删除。总体而言，防御研究远远落后于攻击，没有一种防御可以阻止所有类型的后门攻击。在某些情况下，攻击者可以通过自适应攻击智能地绕过现有的防御。从系统性综述中得出的见解，我们还提出了未来研究后门的关键领域，如物理触发攻击的经验安全评估，特别是，更有效和实用的对策征求。
2020-08-02 cs.CR cs.CV cs.LG
Rethinking the Trigger of Backdoor Attack
Tsinghua Shenzhen International Graduate School, Tsinghua University（清华大学深圳国际研究生院）；School of Data Science, The Chinese University of Hong Kong, Shenzhen（香港中文大学（深圳）数据科学学院）；Shenzhen Research Institute of Big Data（深圳大数据研究院）；Tencent AI Lab（腾讯人工智能实验室）
后门攻击是在深度神经网络（DNN）中注入隐藏的后门，一旦被攻击者定义的触发器激活，被感染模型的预测就会被恶意改变，而在良性样本上表现良好。目前，现有的后门攻击大多采用\emph{static}触发器的设置，训练图像和测试图像中的$i.e.,$触发器遵循相同的外观，位于相同的区域。在本文中，我们重新审视这种攻击模式，通过分析静态触发器的特点。我们证明了这样的攻击范例是脆弱的，当测试图像中的触发器与用于训练的触发器不一致时。我们进一步探讨如何利用此属性的后门防御，并讨论如何减轻现有的攻击这样的脆弱性。
2021-01-31 cs.CR cs.CV cs.LG
Backdoor Attacks Against Deep Learning Systems in the Physical World
University of Chicago（芝加哥大学）
后门攻击将隐藏的恶意行为嵌入到深度学习模型中，仅激活并导致包含特定触发器的模型输入的错误分类。然而，现有的关于后门攻击和防御的工作主要集中在使用数字生成的模式作为触发器的数字攻击上。一个关键的问题仍然没有答案：后门攻击能否成功使用物理对象作为触发器，从而使它们成为现实世界中对深度学习系统的可信威胁？我们进行了详细的实证研究，以探索这个问题的面部识别，一个关键的深度学习任务。使用七个物理对象作为触发器，我们收集了一个自定义数据集的3205图像的10名志愿者，并使用它来研究物理后门攻击的可行性在各种现实世界的条件下。我们的研究揭示了两个关键发现。首先，物理后门攻击可以非常成功，如果它们被仔细配置以克服物理对象施加的约束。特别是，成功触发器的放置在很大程度上受到目标模型对关键面部特征的依赖性的限制。第二，当今针对（数字）后门的四种最先进的防御措施对物理后门无效，因为物理对象的使用打破了用于构建这些防御的核心假设。我们的研究证实，（物理）后门攻击不是一个假设的现象，而是对关键的分类任务构成了严重的现实威胁。我们需要新的、更强大的防御手段来抵御物理世界中的后门。
2021-09-07 cs.CR cs.CV cs.LG
Check Your Other Door! Creating Backdoor Attacks in the Frequency Domain
深度神经网络（DNN）无处不在，并且跨越从图像分类到实时目标检测的各种应用。随着DNN模型变得越来越复杂，训练这些模型的计算成本成为负担。出于这个原因，外包培训过程一直是许多DNN用户的首选。不幸的是，这是以易受后门攻击为代价的。这些攻击的目的是在DNN中建立隐藏的后门，以便它在干净的样本上表现良好，但当触发器应用于输入时，输出特定的目标标签。现有的后门攻击要么在空间域中生成触发器，要么在傅立叶域中天真地毒害频率。在这项工作中，我们提出了一种基于傅立叶热图的管道，以在频域中生成空间动态和不可见的后门攻击。在各种数据集和网络架构上对所提出的攻击进行了广泛的评估。与大多数现有的后门攻击不同，所提出的攻击可以实现高攻击成功率，低中毒率和几乎没有性能下降，同时保持人眼无法察觉。此外，我们表明，我们的攻击中毒的模型是抵抗各种国家的最先进的（SOTA）防御，所以我们贡献了两种可能的防御，可以逃避攻击。
2023-01-09 cs.CR cs.CV cs.LG
Fine-Tuning Is All You Need to Mitigate Backdoor Attacks
CISPA Helmholtz Center for Information Security（CISPA亥姆霍兹信息安全中心）；University of Birmingham（伯明翰大学）；University of Lausanne（洛桑大学）
后门攻击是机器学习模型的主要威胁之一。已经做出了各种努力来减少后门。然而，现有的防御已经变得越来越复杂，并且通常需要高计算资源，或者还可能危及模型的实用性。在这项工作中，我们表明，微调，最常见和最容易采用的机器学习训练操作之一，可以有效地删除后门从机器学习模型，同时保持高的模型效用。在三个机器学习范例上的大量实验表明，微调和我们新提出的超微调实现了强大的防御性能。此外，我们创造了一个新的术语，即后门后遗症，来衡量模型漏洞的变化，以其他攻击之前和之后的后门已被删除。实证评估表明，与其他防御方法相比，超微调留下的后门后遗症有限。我们希望我们的研究结果可以帮助机器学习模型所有者更好地保护他们的模型免受后门威胁。此外，它呼吁设计更高级的攻击，以全面评估机器学习模型的后门漏洞。
2022-12-18 cs.CR cs.CV cs.LG
Invisible Backdoor Attacks on Deep Neural Networks via Steganography and Regularization
