IU: Imperceptible Universal Backdoor Attack
National Yang Ming Chiao Tung University
本文提出了一种隐蔽的通用后门攻击方法，利用图卷积网络建模类间关系，实现高攻击成功率的同时保持隐蔽性。
2026-02-28 cs.CR cs.CV cs.LG
Imperceptible and Robust Backdoor Attack in 3D Point Cloud
Tsinghua Shenzhen International Graduate School, Tsinghua University（清华大学深圳国际研究生院）；Peng Cheng Laboratory（鹏城实验室）；School of Data Science, the Chinese University of Hong Kong, Shenzhen (CUHK-Shenzhen)（香港中文大学（深圳）数据科学学院）；Shenzhen Research Institute of Big Data (SBRID)（深圳大数据研究院）
随着深度学习在处理点云数据方面的蓬勃发展，最近的工作表明，后门攻击对3D视觉应用构成了严重的安全威胁。攻击者通过使用触发器毒害一些训练样本来将后门注入3D模型，使得后门模型在干净样本上表现良好，但在触发器模式出现时表现恶意。现有的攻击通常将一些额外的点插入到点云中作为触发器，或者利用线性变换（例如，旋转）来构造中毒点云。然而，这些中毒样本的影响可能会被一些常用的3D点云预处理技术削弱甚至消除，例如，离群值去除或旋转增强。在本文中，我们提出了一种新的不可感知和强大的后门攻击（IRBA）来应对这一挑战。我们利用一个非线性和局部变换，称为加权局部变换（WLT），构造中毒的样本与独特的转换。由于WLT中存在多个超参数和随机性，很难产生两个相似的变换。因此，具有独特变换的中毒样品可能对上述预处理技术具有抗性。此外，由于固定的WLT所引起的失真的可控性和平滑性，所产生的中毒样本对于人类检查也是不可感知的。对三个基准数据集和四个模型进行的广泛实验表明，即使采用预处理技术，IRBA在大多数情况下也能实现80%以上的ASR，这显着高于之前的最新攻击。
2022-08-17 cs.CR cs.CV
TooBad: Backdoor Diffusion Models with Ultra-Low Poison Rate and Imperceptible Trigger
INRS, University of Quebec（INRS大学）
提出TooBad框架，通过针对扩散模型的触发器优化技术，在极低投毒率（0.5%）下实现高攻击成功率（>85%），并保持高隐蔽性和实用性。
2026-06-23 cs.CR cs.CV
AS-FIBA: Adaptive Selective Frequency-Injection for Backdoor Attack on Deep Face Restoration
School of Computer Science and Engineering（计算机科学与工程学院）；Nanjing University of Science and Technology（南京理工大学）
本文提出AS-FIBA框架，通过频率域自适应生成输入特定触发器，以难以察觉的方式攻击深度人脸复原模型，引导其输出轻微退化结果，实验证明其隐蔽性优于WaNet、ISSBA和FIBA等现有方法。
2025-04-08 cs.CV
L-RED: Efficient Post-Training Detection of Imperceptible Backdoor Attacks without Access to the Training Set
Anomalee Inc.（Anomalee公司）；School of EECS, Pennsylvania State University（宾夕法尼亚州立大学EECS学院）
后门攻击（BA）是一种新兴的对抗攻击形式，通常针对深度神经网络图像分类器。攻击者的目标是让分类器学习在来自一个或多个源类的测试图像包含后门模式时分类到目标类，同时在所有干净的测试图像上保持高准确性。针对BA的基于逆向工程的防御（RED）不需要访问训练集，而只需要访问独立的干净数据集。不幸的是，大多数现有的RED依赖于一个不切实际的假设，即除了目标类之外的所有类都是攻击的源类。不依赖于此假设的RED通常需要大量干净的图像和繁重的计算。在本文中，我们提出了一种基于拉格朗日的RED（L-RED），不需要知道源类的数量（或是否存在攻击）。我们的防御需要很少的干净图像来有效地检测BA，并且计算效率很高。值得注意的是，我们在CIFAR-10上的实验中，每类只使用两张干净的图像检测到60个BA中的56个。
2020-10-21 cs.CV cs.LG
Human Imperceptible Attacks and Applications to Improve Fairness
Stanford University（斯坦福大学）；VinAI
现代神经网络能够在涉及对象分类和图像生成的许多任务中至少与人类一样好地执行。然而，人类无法察觉的小扰动可能会显著降低训练有素的深度神经网络的性能。我们提供了一个分布式鲁棒优化（DRO）框架，该框架集成了基于人类的图像质量评估方法，以设计人类无法感知但对深层神经网络有重大损害的最佳攻击。通过大量的实验，我们表明，我们的攻击算法比其他国家的最先进的人类不可感知的攻击方法产生更好的质量（不易察觉的人类）的攻击。此外，我们证明了DRO训练使用我们最佳设计的人类不可感知的攻击，可以提高组公平性图像分类。最后，我们提供了一个算法实现，以加快DRO训练显着，这可能是独立的利益。
2021-11-30 cs.CV
Reflection Backdoor: A Natural Backdoor Attack on Deep Neural Networks
最近的研究表明，DNN可能会受到训练时精心策划的后门攻击的损害。后门攻击通过将后门模式注入到一小部分训练数据中来将后门安装到受害者模型中。在测试时，受害者模型在干净的测试数据上表现正常，但只要测试示例中存在后门模式，就始终预测特定的（可能不正确的）目标类。虽然现有的后门攻击是有效的，但它们并不隐秘。对训练数据或标签进行的修改通常是可疑的，并且可以通过简单的数据过滤或人工检查容易地检测到。在本文中，我们提出了一种新型的后门攻击的灵感来自一个重要的自然现象：反射。使用物理反射模型的数学建模，我们提出反射后门（Refool）植物反射作为后门到受害者模型。我们在3个计算机视觉任务和5个数据集上证明，Refool可以以高成功率攻击最先进的DNN，并且可以抵抗最先进的后门防御。
2020-07-13 cs.CV
Compression-Resistant Backdoor Attack against Deep Neural Networks
Nanjing University of Aeronautics and Astronautics（南京航空航天大学）
本文提出基于特征一致性训练的抗压缩后门攻击，通过最小化后门图像与其压缩版本的特征差异，使攻击对JPEG、JPEG2000、WEBP等多种压缩具有鲁棒性，攻击成功率超过97%，并具备对未见压缩算法的泛化能力。