Shanghai Jiao Tong University（上海交通大学）；The University of Adelaide（阿德莱德大学）；The University of New South Wales（新南威尔士大学）；Data61 CSIRO（澳大利亚联邦科学与工业研究组织 Data61）；Shanghai Institute for Advanced Communication and Data Science（上海先进通信与数据科学研究院）；Shanghai University（上海大学）
深度神经网络（DNN）已被证明容易受到后门攻击的攻击，其中隐藏的特征（模式）被训练成一个正常的模型，它只被一些特定的输入（称为触发器）激活，欺骗模型产生意想不到的行为。在本文中，我们为后门攻击创建了隐蔽和分散的触发器，这些触发器可以欺骗DNN模型和人类检查。我们通过两种最先进的嵌入触发器的方法来应用我们的隐形后门进行后门攻击。Badnets的第一种方法通过隐写术将触发器嵌入DNN。木马攻击的第二种方法使用两种类型的附加正则化项来生成具有不规则形状和大小的触发器。我们使用攻击成功率和功能来衡量我们的攻击性能。我们介绍了两个新的定义，人类感知的不可见性;一个是概念化的感知对抗相似性得分（PASS），另一个是学习感知图像补丁相似性（LPIPS）。我们表明，通过测量对手的攻击成功率，普通用户的功能和管理员的不可见性得分，我们提出的隐形后门在各种DNN模型以及四个数据集MNIST，CIFAR-10，CIFAR-100和GTSRB中可以相当有效。最后，我们认为，建议的无形后门攻击可以有效地挫败国家的最先进的木马后门检测方法，如神经清洗和TABOR。
2020-08-31 cs.CR cs.CV cs.LG
BackdoorBox: A Python Toolbox for Backdoor Learning
Tsinghua Shenzhen International Graduate School, Tsinghua University（清华大学深圳国际研究生院）
深度神经网络（DNN）的训练通常涉及第三方资源（$e.g.$、样本、主干和预训练模型），这带来了后门攻击作为新的训练阶段威胁。一般来说，后门攻击者打算在DNN中植入隐藏的后门，以便被攻击的DNN在良性样本上正常运行，而如果隐藏的后门被攻击者指定的触发模式激活，则它们的预测将被恶意更改为预定义的目标标签。为了便于研发更安全的训练方案和防御，我们设计了一个开源的Python工具箱，在统一灵活的框架下实现了具有代表性的高级后门攻击和防御。我们的工具箱有四个重要且有前途的特征，包括一致性、简单性、灵活性和共同开发。它允许研究人员和开发人员在基准测试或本地数据集上轻松实现和比较不同的方法。这个Python工具箱，即\texttt{BackdoorBox}，可以在\url{https://github.com/THUYimingLi/BackdoorBox}上找到。
2023-02-01 cs.CR cs.CV cs.LG
Beating Backdoor Attack at Its Own Game
Carnegie Mellon University（卡内基梅隆大学）；UC Berkeley（加州大学伯克利分校）；The Chinese University of Hong Kong（香港中文大学）
受后门攻击启发，提出注入非对抗性后门的防御框架，在数据预处理阶段抑制攻击者后门，无需修改标准训练流程，在多个基准上实现最先进防御效果且干净数据性能下降最低。
2025-04-05 cs.CR cs.CV cs.LG
Bad-PFL: Exploring Backdoor Attacks against Personalized Federated Learning
Deakin University（迪肯大学）
针对PFL中现有后门攻击失效的问题，提出Bad-PFL方法，利用自然数据特征作为触发器，通过相互强化训练确保后门在个性化模型中持久存在，并在多个基准数据集上验证了其优越的攻击性能。
2025-01-22 cs.CR cs.CV cs.LG
DABS: Data-Agnostic Backdoor attack at the Server in Federated Learning
The Hong Kong University of Science and Technology（香港科技大学）
本研究针对联邦学习易受后门攻击的问题，提出服务器端数据无关后门攻击模型DABS，直接修改全局模型实现攻击，实验显示其攻击成功率高于基线方法且不影响干净数据准确率。
2023-05-02 cs.CR cs.CV cs.LG
On Certifying Robustness against Backdoor Attacks via Randomized Smoothing
Duke University（杜克大学）
后门攻击是对深度神经网络（DNN）的严重安全威胁。我们设想，就像对抗性的例子一样，后门攻击将是一场猫捉老鼠的游戏，即，开发了新的经验防御来防御后门攻击，但是它们很快就被强适应性后门攻击打破。为了防止这种猫捉老鼠的游戏，我们采取了第一步，对后门攻击认证防御。具体来说，在这项工作中，我们研究的可行性和有效性，证明对后门攻击使用最近的技术称为随机平滑的鲁棒性。随机平滑最初是为了证明对抗性样本的鲁棒性而开发的。我们推广了随机平滑来抵御后门攻击。我们的研究结果表明，使用随机平滑证明对后门攻击的鲁棒性的理论可行性。然而，我们也发现，现有的随机平滑方法在抵御后门攻击的有效性有限，这突出了新的理论和方法的需求，以证明对后门攻击的鲁棒性。
2020-07-20 cs.CR cs.LG
Backdoor Attacks to Graph Neural Networks
Duke University（杜克大学）
在这项工作中，我们提出了第一个后门攻击图神经网络（GNN）。具体来说，我们提出了一个\emph{subgraph based backdoor attack}的GNN图分类。在我们的后门攻击中，一旦预定义的子图被注入测试图，GNN分类器就预测攻击者为测试图选择的目标标签。我们在三个真实世界的图数据集上的实证结果表明，我们的后门攻击是有效的，对GNN的预测准确性的影响很小。此外，我们推广了一种基于随机平滑的认证防御来抵御我们的后门攻击。我们的实证结果表明，防御在某些情况下是有效的，但在其他情况下无效，突出了我们的后门攻击的新防御的需要。