2022-01-03 cs.CV
Clean-Label Backdoor Attacks on Video Recognition Models
Fudan University（复旦大学）；The University of Melbourne（墨尔本大学）
深度神经网络（DNN）容易受到后门攻击的攻击，这种攻击可以通过毒化训练数据来隐藏DNN中的后门触发器。后门模型在干净的测试图像上表现正常，但始终为包含触发模式的任何测试示例预测特定的目标类。因此，后门攻击很难被检测到，并且在现实世界的应用中引起了严重的安全问题。到目前为止，后门研究主要是在图像领域进行的图像分类模型。在本文中，我们证明了现有的图像后门攻击在视频上的效果要差得多，并概述了现有攻击可能失败的4个严格条件：1）具有更多输入维度的场景（例如，视频），2）具有高分辨率的场景，3）具有大量类和每个类很少的示例的场景（“稀疏数据集”），以及4）访问正确标签的攻击（例如，清洁标签攻击）。我们建议使用通用的对抗触发器作为后门触发器来攻击视频识别模型，这种情况下，后门攻击可能会受到上述4个严格条件的挑战。我们在基准视频数据集上表明，我们提出的后门攻击可以通过仅毒害一小部分训练数据（而不改变标签）来操纵最先进的视频模型，成功率很高。我们还表明，我们提出的后门攻击是抵抗国家的最先进的后门防御/检测方法，甚至可以应用于改善图像后门攻击。我们提出的视频后门攻击不仅作为一个强大的基线，以提高视频模型的鲁棒性，但也提供了一个新的视角，更多地了解更强大的后门攻击。
2020-06-16 cs.CV
Progressive Backdoor Erasing via connecting Backdoor and Adversarial Attacks
Xi’an Jiaotong University（西安交通大学）；Alibaba Group（阿里巴巴集团）；Wormpex AI Research（Wormpex AI研究院）
众所周知，深度神经网络（DNN）容易受到后门攻击和对抗攻击。在文献中，这两种类型的攻击通常被视为不同的问题，并分别解决，因为它们分别属于训练时间和推理时间攻击。然而，在本文中，我们发现了它们之间有趣的联系：对于植入后门的模型，我们观察到其对抗性示例与其触发图像具有相似的行为，即，都激活了同一组DNN神经元。它表明，在模型中植入后门将显著影响模型的对抗性示例。基于这些观察，提出了一种新的渐进后门擦除（PBE）算法，通过利用非目标对抗攻击来逐步净化受感染的模型。与以前的后门防御方法不同，我们的方法的一个显著优点是，即使在干净的额外数据集不可用时，它也可以删除后门。我们的经验表明，对5个国家的最先进的后门攻击，我们的PBE可以有效地删除后门没有明显的性能下降干净的样本，并显着优于现有的防御方法。
2022-12-27 cs.CV
Robust Backdoor Attacks on Object Detection in Real World
Zhejiang University of Science and Technology（浙江科技大学）；Institute of Software, Chinese Academy of Sciences（中国科学院软件研究所）；Beijing Jiaotong University（北京交通大学）
本文针对真实世界目标检测中的后门攻击易受距离和光照影响的问题，提出可变尺寸触发器和恶意对抗训练方法，构建鲁棒后门攻击RBA以提升真实场景攻击成功率。
2023-09-16 cs.CV
SAIF: Sparse Adversarial and Imperceptible Attack Framework
Northeastern University（东北大学）；Google（谷歌）
本研究提出稀疏对抗与可解释攻击框架SAIF，利用Frank-Wolfe算法优化低幅度、稀疏的不可感知扰动，揭示分类器脆弱性，并在ImageNet上优于现有稀疏攻击方法。
2025-09-12 cs.CV
Adv-Makeup: A New Imperceptible and Transferable Attack on Face Recognition
The University of Texas at Dallas（德克萨斯大学达拉斯分校）；Youtu Lab, Tencent（腾讯优图实验室）；Fudan University（复旦大学）
深度神经网络，特别是人脸识别模型，已被证明容易受到数字和物理对抗性示例的影响。然而，现有的对抗人脸识别系统的例子要么缺乏可移植性的黑箱模型，或未能在实践中实现。本文提出了一种统一的对抗性人脸生成方法- Adv-Makeup，该方法可以在黑盒设置下实现不可感知和可转移的攻击。Adv-Makeup开发了一种任务驱动的化妆生成方法，该方法具有混合模块，可以在面部的眼眶区域合成难以察觉的眼影。为了实现可移植性，Adv-Makeup实现了细粒度的元学习对抗攻击策略，以从各种模型中学习更多的一般攻击特征。与现有技术相比，足够的可视化结果表明，Adv-Makeup能够在数字和物理场景下产生更多的不可感知攻击。同时，大量的定量实验表明，Adv-Makeup能够显著提高黑盒设置下的攻击成功率，甚至能够攻击商业系统。
2021-05-07 cs.CV
A Dual-Purpose Framework for Backdoor Defense and Backdoor Amplification in Diffusion Models
INRS, University of Québec（魁北克大学INRS）
提出PureDiffusion双重目的框架，通过新损失函数实现触发器反转以进行后门检测防御，并利用反转算法强化原始触发器放大攻击，检测准确率近乎完美且攻击成功率接近100%。
2025-03-02 cs.CV
BadHash: Invisible Backdoor Attacks against Deep Hashing with Clean Label
Huazhong University of Science and Technology（华中科技大学）；Deakin University（迪肯大学）；Harbin Institute of Technology（哈尔滨工业大学）
由于其强大的特征学习能力和高效率，深度哈希在大规模图像检索中取得了巨大的成功。与此同时，大量的研究表明，深度神经网络（DNN）容易受到对抗性样本的影响，探索针对深度哈希的对抗攻击吸引了许多研究工作。然而，后门攻击，另一个著名的威胁DNN，还没有被研究的深度哈希。虽然在图像分类领域已经提出了各种各样的后门攻击，但是现有的方法都没有实现真正的不可见的后门攻击，即同时享有不可见的触发和干净的标签设置，也不能满足图像检索后门的内在需求。在本文中，我们提出了BadHash，这是第一个针对深度哈希的基于生成的不可感知的后门攻击，它可以有效地生成不可见的和输入特定的带干净标签的有毒图像。具体来说，我们首先提出了一个新的条件生成对抗网络（cGAN）管道来有效地生成中毒样本。对于任何给定的良性图像，它都试图用一个独特的无形触发器生成一个看起来自然的有毒对应物。为了提高攻击效率，引入基于标签的对比学习网络LabCLN，利用不同标签的语义特征，混淆和误导目标模型学习嵌入式触发器。最后，在哈希空间上探讨了图像检索中的后门攻击的机理。在多个基准数据集上进行的大量实验表明，BadHash可以生成不可感知的中毒样本，具有较强的攻击能力和可移植性。
2022-07-13 cs.CV
Partial train and isolate, mitigate backdoor attack
本文提出一种部分冻结模型训练方法（PT），先训练模型隔离可疑中毒样本，再微调干净模型，以缓解后门攻击。
2024-06-06 cs.CV
Energy Backdoor Attack to Deep Neural Networks
Univ. Rennes, INSA Rennes, CNRS（雷恩大学、雷恩国立应用科学学院、法国国家科学研究中心）；Khalifa University（哈利法大学）；National Higher School of Telecommunications and ICT（国立电信与信息和通信技术高等学校）；National Institute of Health and Medical Research（国家健康与医学研究院）
针对深度神经网络能量后门攻击研究空白，提出分后门注入与隐匿两阶段的攻击方法，经多模型与数据集验证可提升触发样本能耗且不影响干净输入性能，揭示了DNN的相关脆弱性。
2025-01-14 cs.CV
Breaking the False Sense of Security in Backdoor Defense through Re-Activation Attack
National University of Singapore（新加坡国立大学）
本文发现现有后门防御策略仅使后门休眠而未消除，提出通过再激活攻击利用微小扰动重新激活休眠后门，揭示了防御模型的虚假安全感，强调了设计更鲁棒防御机制的紧迫性。
2024-05-30 cs.CV
Personalization as a Shortcut for Few-Shot Backdoor Attack against Text-to-Image Diffusion Models
Nanyang Technological University（南洋理工大学）；New York University（纽约大学）；Agency for Science, Technology and Research (A*STAR)（新加坡科技研究局）；East China Normal University（华东师范大学）
本研究揭示文本到图像扩散模型通过个性化方法存在零日后门漏洞，提出基于nouveau-token的高效攻击，较传统方法更精确且隐蔽。
2023-12-20 cs.CV
Hidden Trigger Backdoor Attacks
University of Maryland, Baltimore County（马里兰大学巴尔的摩县分校）
随着深度学习算法在各个领域的成功，研究对抗攻击以保护现实世界应用中的深度模型已经成为一个重要的研究课题。后门攻击是对深度网络的一种对抗攻击，攻击者向受害者提供有毒数据以训练模型，然后通过在测试时显示特定的小触发模式来激活攻击。大多数最先进的后门攻击要么提供可以通过目视检查识别的错误标记的中毒数据，揭示中毒数据中的触发器，要么使用噪声来隐藏触发器。我们提出了一种新形式的后门攻击，其中中毒数据看起来很自然，具有正确的标签，更重要的是，攻击者将触发器隐藏在中毒数据中，并将触发器保密，直到测试时间。我们对各种图像分类设置进行了广泛的研究，并表明我们的攻击可以通过在看不见的图像上的随机位置粘贴触发器来欺骗模型，尽管该模型在干净的数据上表现良好。我们还表明，我们提出的攻击不能很容易地捍卫使用国家的最先进的防御算法的后门攻击。
2019-12-21 cs.CV
Defending Text-to-image Diffusion Models: Surprising Efficacy of Textual Perturbations Against Backdoor Attacks
ASUS（华硕）；National Taiwan University（台湾大学）；University of Michigan（密歇根大学）
本文提出利用文本扰动这一简单策略有效防御文本到图像扩散模型的后门攻击，并从文本嵌入空间和交叉注意力图角度分析其有效性，为未来攻防策略提供见解。
2024-08-28 cs.CV
Marksman Backdoor: Backdoor Attacks with Arbitrary Target Class
Baidu Research（百度研究院）
近年来，机器学习模型已被证明容易受到后门攻击。在这种攻击下，攻击者将隐形后门嵌入到训练模型中，使得受损模型在干净输入上正常运行，但会根据攻击者对带有触发器的恶意构造输入的控制进行错误分类。虽然这些现有的攻击非常有效，但对手的能力是有限的：给定一个输入，这些攻击只能导致模型对单个预定义或目标类别进行错误分类。相比之下，本文利用了一种新的后门攻击，具有更强大的有效载荷，表示为Marksman，其中对手可以任意选择哪个目标类的模型将错误分类在推理过程中的任何输入。为了实现这一目标，我们建议将触发函数表示为类条件生成模型，并将后门注入到约束优化框架中，其中触发函数学习生成最佳触发模式以随意攻击任何目标类，同时将此生成后门嵌入到训练模型中。给定学习的攻击者生成函数，在推断期间，对手可以指定任意的后门攻击目标类，并且相应地创建使模型向该目标类分类的适当触发器。我们的经验表明，该框架实现了高攻击性能，同时保留了几个基准数据集，包括MNIST，CIFAR10，GTSRB和TinyImageNet的清洁数据性能。建议的神枪手后门攻击也可以很容易地绕过现有的后门防御，原来设计的后门攻击与一个单一的目标类。我们的工作朝着理解实践中后门攻击的广泛风险迈出了重要的一步。
2022-10-17 cs.CR cs.CV
Imperceptible Adversarial Attack via Invertible Neural Networks
National University of Defense Technology（国防科技大学）
通过利用辅助梯度信息添加扰动或丢弃良性图像的现有细节是生成对抗性示例的两种常见方法。虽然视觉不可感知性是对抗性示例的期望属性，但是传统的对抗攻击仍然生成可追踪的对抗性扰动。在本文中，我们介绍了一种新的对抗攻击通过可逆神经网络（AdvINN）的方法来产生强大的和不可感知的对抗的例子。具体来说，AdvINN充分利用了可逆神经网络的信息保存特性，从而通过同时添加目标类的类特定语义信息和丢弃原始类的判别信息来生成对抗性示例。在CIFAR-10、CIFAR-100和ImageNet-1 K上进行的大量实验表明，与现有方法相比，所提出的AdvINN方法可以产生更少的不可感知的对抗图像，并且与其他对抗攻击相比，AdvINN可以产生更强大的对抗示例，具有更高的置信度。
2023-01-17 cs.CV eess.IV