2021-12-17 cs.CR cs.LG
Rethink the Evaluation for Attack Strength of Backdoor Attacks in Natural Language Processing
Tencent AI Lab（腾讯人工智能实验室）
已经表明，自然语言处理（NLP）模型容易受到一种称为后门攻击的安全威胁，这种攻击利用“后门触发器”范式来误导模型。最具威胁的后门攻击是隐形后门，它将触发器定义为文本样式或语法。虽然他们已经取得了令人难以置信的高攻击成功率（ASR），我们发现，其ASR的主要因素是不是“后门触发器”的范例。因此，当将这些秘密后门攻击归类为后门攻击时，高估了其能力。因此，为了评估后门攻击的实际攻击能力，我们提出了一个新的度量称为攻击成功率差（ASRD），它衡量的ASR之间的差异清洁状态和中毒状态模型。此外，针对目前对隐蔽式后门攻击的防御手段缺乏的情况，本文提出了一种触发器断路器，它由两个简单的技巧组成，可以有效地防御隐蔽式后门攻击。实验表明，我们的方法实现了显着更好的性能比国家的最先进的防御方法对隐形后门攻击。
2022-02-16 cs.CL cs.CR cs.LG
BACKDOORL: Backdoor Attack against Competitive Reinforcement Learning
University of California, Berkeley（加州大学伯克利分校）；Pennsylvania State University（宾夕法尼亚州立大学）
最近的研究证实了后门攻击在深度强化学习（RL）系统中的可行性。然而，现有的攻击需要能够任意修改代理的观察，限制了应用范围简单的RL系统，如雅达利游戏。在本文中，我们将后门攻击迁移到涉及多个代理的更复杂的RL系统中，并探索在不直接操纵代理观察的情况下触发后门的可能性。作为概念证明，我们证明了对手代理可以在两人竞争RL系统中通过自己的行动触发受害代理的后门。我们在四种竞争环境中对EPDOOORL进行原型设计和评估。结果显示，当后门被激活时，受害者的中奖率比未激活时下降了17%至37%。
2021-12-12 cs.CR cs.LG
BATT: Backdoor Attack with Transformation-based Triggers
Research Center for Computer Network (Shenzhen) Ministry of Education（教育部计算机网络（深圳）研究中心）
深度神经网络（DNN）容易受到后门攻击的攻击。后门攻击者打算通过注入隐藏的后门来恶意控制被攻击DNN的预测，这些后门可以在训练过程中由攻击者指定的触发模式激活。最近的一项研究表明，大多数现有的攻击在真实的物理世界中失败了，因为数字化测试样本中包含的触发器可能与用于训练的触发器不同。因此，用户可以采用空间变换作为图像预处理来去激活隐藏的后门。在本文中，我们从另一个侧面探索了以前的研究结果。我们利用经典的空间变换（即旋转和平移）与特定的参数作为触发模式，设计了一个简单而有效的基于中毒的后门攻击。例如，只有旋转到特定角度的图像才能激活受攻击DNN的嵌入式后门。进行了大量的实验，验证了我们的攻击在数字和物理环境下的有效性，以及它对现有后门防御的抵抗力。
2023-03-06 cs.AI cs.CR cs.CV
BEAGLE: Forensics of Deep Learning Backdoor Attack for Better Defense
Purdue University（普渡大学）；Rutgers University（罗格斯大学）
深度学习后门攻击的威胁模型与传统网络攻击相似。攻击取证作为传统网络攻击的重要对抗手段，对于防御典型的后门攻击具有重要意义。在本文中，我们提出了一种新的模型后门取证技术。给定一些攻击样本，例如带有后门触发器的输入，这可能代表不同类型的后门，我们的技术会自动将它们分解为干净的输入和相应的触发器。然后，它根据触发器的属性对触发器进行聚类，以允许自动攻击分类和总结。后门扫描器可以自动合成，以找到其他模型中相同类型后门的其他实例。我们对2，532个预训练模型，10种流行攻击的评估以及与9种基线的比较表明，我们的技术非常有效。分解的干净输入和触发器非常类似于地面实况。合成的扫描程序大大优于现有扫描程序的普通版本，这些扫描程序很难推广到不同类型的攻击。
2023-01-16 cs.CR cs.LG
Explainability-based Backdoor Attacks Against Graph Neural Networks
Delft University of Technology（代尔夫特理工大学）；The University of Adelaide（阿德莱德大学）
后门攻击对神经网络模型构成了严重的威胁。后门模型会将攻击者嵌入的输入错误分类为攻击者选择的目标标签，而对其他良性输入则正常执行。已经有许多关于神经网络后门攻击的研究，但只有少数研究考虑了图神经网络（GNN）。因此，没有深入的研究来解释触发器注入位置对GNN上的后门攻击性能的影响。为了弥补这一差距，我们对GNN上的后门攻击的性能进行了实验研究。我们采用两种强大的GNN解释性方法来选择最佳的触发注入位置，以实现两个攻击目标-高攻击成功率和低清洁精度下降。我们在基准数据集和最先进的神经网络模型上的实验结果表明，该方法在选择触发器注入位置对GNN的后门攻击的有效性。例如，在节点分类任务中，使用GraphLIME选择的触发器注入位置的后门攻击达到了超过$84 \%$攻击的成功率，并且准确率下降小于$2.5 \%$
2021-07-13 cs.CR cs.LG
MM-BD: Post-Training Detection of Backdoor Attacks with Arbitrary Backdoor Pattern Types Using a Maximum Margin Statistic
Anomalee Inc.（Anomalee公司）；Pennsylvania State University（宾夕法尼亚州立大学）
本文提出 MM-BD，一种无需训练集和干净样本、不假设后门嵌入类型的训练后检测方法，利用 softmax 前输出的最大间隔统计量进行无监督异常检测，并提出了在 IEEE 木马移除竞赛中获亚军的通用缓解方法。
2023-08-06 cs.CR cs.LG
Unnoticeable Backdoor Attacks on Graph Neural Networks
The Pennsylvania State University（宾夕法尼亚州立大学）
图神经网络（GNNs）在节点分类和图分类等各种任务中取得了可喜的成果。最近的研究发现，GNN容易受到对抗攻击的攻击。然而，有效的图上的后门攻击仍然是一个悬而未决的问题。特别地，后门攻击通过将触发器和目标类标签附加到训练图中的一组节点来毒害图。然后，在中毒图上训练的后门GNN将被误导，一旦附加了触发器，就将测试节点预测为目标类。虽然有一些初步的努力，图后门攻击，我们的实证分析表明，他们可能需要一个大的攻击预算有效的后门攻击和注入的触发器可以很容易地检测和修剪。因此，在本文中，我们研究了一个新的问题，不可察觉的图后门攻击有限的攻击预算。为了充分利用攻击预算，我们建议在中毒阶段故意选择注入触发器和目标类标签的节点。采用自适应触发发生器来获取不易被注意到的有效触发。针对各种防御策略在真实数据集上进行的大量实验表明，我们提出的方法在进行有效的不明显的后门攻击方面是有效的。
2023-02-11 cs.CR cs.LG
Long-Tailed Backdoor Attack Using Dynamic Data Augmentation Operations
Stony Brook University（石溪大学）
本文首次探索长尾分布数据集上的后门攻击，提出动态数据增强操作（D$^2$AO）方法和特定样本触发器生成器，通过同步优化后门模型与触发器，在保持干净准确率的同时实现了最先进的攻击性能。
2024-10-16 cs.AI cs.CR cs.CV
Test-Time Detection of Backdoor Triggers for Poisoned Deep Neural Networks
Pennsylvania State University（宾夕法尼亚州立大学）
后门（特洛伊木马）攻击是针对深度神经网络（DNN）的新兴威胁。每当来自任何源类的测试样本嵌入后门模式时，被攻击的DNN将预测攻击者想要的目标类;同时正确分类干净（无攻击）的测试样本。现有的后门防御在检测DNN是否受到攻击以及在“后训练”机制中对后门模式进行逆向工程方面取得了成功：防御者可以访问要检查的DNN和独立收集的小而干净的数据集，但无法访问DNN的（可能中毒的）训练集。然而，这些防御既不能在触发后门映射的行为中抓住罪犯，也不能在测试时减轻后门攻击。在本文中，我们提出了一个“飞行中”防御后门攻击的图像分类，1）检测使用后门触发器在测试时，和2）推断类的起源（源类）检测到的触发器的例子。我们的防御的有效性进行了实验证明，对不同的强大的后门攻击。
2021-12-06 cs.CR cs.LG
Rethinking the Trigger-injecting Position in Graph Backdoor Attack
Delft University of Technology（代尔夫特理工大学）；Radboud University Nijmegen（拉德堡德大学奈梅亨分校）；Ikerlan research centre（伊克兰研究中心）
本文研究图神经网络后门攻击中触发器注入位置的影响，提出 MIAS 和 LIAS 两种策略，发现注入最不重要区域的 LIAS 通常攻击效果更好，并通过解释技术揭示了原因。
2023-04-18 cs.CR cs.LG
Black-box Detection of Backdoor Attacks with Limited Information and Data
Tsinghua University（清华大学）；RealAI（瑞莱智慧）；Institute for AI（人工智能研究院）；BNRist Center（北京国家信息科学技术研究中心）；Tsinghua-Bosch Joint ML Center（清华-博世联合机器学习中心）；THBI Lab（清华-北京生物医学工程研究院实验室）；Dept. of Comp. Sci. and Tech.（计算机科学与技术系）
尽管近年来深度神经网络（DNN）取得了快速发展，但它们在对抗性环境中很脆弱。恶意后门可以通过中毒训练数据集来嵌入模型中，其目的是使受感染的模型在特定触发器出现时在推理过程中给出错误的预测。为了减轻后门攻击的潜在威胁，已经提出了各种后门检测和防御方法。然而，现有的技术通常需要中毒的训练数据或白盒模型的访问，这在实践中通常是不可能的。在本文中，我们提出了一个黑盒后门检测（B3D）的方法来识别后门攻击只有查询访问模型。我们引入了一个无梯度的优化算法来逆向工程的潜在触发器为每个类，这有助于揭示存在的后门攻击。除了后门检测，我们还提出了一个简单的策略，使用已识别的后门模型进行可靠的预测。在数百个DNN模型上进行的大量实验证实了我们的方法在黑盒设置下对各种后门攻击的有效性。
2021-03-24 cs.CR cs.CV cs.LG
Explainability Matters: Backdoor Attacks on Medical Imaging
NYU Abu Dhabi（纽约大学阿布扎比分校）；NYU Tandon School of Engineering（纽约大学坦登工程学院）