Parasite: A Steganography-based Backdoor Attack Framework for Diffusion Models
提出基于隐写术的后门攻击框架Parasite，用于扩散模型的图像到图像任务，通过隐藏触发器实现灵活攻击，并有效绕过主流防御，后门检测率为0%。
2025-09-11 cs.AI cs.CV
Enhancing Clean Label Backdoor Attack with Two-phase Specific Triggers
Beijing Institute of Technology（北京理工大学）
后门攻击威胁着深度神经网络（DNN）。对于隐秘性，研究人员提出了清洁标签后门攻击，这要求对手不改变中毒训练数据集的标签。由于图像-标签对正确，清洁标签设置使攻击更加隐蔽，但仍然存在一些问题：首先，传统的中毒训练数据的方法是无效的;其次，传统的触发器是不隐蔽的，仍然是可感知的。为了解决这些问题，我们提出了一个两阶段和图像特定的触发器生成方法，以加强清洁标签后门攻击。我们的方法是（1）强大的：我们的触发器都可以促进两个阶段（即，后门植入和激活阶段）同时进行后门攻击;（2）隐秘性：我们的触发器是从每个图像中生成的。它们是特定于图像的，而不是固定的触发器。大量实验表明，我们的方法在多种评估指标下可以获得出色的攻击成功率~（98.98%）、中毒率~（5%）、高隐蔽性，并且可以抵抗后门防御方法。
2022-06-10 cs.CR cs.CV
Attacking by Aligning: Clean-Label Backdoor Attacks on Object Detection
Hong Kong University of Science and Technology（香港科技大学）
本文针对目标检测提出一种无需修改标注的干净标签后门攻击方法，聚焦目标消失与目标生成攻击，在 MSCOCO2017 上以 5% 投毒率实现超过 92% 的攻击成功率。
2023-09-16 cs.AI cs.CV
Look, Listen, and Attack: Backdoor Attacks Against Video Action Recognition
King Abdullah University of Science and Technology (KAUST)（阿卜杜拉国王科技大学）；Saudi Data and Artificial Intelligence Authority (SDAIA)（沙特数据与人工智能管理局）
深度神经网络（DNN）容易受到一类称为“后门攻击“的攻击，这种攻击在后门触发器和攻击者有兴趣利用的目标标签之间创建关联。后门DNN在干净的测试图像上表现良好，但在存在后门触发器的情况下，持续预测攻击者定义的任何样本标签。尽管后门攻击在图像域中已经被广泛研究，但是在视频域中探索这样的攻击的工作很少，并且他们倾向于得出图像后门攻击在视频域中不太有效的结论。在这项工作中，我们重新审视了传统的后门威胁模型，并将其他与视频相关的方面纳入该模型。我们发现，有毒标签图像后门攻击可以扩展时间在两种方式，静态和动态，导致在视频域中的高效攻击。此外，我们还探索了自然视频后门，以突出此漏洞在视频领域的严重性。而且，我们第一次研究了针对视频动作识别模型的多模态（视听）后门攻击，在那里我们证明了攻击单一模态足以实现高攻击成功率。
2023-01-19 cs.CR cs.CV cs.LG
BadDet: Backdoor Attacks on Object Detection
深度学习模型已被部署在许多现实世界的应用中，如自动驾驶和监控。然而，这些模型在对抗性环境中很脆弱。后门攻击作为一种严重的安全威胁正在出现，它将后门触发器注入到一小部分训练数据中，使得经过训练的模型在良性输入下表现正常，但在特定触发器出现时给出不正确的预测。虽然大多数后门攻击的研究集中在图像分类，后门攻击的目标检测还没有被探索，但同样重要。目标检测已被用作自动驾驶等各种安全敏感应用中的重要模块。因此，对目标检测的后门攻击可能对人类生命和财产造成严重威胁。针对目标检测任务提出了四种后门攻击：1）目标生成攻击：一个触发器可以错误地生成目标类的目标; 2）区域误分类攻击：一个触发器可以改变周围目标对目标类的预测; 3）全局误分类攻击：一个触发器可以改变图像中所有目标对目标类的预测; 4）对象消失攻击：触发器可以使检测器无法检测到目标类的对象。我们开发适当的指标来评估四个后门攻击的目标检测。我们使用两个典型的目标检测模型- Faster-RCNN和YOLOv 3在不同的数据集上进行实验。更重要的是，我们证明了即使在另一个良性数据集上进行微调也无法删除隐藏在目标检测模型中的后门。为了抵御这些后门攻击，我们提出了检测器清洗，一个基于熵的运行时检测框架，以确定中毒的测试样本的任何部署的对象检测器。
2022-05-28 cs.AI cs.CV
Mitigating Backdoor Attack by Injecting Proactive Defensive Backdoor
Shenzhen Key Laboratory of Crowd Intelligence Empowered Low-Carbon Energy Network（深圳市众智赋能低碳能源网络重点实验室）
针对数据投毒后门攻击，提出主动防御后门方法PDB，通过在训练阶段注入防御性后门并利用可逆映射在推理时反转预测，有效抑制恶意后门并保持模型效用，实现最先进防御性能。
2024-10-15 cs.CR cs.CV
Input-Aware Dynamic Backdoor Attack
VinAI Research（VinAI研究院）；Hanoi University of Science and Technology（河内理工大学）；VinUniversity
近年来，神经后门攻击被认为是深度学习系统的潜在安全威胁。这样的系统虽然在干净数据上实现了最先进的性能，但在具有预定义触发器的输入上执行异常。然而，当前的后门技术依赖于统一的触发模式，这些模式很容易被当前的防御方法检测和缓解。在这项工作中，我们提出了一种新的后门攻击技术，其中的触发器不同的输入。为了实现这一目标，我们实现了一个输入感知触发器驱动的多样性损失。一种新的交叉触发器测试应用于强制触发器不可重用性，使后门验证不可能。实验表明，我们的方法是有效的，在各种攻击场景以及多个数据集。我们进一步证明了我们的后门可以绕过最先进的防御方法。一个著名的神经网络检查器的分析再次证明了所提出的攻击的隐蔽性。我们的代码可在https://github.com/VinAIResearch/input-aware-backdoor-attack-release上公开获取。
2020-10-16 cs.CR cs.CV
Universal Backdoor Attacks Detection via Adaptive Adversarial Probe
SenseTime Research（商汤科技研究院）；Institute of Information Engineering, Chinese Academy of Sciences（中国科学院信息工程研究所）；Beihang University（北京航空航天大学）