深度神经网络已经被证明容易受到后门攻击的攻击，这些攻击可以在模型训练之前很容易地引入到训练集中。最近的工作集中在调查自然图像或玩具数据集上的后门攻击。因此，在复杂的现实世界应用中，后门的确切影响尚未完全了解，例如在医疗成像中，误诊可能非常昂贵。在本文中，我们探讨了后门攻击对使用胸部X射线摄影的多标签疾病分类任务的影响，假设攻击者可以操纵训练数据集来执行攻击。对最先进架构的广泛评估表明，通过将具有少量像素扰动的图像引入训练集中，攻击者可以成功执行后门，而无需参与训练过程。一个简单的3 $\times$ 3像素触发器可以在受感染图像集上实现高达1.00的受试者工作特征（AUROC）曲线下面积。在一组干净的图像中，后门神经网络仍然可以实现高达0.85的AUROC，突出了攻击的隐蔽性。随着基于深度学习的诊断系统在临床实践中的广泛使用，我们还展示了可解释性在这种情况下是如何不可或缺的，因为它可以在推理时间内识别空间定位的后门。
2020-12-30 cs.CR cs.CV cs.LG
Targeted Backdoor Attacks on Deep Learning Systems Using Data Poisoning
UC Berkeley（加州大学伯克利分校）
深度学习模型已经在许多任务上实现了高性能，因此已经应用于许多安全关键场景。例如，基于深度学习的人脸识别系统已被用于认证用户以访问许多安全敏感的应用程序，如支付应用程序。深度学习系统的这种使用为对手提供了足够的动机来针对这些系统执行攻击以用于其对抗目的。在这项工作中，我们考虑了一种新型的攻击，称为后门攻击，攻击者的目标是创建一个后门到一个基于学习的认证系统，使他可以很容易地绕过系统利用后门。具体地说，攻击者的目的是创建后门实例，从而误导受害者学习系统将后门实例分类为攻击者指定的目标标签。特别地，我们研究了后门中毒攻击，利用中毒策略实现后门攻击。与现有的所有工作不同的是，我们研究的中毒策略可以应用在一个非常弱的威胁模型下：（1）对手不知道受害者系统使用的模型和训练集;（2）攻击者只允许注入少量的中毒样本;（3）后门密钥即使是人类也很难注意到，以实现隐身。我们进行了评估，以证明后门攻击者只能注入大约50个中毒样本，同时达到90%以上的攻击成功率。我们也是第一个表明数据投毒攻击可以在不影响训练过程的情况下创建物理上可实现的后门的工作。我们的工作表明，后门中毒攻击对学习系统构成了真正的威胁，因此强调了进一步调查和提出防御策略的重要性。
2017-12-15 cs.CR cs.LG
Handcrafted Backdoors in Deep Neural Networks
Oregon State University（俄勒冈州立大学）；Google Brain（谷歌大脑）
当机器学习训练外包给第三方时，$backdoor$ $attacks$变得实用，因为训练模型的第三方可能会恶意地将隐藏的行为注入到原本准确的模型中。到目前为止，注入后门的机制仅限于$poisoning$。我们认为，供应链攻击者有更多的攻击技术，通过引入$handcrafted$攻击，直接操纵模型的权重。这种直接修改给我们的攻击者更多的自由度相比，中毒，我们表明它可以用来逃避许多后门检测或删除防御有效。在四个数据集和四个网络架构中，我们的后门攻击成功率保持在96%以上。我们的研究结果表明，需要进一步的研究来了解供应链后门攻击的完整空间。
2022-11-15 cs.CR cs.LG
Rethinking the Backdoor Attacks' Triggers: A Frequency Perspective
Virginia Tech（弗吉尼亚理工大学）；University of Michigan（密歇根大学）
后门攻击一直被认为是对深度学习的严重安全威胁。这种攻击可以使模型在具有预定义触发器的输入上表现异常，并且仍然在干净数据上保持最先进的性能。虽然后门攻击已经从攻击者和防御者双方在图像域中进行了彻底的调查，但到目前为止还没有在频域中进行分析。本文首先从频率的角度重新审视现有的后门触发器，并进行了全面的分析。我们的研究结果表明，许多当前的后门攻击表现出严重的高频伪影，这些伪影在不同的数据集和分辨率上持续存在。我们进一步证明了这些高频伪影能够以98.50%的检测率简单地检测现有的后门触发器，而无需事先了解攻击细节和目标模型。承认以前的攻击的弱点，我们提出了一种实用的方法来创建平滑的后门触发器没有高频文物，并研究其可检测性。我们表明，现有的防御工程可以受益于将这些顺利触发到他们的设计考虑。此外，我们表明，检测器调谐到更强的光滑触发器可以推广到看不见的弱光滑触发器。简而言之，我们的工作强调了在深度学习中设计后门攻击和防御时考虑频率分析的重要性。
2022-01-25 cs.CR cs.LG
Backdoor Attacks on Time Series: A Generative Approach
The University of Melbourne（墨尔本大学）；Fudan University（复旦大学）
后门攻击已经成为深度学习模型的主要安全威胁之一，因为它们可以通过在训练时将后门触发器预先注入模型来轻松控制模型的测试时间预测。虽然后门攻击已被广泛研究的图像，很少有作品调查的威胁后门攻击的时间序列数据。为了填补这一空白，在本文中，我们提出了一种新的生成方法的时间序列后门攻击对基于深度学习的时间序列分类器。后门攻击有两个主要目标：高隐蔽性和高攻击成功率。我们发现，与图像相比，在时间序列上实现这两个目标可能更具挑战性。这是因为时间序列具有较少的输入维度和较低的自由度，使得很难在不损害隐蔽性的情况下实现高攻击成功率。我们的生成方法通过生成与实时序列模式一样逼真的触发模式来解决这一挑战，同时实现高攻击成功率，而不会导致干净准确性的显着下降。我们还表明，我们提出的攻击是抵抗潜在的后门防御。此外，我们提出了一种新的通用生成器，它可以用一个允许通用攻击的生成器来毒害任何类型的时间序列，而不需要为新的时间序列数据集微调生成模型。
2023-02-05 cs.CR cs.LG
Do Backdoors Assist Membership Inference Attacks?
Osaka University（大阪大学）；NTT Social Informatics Laboratories（NTT社会信息学实验室）
当攻击者向机器学习模型提供有毒样本时，隐私泄露（例如推断样本是否包括在模型的训练中的成员推断攻击）通过将样本移动到离群值而变得有效。然而，攻击可以被检测到，因为推理精度由于有毒样本而恶化。在本文中，我们讨论了一个\textit{backdoor-assisted membership inference attack}，一种新的成员推断攻击的基础上后门，返回对手的预期输出的触发样本。通过对学术基准数据集的实验，我们发现了三个关键的见解。我们首先证明了后门辅助的成员推断攻击是不成功的。其次，当我们分析损失分布以了解不成功结果的原因时，我们发现后门无法区分训练样本和非训练样本的损失分布。换句话说，后门不会影响干净样本的分发。第三，我们还表明，毒物和触发样本激活不同分布的神经元。具体来说，后门使任何干净的样本成为内围值，而不是中毒样本。因此，我们确认，后门不能帮助成员推理。
2023-03-22 cs.CR cs.LG
Watch Out for the Lifespan: Evaluating Backdoor Attacks Against Federated Model Adaptation
CEA-Leti（CEA-莱提实验室）；Centre CMP（CMP中心）；Univ. Grenoble Alpes（格勒诺布尔阿尔卑斯大学）；Mines Saint-Etienne（圣艾蒂安矿业学院）
本文研究了LoRA对联邦学习中后门攻击的影响，发现低秩适应可延长后门寿命，揭示了后门攻击评估中的关键问题。
2026-02-18 cs.CR cs.LG
Widen The Backdoor To Let More Attackers In
University of Oxford（牛津大学）
随着协作学习和数据汇集外包变得越来越普遍，试图操纵学习过程的恶意行为者（或代理人）在相互竞争时面临额外的障碍。在后门攻击中，对手试图通过将恶意样本引入训练数据来毒害模型，对手必须考虑到额外后门攻击者的存在可能会阻碍他们自己的后门的成功。在本文中，我们研究了多代理后门攻击的场景，其中多个非合谋攻击者在共享数据集中制作并插入触发样本，该数据集由模型（防御者）用于学习任务。我们发现了一个明显的逆火现象：增加攻击者的数量减少了每个攻击者的攻击成功率（ASR）。然后，我们利用这种现象来最大限度地减少攻击者的集体ASR，并通过（i）人工增加攻击者的数量，以及（ii）索引以从模型中删除攻击者的子数据集进行推理，从而最大限度地提高防御者的鲁棒性准确性，从而提出2种防御方法。
2021-10-09 cs.CR cs.LG
A Knowledge Distillation-Based Backdoor Attack in Federated Learning
University of Science and Technology of China（中国科学技术大学）
联邦学习（FL）是一种新型的分散式机器学习框架。由于FL的分散特性，它在训练过程中容易受到对抗攻击，例如后门攻击。后门攻击旨在将后门注入到机器学习模型中，使得该模型将使用某些特定的后门触发器对测试样本做出任意不正确的行为。尽管已经介绍了FL的一系列后门攻击方法，但也有防御它们的方法。许多防御方法都是利用带后门模型的异常特征或带后门模型与正常模型的差异来进行防御的。为了绕过这些防御，我们需要减少差异和异常特征。我们发现这种异常的一个根源是后门攻击在毒化数据时会直接翻转数据的标签。然而，目前对FL中的后门攻击的研究主要集中在减少带有后门的模型与常规模型之间的差异上。本文提出了对抗性知识蒸馏（ADVKD）方法，该方法将知识蒸馏和后门攻击相结合，通过知识蒸馏减少标签翻转导致的模型结果中的异常特征，从而使模型能够绕过防御。与现有的方法相比，我们表明，ADVKD不仅可以达到更高的攻击成功率，但也成功地绕过防御时，其他方法失败。为了进一步探索ADVKD的性能，我们测试了不同场景下参数对ADVKD性能的影响。根据实验结果，总结了在不同场景下如何调整参数以获得更好的性能。我们还使用了几种方法来可视化不同的攻击效果，并解释ADVKD的有效性。
2022-08-12 cs.CR cs.LG
Is the Trigger Essential? A Feature-Based Triggerless Backdoor Attack in Vertical Federated Learning
Key Laboratory of High Confidence Software Technologies (Peking University), Ministry of Education（高可信软件技术重点实验室（北京大学））；School of Computer Science, Peking University（北京大学计算机学院）；Zhongguancun Laboratory（中关村实验室）
本文提出了一种基于特征的无触发后门攻击，揭示了垂直联邦学习中新的攻击路径，优于现有方法并具备高鲁棒性。
2026-02-24 cs.CR cs.LG
Beyond Traditional Threats: A Persistent Backdoor Attack on Federated Learning