大量证据表明，深度神经网络（DNN）容易受到后门攻击的攻击，这激发了后门攻击检测的发展。大多数检测方法的目的是验证模型是否感染了假定类型的后门攻击，但攻击者可能会在实践中产生防御者无法预见的各种后门攻击，这对当前的检测策略提出了挑战。在本文中，我们专注于这个更具挑战性的情况下，并提出了一个通用的后门攻击检测方法称为自适应对抗探针（A2 P）。具体来说，我们认为，通用后门攻击检测的挑战在于，不同的后门攻击往往在触发模式中表现出不同的特征（即，尺寸和尺寸）。因此，我们的A2 P采用了一个全局到局部的探测框架，该框架使用自适应区域/预算来对抗探测图像，以适应不同大小/大小的各种后门触发器。关于探测区域，我们提出了注意力引导区域生成策略，该策略基于目标模型的注意力生成具有不同大小/位置的区域建议，因为触发区域通常表现出更高的模型激活。考虑到攻击预算，我们引入了盒子到稀疏调度，迭代地增加从盒子到稀疏约束的扰动预算，这样我们就可以更好地激活不同的潜在后门与不同的重复性。在多个数据集（CIFAR-10，GTSRB，Tiny-ImageNet）上进行的大量实验表明，我们的方法比最先进的基线有很大的优势（+12%）。
2022-12-07 cs.CR cs.CV
Backdooring and Poisoning Neural Networks with Image-Scaling Attacks
Technische Universität Braunschweig（布伦瑞克工业大学）
后门和中毒攻击是机器学习和视觉系统安全的主要威胁。然而，这些攻击通常会在图像中留下可见的伪影，这些伪影可以在视觉上检测到并削弱攻击的效力。在本文中，我们提出了一种新的策略隐藏后门和中毒攻击。我们的方法建立在最近一类攻击图像缩放。这些攻击能够操纵图像，使它们在缩放到特定分辨率时更改其内容。通过结合中毒和图像缩放攻击，我们可以隐藏后门的触发以及隐藏干净标签中毒的覆盖。此外，我们考虑检测图像缩放攻击，并得出一个自适应攻击。在实证评估中，我们证明了我们的策略的有效性。首先，我们证明了后门和中毒在与图像缩放攻击相结合时同样有效。其次，我们证明了目前针对图像缩放攻击的检测防御不足以发现我们的操纵。总的来说，我们的工作提供了一种新的方法来隐藏操纵的痕迹，适用于不同的中毒方法。
2020-03-19 cs.CR cs.CV
Imperceptible Transfer Attack and Defense on 3D Point Cloud Classification
Wangxuan Institute of Computer Technology, Peking University（北京大学王选计算机研究所）
尽管近年来在二维图像领域的攻击和防御方面做了很多努力，但很少有方法研究三维模型的脆弱性。现有的3D攻击者通常对点云进行逐点扰动，导致变形的结构或离群值，这很容易被人类感知。此外，它们的对抗性示例是在白盒设置下生成的，当转移到攻击远程黑盒模型时，成功率往往很低。在本文中，我们从两个新的和具有挑战性的角度研究3D点云攻击，提出了一种新的不可感知传输攻击（ITA）：1）不可感知性：我们约束每个点的扰动方向沿其邻域表面的法向量，导致生成的示例具有相似的几何属性，从而提高不可感知性。2)可转让性：我们开发了一个对抗性的转换模型来生成最有害的扭曲，并强制对抗性的例子来抵抗它，提高它们到未知黑盒模型的可转移性。此外，我们建议训练更强大的黑盒3D模型，以抵御这种ITA攻击，通过学习更多的歧视点云表示。广泛的评估表明，我们的ITA攻击是更不可察觉的和可转移的比国家的最先进的，并验证了我们的防御策略的优越性。
2022-03-24 cs.CV eess.IV
An Effective and Resilient Backdoor Attack Framework against Deep Neural Networks and Vision Transformers
Nanyang Technological University（南洋理工大学）；Hong Kong University of Science and Technology（香港科技大学）；Wuhan Textile University（武汉纺织大学）；Zhejiang University（浙江大学）；Wuhan University（武汉大学）
本研究提出基于注意力的掩码生成、交替重训练及协同优化的后门攻击框架，可提升低投毒比下的攻击成功率与样本自然度，且对主流防御具备鲁棒性，适用于DNN与视觉Transformer。
2024-12-09 cs.CR cs.CV
Poison Ink: Robust and Invisible Backdoor Attack
University of Science and Technology of China（中国科学技术大学）；Microsoft Research（微软研究院）；Beijing Electronic Science and Technology Institute（北京电子科技学院）；Wormpex AI Research LLC（Wormpex人工智能研究有限责任公司）
最近的研究表明，深度神经网络容易受到不同类型的攻击，例如对抗攻击，数据投毒攻击和后门攻击。其中，后门攻击是最狡猾的一种，几乎在深度学习管道的每个阶段都可能发生。因此，后门攻击引起了学术界和工业界的广泛关注。然而，大多数现有的后门攻击方法要么是可见的，要么是脆弱的一些轻松的预处理，如常见的数据转换。为了解决这些限制，我们提出了一个强大的和无形的后门攻击称为“毒墨”。具体地说，我们首先利用图像结构作为目标中毒区域，并填充它们与有毒墨水（信息），以生成触发模式。由于图像结构在数据转换过程中可以保持其语义含义，因此这种触发模式对数据转换具有固有的鲁棒性。然后，我们利用深度注入网络嵌入这样的触发模式到封面图像，以实现隐形。与现有流行的后门攻击方法相比，Poison Ink在隐蔽性和鲁棒性方面都有很好的表现。通过大量的实验，我们证明了Poison Ink不仅适用于不同的数据集和网络架构，而且适用于不同的攻击场景。此外，它对许多最先进的防御技术也有很强的抵抗力。
2022-08-13 cs.CR cs.CV
Towards Practical Deployment-Stage Backdoor Attack on Deep Neural Networks
Princeton University（普林斯顿大学）；Zhejiang University（浙江大学）；Tencent（腾讯）
AI安全社区的一个主要目标是安全可靠地为现实世界的应用程序生成和部署深度学习模型。为此，近年来广泛探索了在生产阶段（或训练阶段）对深度神经网络（DNN）的基于数据投毒的后门攻击以及相应的防御。具有讽刺意味的是，部署阶段的后门攻击通常发生在非专业用户的设备上，因此可以说在现实世界的场景中更具威胁性，但社区的关注要少得多。我们将这种不平衡的警惕性归因于现有部署阶段后门攻击算法的实用性较弱以及现实世界攻击演示的不足。为了填补这一空白，在这项工作中，我们研究了DNN部署阶段后门攻击的现实威胁。我们的研究基于一种常用的部署阶段攻击范式-对抗性权重攻击，其中对手选择性地修改模型权重以将后门嵌入部署的DNN中。为了接近现实的实用性，我们提出了第一个灰盒和物理可实现的权重后门注入攻击算法，即子网替换攻击（SRA），它只需要受害者模型的架构信息，可以支持物理触发器在现实世界中。广泛的实验模拟和系统级的真实世界的攻击演示进行。我们的研究结果不仅表明了所提出的攻击算法的有效性和实用性，而且还揭示了一种新型计算机病毒的实际风险，这种病毒可能会广泛传播并悄悄地将后门注入用户设备中的DNN模型。通过我们的研究，我们呼吁更多的关注DNN在部署阶段的脆弱性。
2022-05-26 cs.CR cs.CV
Efficient Backdoor Attacks for Deep Neural Networks in Real-world Scenarios
University of Science and Technology of China（中国科学技术大学）；Huazhong University of Science and Technology（华中科技大学）
针对现实场景中数据受限的后门攻击，提出基于CLIP的干净特征抑制与投毒特征增强方法，显著提升攻击效率，部分设置改进超100%。
2024-04-19 cs.CR cs.CV
Don't Trigger Me! A Triggerless Backdoor Attack Against Deep Neural Networks
CISPA Helmholtz Center for Information Security（CISPA 亥姆霍兹信息安全研究中心）
针对深度神经网络的后门攻击由于其严重的安全后果目前正被深入研究。当前最先进的后门攻击要求对手修改输入，通常是通过向其添加触发器，以便目标模型激活后门。这种增加的触发器不仅增加了在物理世界中发动后门攻击的难度，而且可以很容易地被多种防御机制检测到。在本文中，我们提出了第一个针对深度神经网络的无攻击者后门攻击，其中对手不需要修改触发后门的输入。我们的攻击是基于dropout技术。具体地说，我们将一组在模型训练期间退出的目标神经元与目标标签相关联。在预测阶段，当目标神经元再次被丢弃时，模型将输出目标标签，即，则发起后门攻击。我们的攻击的这种无边界特征使其在物理世界中变得实用。大量的实验表明，我们的无攻击者的后门攻击达到了完美的攻击成功率，可以忽略不计的损害模型的实用性。
2020-10-07 cs.CR cs.CV cs.LG
Backdoor Federated Learning by Poisoning Backdoor-Critical Layers
Stony Brook University（石溪大学）；University of Delaware（特拉华大学）；South China University of Technology（华南理工大学）；Louisiana State University（路易斯安那州立大学）
该研究针对联邦学习的后门攻击风险，发现了主导模型脆弱性的后门关键（BC）层，提出从攻击者视角识别BC层并设计自适应平衡攻击效果与隐蔽性的后门攻击方法，实验证明仅10%恶意客户端即可突破7种当前最优防御，性能优于现有最新方法。
2024-04-15 cs.CR cs.CV cs.LG
Backdoor Attacks and Countermeasures on Deep Learning: A Comprehensive Review
Nanjing University of Science and Technology（南京理工大学）；Data61, CSIRO（澳大利亚联邦科学与工业研究组织 Data61）；The University of Adelaide（阿德莱德大学）；The University of Queensland（昆士兰大学）；Hunan University（湖南大学）；Sungkyunkwan University（成均馆大学）
这项工作为社区提供了对深度学习的后门攻击和对策的及时全面的审查。根据攻击者的能力和机器学习流水线的受影响阶段，攻击面被识别为广泛的，然后形式化为六类：代码中毒，外包，预训练，数据汇集，协作学习和部署后。相应地，梳理了每个分类下的攻击。对策分为四大类：盲目借壳、线下借壳检查、线上借壳检查和事后借壳检查。在此基础上，对我国的应对策略进行了回顾，并对各种策略的优缺点进行了比较分析.我们还回顾了后门攻击的另一面，即i）保护深度学习模型的知识产权，ii）作为蜜罐捕获对抗性示例攻击，iii）验证数据贡献者请求的数据删除。总体而言，防御研究远远落后于攻击，没有一种防御可以阻止所有类型的后门攻击。在某些情况下，攻击者可以通过自适应攻击智能地绕过现有的防御。从系统性综述中得出的见解，我们还提出了未来研究后门的关键领域，如物理触发攻击的经验安全评估，特别是，更有效和实用的对策征求。
2020-08-02 cs.CR cs.CV cs.LG
Rethinking the Trigger of Backdoor Attack
Tsinghua Shenzhen International Graduate School, Tsinghua University（清华大学深圳国际研究生院）；School of Data Science, The Chinese University of Hong Kong, Shenzhen（香港中文大学（深圳）数据科学学院）；Shenzhen Research Institute of Big Data（深圳大数据研究院）；Tencent AI Lab（腾讯人工智能实验室）
后门攻击是在深度神经网络（DNN）中注入隐藏的后门，一旦被攻击者定义的触发器激活，被感染模型的预测就会被恶意改变，而在良性样本上表现良好。目前，现有的后门攻击大多采用\emph{static}触发器的设置，训练图像和测试图像中的$i.e.,$触发器遵循相同的外观，位于相同的区域。在本文中，我们重新审视这种攻击模式，通过分析静态触发器的特点。我们证明了这样的攻击范例是脆弱的，当测试图像中的触发器与用于训练的触发器不一致时。我们进一步探讨如何利用此属性的后门防御，并讨论如何减轻现有的攻击这样的脆弱性。
2021-01-31 cs.CR cs.CV cs.LG
A temporal chrominance trigger for clean-label backdoor attack against anti-spoof rebroadcast detection
University of Siena（锡耶纳大学）
我们提出了一种针对基于深度学习（DL）的模型的隐形清洁标签视频后门攻击，旨在检测特定类别的欺骗攻击，即视频重播攻击。注入的后门在正常情况下不会影响欺骗检测，但在存在特定触发信号的情况下会引起错误分类。所提出的后门依赖于改变视频序列的平均色度的时间触发器。后门信号的设计考虑了人类视觉系统（HVS）的特性，以降低触发器的可见性，从而增加后门的隐蔽性。为了迫使网络在具有挑战性的清洁标签场景中查看触发器的存在，我们选择了用于注入后门的中毒样本，遵循所谓的离群值中毒策略（OPS）。根据OPS，触发信号被插入到网络发现更难以分类的训练样本中。在不同的数据集和反欺骗重播检测架构上，实验验证了所提出的后门攻击的有效性和通用性.