College of Computer Science and Technology, Harbin Engineering University（哈尔滨工程大学计算机科学与技术学院）；Southampton Ocean Engineering Joint Institute, Harbin Engineering University（哈尔滨工程大学南安普顿海洋工程联合学院）
针对联邦学习后门易被良性更新稀释的问题，提出全组合后门攻击方法FCBA，通过聚合更多组合触发器信息构建更完整的后门模式，显著提升了攻击持久性和成功率，优于SOTA方法。
2024-04-26 cs.AI cs.CR cs.CV
Backdoor Attacks on Federated Learning with Lottery Ticket Hypothesis
Huazhong University of Science and Technology（华中科技大学）
与数据中心的服务器相比，联邦学习中的边缘设备通常具有更有限的计算和通信资源。最近，先进的模型压缩方法，如彩票假设，已经在联邦学习上实现，以减少模型大小和通信成本。然而，后门攻击可能会危及其在联邦学习场景中的实现。恶意边缘设备使用中毒的私有数据训练客户端模型，并将参数上传到中心，在不知情的聚合优化后向全局共享模型嵌入后门。在推理阶段，带有后门的模型将具有特定触发器的样本分类为一个目标类别，而清洁样本的推理精度略有下降。在这项工作中，我们的经验表明，彩票模型同样容易受到后门攻击的原始密集模型，和后门攻击可以影响提取的门票的结构。基于票据之间的相似性，我们为联邦学习提供了一种可行的防御后门攻击的各种数据集。
2021-09-22 cs.CR cs.LG
Provable one-poison backdoor attacks on linear models and ReLU neural networks
University of Lübeck（吕贝克大学）；Technische Hochschule Lübeck（吕贝克技术大学）
本文提出并证明了在仅使用一个毒样本的情况下，可通过线性回归、线性分类和2层ReLU神经网络实现无错误的后门注入，且对良性任务影响有限。
2026-08-28 cs.CR cs.LG
Low-Loss Subspace Compression for Clean Gains against Multi-Agent Backdoor Attacks
University of Oxford（牛津大学）
最近对多智能体后门攻击的研究证明了逆火效应，这是一种对后门攻击的自然防御，其中后门输入是随机分类的。这产生了低精度w.r.t.的副作用。干净的标签，这促使本文的工作建设的多代理后门防御，最大限度地提高准确性w.r.t.清洁标签，尽量减少有毒标签。基于代理动力学和低损失子空间构造，我们贡献了三种防御措施，提高了多代理后门的鲁棒性。
2022-09-20 cs.CR cs.LG cs.MA
Fine-Pruning: Defending Against Backdooring Attacks on Deep Neural Networks
New York University（纽约大学）
深度神经网络（DNN）在广泛的分类任务中提供出色的性能，但其训练需要大量的计算资源，并且通常外包给第三方。最近的研究表明，外包训练引入了一种风险，即恶意训练者将返回一个后门DNN，该DNN在大多数输入上表现正常，但在存在只有攻击者才知道的触发器时，会导致有针对性的错误分类或降低网络的准确性。在本文中，我们提供了第一个有效的防御后门攻击的DNN。我们实现了三个后门攻击从以前的工作，并使用它们来调查两个有前途的防御，修剪和微调。我们表明，两者本身都不足以抵御复杂的攻击者。然后，我们评估了精细修剪，修剪和微调的组合，并表明它成功地削弱甚至消除了后门，即，在某些情况下，将攻击成功率降低到0%，对于干净（非触发）输入，准确度仅下降0.4%。我们的工作为防御深度神经网络中的后门攻击迈出了第一步。
2018-05-30 cs.CR cs.LG
Persistent Backdoor Attacks in Continual Learning
Saint Louis University（圣路易斯大学）
针对持续学习场景下后门攻击的持久性研究不足的问题，提出两种低干预的持久后门攻击方法，经测试在多种触发器和持续学习算法下均有高成功率且能规避主流防御。
2025-07-29 cs.CR cs.LG
Certified Robustness of Nearest Neighbors against Data Poisoning and Backdoor Attacks
Duke University（杜克大学）
数据投毒攻击和后门攻击旨在通过修改、添加和/或移除一些精心选择的训练样本来破坏机器学习分类器，使得被破坏的分类器按照攻击者的期望做出不正确的预测。针对数据投毒攻击和后门攻击的最先进的认证防御的关键思想是创建一个多数投票机制来预测测试示例的标签。此外，每个投票者都是在训练数据集的子集上训练的基础分类器。经典的简单学习算法如k近邻（kNN）和半径近邻（rNN）具有固有的多数表决机制。在这项工作中，我们表明，在kNN和rNN的内在多数表决机制已经提供了认证的鲁棒性保证，对数据投毒攻击和后门攻击。此外，我们对MNIST和CIFAR 10的评估结果表明，kNN和rNN的内在认证鲁棒性保证优于最先进的认证防御所提供的保证。我们的研究结果可作为未来针对数据投毒攻击和后门攻击的认证防御的标准基线。