2022-06-02 cs.AI cs.CR cs.CV
A Robust Attack: Displacement Backdoor Attack
School of Computer Science and Engineering, Changchun University of Technology（长春工业大学计算机科学与工程学院）；AI Research Institute, Changchun University of Technology（长春工业大学人工智能研究院）；School of Computer Science and Technology, Jilin University（吉林大学计算机科学与技术学院）
针对后门攻击在真实部署中易受抖动、亮度变化等影响的问题，提出位移后门攻击DBA，通过位移并融合目标样本构造后门样本，提升对旋转、裁剪等数据增强的鲁棒性。
2025-02-14 cs.AI cs.CR cs.CV
Contributor-Aware Defenses Against Adversarial Backdoor Attacks
众所周知，用于图像分类的深度神经网络容易受到对抗攻击的攻击。最近引起关注的一种攻击是对抗性后门攻击，它已经证明了对特定示例执行有针对性的错误分类的能力。特别是，后门攻击试图迫使模型学习后门触发模式和虚假标签之间的虚假关系。为了应对这种威胁，已经提出了许多防御措施;然而，对后门攻击的防御集中在后门模式检测上，这可能对新颖或意外类型的后门模式设计不可靠。我们引入了一种新的重新语境化的对抗性设置，其中对手的存在隐含地承认存在多个数据库贡献者。然后，在贡献者意识的温和假设下，可以利用这些知识通过破坏虚假标签关联来防御后门攻击。我们提出了一个贡献者感知的通用防御框架，用于在存在多个潜在对抗性数据源的情况下进行学习，该框架利用半监督集合和从人群中学习来过滤对抗性触发器产生的错误标签。重要的是，这种防御策略对后门模式设计是不可知的，因为它的功能不需要-甚至不尝试-在训练或推理期间执行对手识别或后门模式检测。我们的实证研究表明，所提出的框架对敌对的后门攻击从多个同时的对手的鲁棒性。
2022-05-28 cs.AI cs.CR cs.CV
Backdoor Attacks Against Deep Learning Systems in the Physical World
University of Chicago（芝加哥大学）
后门攻击将隐藏的恶意行为嵌入到深度学习模型中，仅激活并导致包含特定触发器的模型输入的错误分类。然而，现有的关于后门攻击和防御的工作主要集中在使用数字生成的模式作为触发器的数字攻击上。一个关键的问题仍然没有答案：后门攻击能否成功使用物理对象作为触发器，从而使它们成为现实世界中对深度学习系统的可信威胁？我们进行了详细的实证研究，以探索这个问题的面部识别，一个关键的深度学习任务。使用七个物理对象作为触发器，我们收集了一个自定义数据集的3205图像的10名志愿者，并使用它来研究物理后门攻击的可行性在各种现实世界的条件下。我们的研究揭示了两个关键发现。首先，物理后门攻击可以非常成功，如果它们被仔细配置以克服物理对象施加的约束。特别是，成功触发器的放置在很大程度上受到目标模型对关键面部特征的依赖性的限制。第二，当今针对（数字）后门的四种最先进的防御措施对物理后门无效，因为物理对象的使用打破了用于构建这些防御的核心假设。我们的研究证实，（物理）后门攻击不是一个假设的现象，而是对关键的分类任务构成了严重的现实威胁。我们需要新的、更强大的防御手段来抵御物理世界中的后门。
2021-09-07 cs.CR cs.CV cs.LG
Data Free Backdoor Attacks
The Pennsylvania State University（宾夕法尼亚州立大学）；University of Illinois at Urbana-Champaign（伊利诺伊大学厄巴纳-香槟分校）；University of California, Santa Barbara（加州大学圣巴巴拉分校）；University of Georgia（佐治亚大学）；University of California Berkeley（加州大学伯克利分校）
针对现有后门攻击依赖干净数据、需改架构等问题，提出无需重训练、无数据且不改架构的DFBA后门攻击，经理论和多数据集实验验证，其攻击成功率100%、分类损失极小，能绕过六种前沿防御，比现有非无数据攻击更隐蔽有效。
2024-12-09 cs.AI cs.CR cs.CV
Time-Distributed Backdoor Attacks on Federated Spiking Learning
Radboud University（拉德堡德大学）；Ikerlan Research Centre（伊克尔兰研究中心）；Delft University of Technology（代尔夫特理工大学）
本研究针对联邦脉冲学习提出时间分布式后门攻击，通过跨时间和恶意设备分布触发器，实现高攻击成功率与隐蔽性，并揭示现有防御的不足。
2024-02-05 cs.CR cs.CV cs.NE
Check Your Other Door! Creating Backdoor Attacks in the Frequency Domain
深度神经网络（DNN）无处不在，并且跨越从图像分类到实时目标检测的各种应用。随着DNN模型变得越来越复杂，训练这些模型的计算成本成为负担。出于这个原因，外包培训过程一直是许多DNN用户的首选。不幸的是，这是以易受后门攻击为代价的。这些攻击的目的是在DNN中建立隐藏的后门，以便它在干净的样本上表现良好，但当触发器应用于输入时，输出特定的目标标签。现有的后门攻击要么在空间域中生成触发器，要么在傅立叶域中天真地毒害频率。在这项工作中，我们提出了一种基于傅立叶热图的管道，以在频域中生成空间动态和不可见的后门攻击。在各种数据集和网络架构上对所提出的攻击进行了广泛的评估。与大多数现有的后门攻击不同，所提出的攻击可以实现高攻击成功率，低中毒率和几乎没有性能下降，同时保持人眼无法察觉。此外，我们表明，我们的攻击中毒的模型是抵抗各种国家的最先进的（SOTA）防御，所以我们贡献了两种可能的防御，可以逃避攻击。
2023-01-09 cs.CR cs.CV cs.LG
BATT: Backdoor Attack with Transformation-based Triggers
Research Center for Computer Network (Shenzhen) Ministry of Education（教育部计算机网络（深圳）研究中心）
深度神经网络（DNN）容易受到后门攻击的攻击。后门攻击者打算通过注入隐藏的后门来恶意控制被攻击DNN的预测，这些后门可以在训练过程中由攻击者指定的触发模式激活。最近的一项研究表明，大多数现有的攻击在真实的物理世界中失败了，因为数字化测试样本中包含的触发器可能与用于训练的触发器不同。因此，用户可以采用空间变换作为图像预处理来去激活隐藏的后门。在本文中，我们从另一个侧面探索了以前的研究结果。我们利用经典的空间变换（即旋转和平移）与特定的参数作为触发模式，设计了一个简单而有效的基于中毒的后门攻击。例如，只有旋转到特定角度的图像才能激活受攻击DNN的嵌入式后门。进行了大量的实验，验证了我们的攻击在数字和物理环境下的有效性，以及它对现有后门防御的抵抗力。
2023-03-06 cs.AI cs.CR cs.CV
Fine-Tuning Is All You Need to Mitigate Backdoor Attacks
CISPA Helmholtz Center for Information Security（CISPA亥姆霍兹信息安全中心）；University of Birmingham（伯明翰大学）；University of Lausanne（洛桑大学）
后门攻击是机器学习模型的主要威胁之一。已经做出了各种努力来减少后门。然而，现有的防御已经变得越来越复杂，并且通常需要高计算资源，或者还可能危及模型的实用性。在这项工作中，我们表明，微调，最常见和最容易采用的机器学习训练操作之一，可以有效地删除后门从机器学习模型，同时保持高的模型效用。在三个机器学习范例上的大量实验表明，微调和我们新提出的超微调实现了强大的防御性能。此外，我们创造了一个新的术语，即后门后遗症，来衡量模型漏洞的变化，以其他攻击之前和之后的后门已被删除。实证评估表明，与其他防御方法相比，超微调留下的后门后遗症有限。我们希望我们的研究结果可以帮助机器学习模型所有者更好地保护他们的模型免受后门威胁。此外，它呼吁设计更高级的攻击，以全面评估机器学习模型的后门漏洞。
2022-12-18 cs.CR cs.CV cs.LG
Detecting Backdoor Attacks Against Point Cloud Classifiers
Pennsylvania State University（宾夕法尼亚州立大学）；Shanghai Jiao Tong University（上海交通大学）
后门攻击（BA）是对深度神经网络分类器的新兴威胁。被攻击的分类器将预测攻击者的目标类时，测试样本从源类嵌入后门模式（BP）。最近，第一个针对点云（PC）分类器的BA被提出，对包括自动驾驶在内的许多重要应用造成了新的威胁。这种PC BA由于其特殊的BP嵌入机制而无法被现有的BA防御检测到。在本文中，我们提出了一个反向工程防御，推断PC分类器是否受到后门攻击，而无需访问其训练集或任何干净的分类器作为参考。我们的防御的有效性证明在基准ModeNet40数据集的PC。
2021-10-20 cs.CR cs.CV cs.LG
Invisible Backdoor Attacks on Deep Neural Networks via Steganography and Regularization
Shanghai Jiao Tong University（上海交通大学）；The University of Adelaide（阿德莱德大学）；The University of New South Wales（新南威尔士大学）；Data61 CSIRO（澳大利亚联邦科学与工业研究组织 Data61）；Shanghai Institute for Advanced Communication and Data Science（上海先进通信与数据科学研究院）；Shanghai University（上海大学）
深度神经网络（DNN）已被证明容易受到后门攻击的攻击，其中隐藏的特征（模式）被训练成一个正常的模型，它只被一些特定的输入（称为触发器）激活，欺骗模型产生意想不到的行为。在本文中，我们为后门攻击创建了隐蔽和分散的触发器，这些触发器可以欺骗DNN模型和人类检查。我们通过两种最先进的嵌入触发器的方法来应用我们的隐形后门进行后门攻击。Badnets的第一种方法通过隐写术将触发器嵌入DNN。木马攻击的第二种方法使用两种类型的附加正则化项来生成具有不规则形状和大小的触发器。我们使用攻击成功率和功能来衡量我们的攻击性能。我们介绍了两个新的定义，人类感知的不可见性;一个是概念化的感知对抗相似性得分（PASS），另一个是学习感知图像补丁相似性（LPIPS）。我们表明，通过测量对手的攻击成功率，普通用户的功能和管理员的不可见性得分，我们提出的隐形后门在各种DNN模型以及四个数据集MNIST，CIFAR-10，CIFAR-100和GTSRB中可以相当有效。最后，我们认为，建议的无形后门攻击可以有效地挫败国家的最先进的木马后门检测方法，如神经清洗和TABOR。
2020-08-31 cs.CR cs.CV cs.LG
BackdoorBox: A Python Toolbox for Backdoor Learning
Tsinghua Shenzhen International Graduate School, Tsinghua University（清华大学深圳国际研究生院）
深度神经网络（DNN）的训练通常涉及第三方资源（$e.g.$、样本、主干和预训练模型），这带来了后门攻击作为新的训练阶段威胁。一般来说，后门攻击者打算在DNN中植入隐藏的后门，以便被攻击的DNN在良性样本上正常运行，而如果隐藏的后门被攻击者指定的触发模式激活，则它们的预测将被恶意更改为预定义的目标标签。为了便于研发更安全的训练方案和防御，我们设计了一个开源的Python工具箱，在统一灵活的框架下实现了具有代表性的高级后门攻击和防御。我们的工具箱有四个重要且有前途的特征，包括一致性、简单性、灵活性和共同开发。它允许研究人员和开发人员在基准测试或本地数据集上轻松实现和比较不同的方法。这个Python工具箱，即\texttt{BackdoorBox}，可以在\url{https://github.com/THUYimingLi/BackdoorBox}上找到。
2023-02-01 cs.CR cs.CV cs.LG
Light Can Hack Your Face! Black-box Backdoor Attack on Face Recognition Systems
Nanyang Technological University（南洋理工大学）；City University of Hong Kong（香港城市大学）
深度神经网络（DNN）在许多计算机视觉应用中取得了巨大成功。然而，它们也容易受到后门攻击的影响。当进行后门攻击时，大多数现有方法假设目标DNN始终可用，并且攻击者始终可以将特定模式注入到训练数据中以进一步微调DNN模型。然而，在实践中，这种攻击可能是不可行的，因为DNN模型是加密的并且仅可用于安全飞地。在本文中，我们提出了一种新的黑盒后门攻击技术的人脸识别系统，它可以进行没有知识的目标DNN模型。具体而言，我们提出了一种后门攻击与一种新的颜色条纹图案触发，它可以通过调制LED在一个专门的波形产生。我们还使用了一种进化计算策略来优化后门攻击的波形。我们的后门攻击可以在非常温和的条件下进行：1）对手不能以不自然的方式操纵输入（例如，注入对抗性噪声）; 2）对手不能访问训练数据库; 3）对手不知道训练模型以及受害方使用的训练集。我们表明，后门触发器可以是相当有效的，其中攻击成功率可以高达$88\%$基于我们的模拟研究和高达$40\%$基于我们的物理域的研究，通过考虑任务的人脸识别和验证的基础上最多三次尝试在认证过程中。最后，我们评估了几个国家的最先进的潜在防御后门攻击，并发现我们的攻击仍然可以有效。我们强调，我们的研究揭示了一种新的物理后门攻击，这需要注意的安全问题，现有的人脸识别/验证技术。
2020-09-15 cs.AI cs.CR cs.CV