2021-12-02 cs.CR cs.LG
Mitigating backdoor attacks in LSTM-based Text Classification Systems by Backdoor Keyword Identification
School of Computer Engineering and Science（计算机工程与科学学院）；Shanghai University（上海大学）
事实证明，深度神经网络正面临着一种名为后门攻击的新威胁，攻击者可以通过毒化训练数据集将后门注入神经网络模型。当输入中含有某种称为后门的触发模式时，带有后门的模型将执行恶意任务，如攻击者指定的错误分类。在文本分类系统中，插入模型中的后门可能会导致垃圾邮件或恶意语音逃避检测。以往的工作主要集中在计算机视觉中的后门攻击的防御上，对于文本分类中的RNN后门攻击的防御方法研究较少。本文通过分析LSTM内部神经元的变化，提出了一种称为后门关键字识别（BKI）的防御方法，以减轻攻击者通过数据投毒对基于LSTM的文本分类进行的后门攻击。这种方法可以识别和排除中毒样本制作插入后门到模型中的训练数据，而无需验证和可信的数据集。我们评估我们的方法在四个不同的文本分类数据集：IMDB，DBpedia本体，20个新闻组和路透社-21578数据集。无论触发语句是什么，它都能实现良好的性能。
2021-03-15 cs.CR cs.LG stat.ML
BAAAN: Backdoor Attacks Against Autoencoder and GAN-Based Machine Learning Models
CISPA Helmholtz Center for Information Security（亥姆霍兹信息安全研究中心）；Cyber-Defence Campus, armasuisse Science and Technology（瑞士联邦国防、民防和体育部科技局网络防御园区）
自动编码器和生成对抗网络（GANs）的巨大进步导致它们应用于多个关键任务，例如欺诈检测和净化数据生成。这种日益增长的采用促进了对这些模型所产生的安全和隐私风险的研究。然而，以前的工作主要集中在成员推断攻击。在这项工作中，我们探索了对机器学习模型最严重的攻击之一，即后门攻击，针对自动编码器和GANs。后门攻击是一种训练时间攻击，其中对手在目标模型中实现只能由秘密触发器激活的隐藏后门。最先进的后门攻击主要针对基于分类的任务。我们将后门攻击的适用性扩展到自动编码器和基于GAN的模型。更具体地说，我们提出了针对自动编码器和GANs的第一个后门攻击，当后门被激活时，对手可以控制解码或生成的图像。我们的研究结果表明，对手可以构建一个后门自动编码器，为所有后门输入返回一个目标输出，同时在干净的输入上表现得完全正常。同样，对于GANs，我们的实验表明，当后门被激活时，对手可以从不同的分布中生成数据，而当后门没有被激活时，对手可以保持相同的效用。
2020-10-08 cs.AI cs.CR cs.LG
Heterogeneous Graph Backdoor Attack
Old Dominion University（旧 Dominion 大学）
首次揭示HGNNs对现有图后门攻击的脆弱性，提出专为HGNNs设计的HGBA攻击，通过基于关系的触发器机制和后门元路径，以低预算实现高效隐蔽的后门注入与激活，并改进了攻击效果评估协议。
2025-05-30 cs.AI cs.CR cs.LG
Label-Consistent Backdoor Attacks
MIT（麻省理工学院）
深度神经网络已被证明容易受到后门攻击。具体来说，通过向训练集中注入少量恶意构造的输入，攻击者能够在训练模型中植入后门。这个后门可以在推理过程中被后门触发器激活，以完全控制模型的行为。虽然这种攻击非常有效，但它们主要依赖于对手注入任意的输入，这些输入通常是公然错误的。这些样本在人类检查时会引起怀疑，可能会揭示攻击。因此，为了使后门攻击不被发现，保持标签一致性至关重要--注入的输入与标签一致的条件。在这项工作中，我们利用对抗性扰动和生成模型来执行高效但标签一致的后门攻击。我们的方法是基于注入看似合理但难以分类的输入，因此导致模型依赖于（学习者）后门触发器。
2019-12-06 cs.CR cs.LG stat.ML
Regula Sub-rosa: Latent Backdoor Attacks on Deep Neural Networks
University of Chicago（芝加哥大学）
最近的工作提出了对深度神经网络（DNN）进行后门攻击的概念，其中错误行为隐藏在“正常”模型中，仅由非常特定的输入触发。然而，在实践中，这些攻击难以执行，并且受到通过迁移学习共享模型的高度约束。对手有一个很小的窗口，在此期间，他们必须在部署学生模型之前对其进行破坏。在本文中，我们描述了一个更强大的变种后门攻击，潜在的后门，其中隐藏的规则可以嵌入到一个单一的“教师”模型，并自动继承所有的“学生”模型通过迁移学习过程。我们表明，潜在的后门可以在各种应用环境中非常有效，并通过对交通标志识别，实验室志愿者的虹膜识别和公众人物（政治家）的面部识别的现实世界的攻击验证其实用性。最后，我们评估了4种潜在的防御措施，发现只有一种可以有效地破坏潜在的后门，但可能会导致分类准确性的代价。
2019-05-24 cs.CR cs.LG
