Poisoning Behavioral Malware Clustering
Università di Cagliari（卡利亚里大学）；University of Göttingen（哥廷根大学）
聚类算法已经成为计算机安全中的一种流行工具，用于分析恶意软件变体的行为，识别新的恶意软件家族，并为防病毒系统生成签名。然而，最近的安全敏感设置的聚类算法的适用性受到质疑，表明他们可以显着妥协，如果攻击者可以行使一些控制的输入数据。在本文中，我们重新审视这个问题，专注于行为恶意软件集群的方法，并调查是否以及在何种程度上攻击者可能能够颠覆这些方法，通过仔细注入中毒行为的样本。为此，我们提出了一个案例研究Malheur，行为恶意软件集群的开源工具。我们的实验不仅证明了该工具容易受到中毒攻击，而且即使攻击者只能向输入数据中注入很小比例的攻击，它也会受到很大的损害。作为一种补救措施，我们讨论了可能的对策，并强调需要更安全的聚类算法。
2018-11-25 cs.CR cs.LG stat.ML
Explanation-Guided Backdoor Poisoning Attacks Against Malware Classifiers
Northeastern University（东北大学）；FireEye Inc.（火眼公司）；Xailient Inc.（Xailient公司）
用于基于机器学习（ML）的恶意软件分类的训练管道通常依赖于众包威胁源，从而暴露出自然的攻击注入点。在本文中，我们研究了基于特征的ML恶意软件分类器对后门中毒攻击的敏感性，特别关注具有挑战性的“干净标签”攻击，其中攻击者不控制样本标签过程。我们建议使用可解释的机器学习技术来指导相关特征和值的选择，从而以与模型无关的方式创建有效的后门触发器。使用多个参考数据集进行恶意软件分类，包括Windows PE文件，PDF和Android应用程序，我们展示了对各种机器学习模型的有效攻击，并评估了对攻击者施加的各种约束的影响。为了证明我们的后门攻击在实践中的可行性，我们为Windows PE文件创建了一个水印实用程序，保留了二进制文件的功能，我们利用类似的行为保留更改方法为Android和PDF文件。最后，我们实验了潜在的防御策略，并展示了完全防御这些攻击的困难，特别是当攻击与合法的样本分布相融合时。
2021-01-11 cs.CR cs.LG
Double Backdoored: Converting Code Large Language Model Backdoors to Traditional Malware via Adversarial Instruction Tuning Attacks
本研究提出MalInstructCoder框架，通过自动化数据投毒和对抗性指令微调攻击（干净提示投毒攻击和后门攻击），揭示了Code LLM在编程任务中的网络安全漏洞，实验表明仅投毒0.5%-1%数据即可使攻击成功率高达86%，凸显了构建防御机制的紧迫性。
2025-03-07 cs.CR
Label Sanitization against Label Flipping Poisoning Attacks
Imperial College London（帝国理工学院）
许多机器学习系统依赖于从不可信来源收集的数据，从而使学习算法暴露于数据中毒。攻击者可以在训练数据集中注入恶意数据来破坏学习过程，从而损害算法的性能，从而以有针对性或不加选择的方式产生错误。标签翻转攻击是数据中毒的一种特殊情况，攻击者可以控制分配给一部分训练点的标签。即使攻击者的能力受到限制，这些攻击已被证明是有效的显着降低系统的性能。在本文中，我们提出了一个有效的算法来执行最佳的标签翻转中毒攻击和机制来检测和重新标记可疑的数据点，减轻这种中毒攻击的影响。
2018-10-02 cs.CR cs.LG stat.ML
Honest Score Client Selection Scheme: Preventing Federated Learning Label Flipping Attacks in Non-IID Scenarios
针对非独立同分布场景下联邦学习易受标签翻转攻击的问题，提出诚实评分客户端选择（HSCS）方案，通过风险向量与准确率向量点积筛选客户端，有效提升模型鲁棒性。
2023-11-10 cs.CR
Federated Learning based on Defending Against Data Poisoning Attacks in IoT
物联网（IoT）设备数量的迅速增长产生了大量的数据，但物联网设备中的数据隐私和安全暴露，特别是在自动驾驶系统中。联邦学习（FL）是一种通过集成基于分布式节点的全局模型来解决数据隐私、安全性、访问权限和对异构消息的访问问题的范例。然而，对FL的数据投毒攻击可能会破坏这些好处，破坏全局模型的可用性并中断模型训练。为了避免上述问题，我们建立了一个层次化防御数据投毒（HDDP）系统框架来防御FL中的数据投毒攻击，通过异常检测来监控各个节点的本地模型，从而清除恶意客户端。无论中毒防御服务器是否具有可信测试数据集，我们设计了\underline{l}局部\underline{m}模型\underline{t} est \underline{v} oting（LMTV）和\underline{k} ullback- \underline{l} eibler divergence \underline{a} normaly parameters \underline{d} etection（KLAD）算法来防御标签翻转中毒攻击。具体而言，可信测试数据集被用来获得每个分类的评估结果，以识别LMTV中的恶意客户端。更重要的是，我们采用kullback leibler散度来衡量KLAD中没有可信测试数据集的局部模型之间的相似性。最后，通过广泛的评估，针对各种标签翻转中毒攻击，LMTV和KLAD算法在不同…
2022-09-14 cs.CR
Label Flipping Data Poisoning Attack Against Wearable Human Activity Recognition System
Robert Morris University（罗伯特·莫里斯大学）；Southern Illinois University（南伊利诺伊大学）；Louisiana State University Shreveport（路易斯安那州立大学什里夫波特分校）
人类活动识别（HAR）是一个使用有效的机器学习（ML）方法将传感器数据解释为人类运动的问题。HAR系统依赖于来自不受信任用户的数据，这使得它们容易受到数据投毒攻击。在中毒攻击中，攻击者操纵传感器读数来污染训练集，误导HAR产生错误的结果。针对HAR系统，设计了一种标签翻转数据投毒攻击，在数据汇集阶段恶意更改传感器读数的标签。由于传感环境中的高噪声和不确定性，这种攻击对识别系统构成严重威胁。此外，当活动识别模型部署在安全关键型应用中时，标签翻转攻击的脆弱性是危险的。本文揭示了如何通过基于智能手机的传感器数据汇集应用程序在实践中进行攻击。据我们所知，这是一个早期的研究工作，探索通过标签翻转中毒攻击HAR模型。我们实现了所提出的攻击，并在基于以下机器学习算法的活动识别模型上进行了测试：多层感知器，决策树，随机森林和XGBoost。最后，我们评估的有效性K-最近邻（KNN）为基础的防御机制对建议的攻击。
2022-08-17 cs.CR cs.HC cs.LG
AndroWasm: an Empirical Study on Android Malware Obfuscation through WebAssembly
University Of Cagliari（卡利亚里大学）；Consorzio Interuniversitario Nazionale per l’Informatica (CINI)（意大利国家信息学大学联盟）
本文通过实证研究探讨了Android恶意软件利用WebAssembly技术进行混淆和规避检测的方法及效果。
2026-02-20 cs.CR
Trust Under Siege: Label Spoofing Attacks against Machine Learning for Android Malware Detection
Université Paris Cité（巴黎西岱大学）；University of Genova（热那亚大学）；INRIA（法国国家信息与自动化研究所）；EURECOM（欧洲通信学院）
该研究提出针对安卓恶意软件检测ML模型的标签欺骗攻击，开发AndroVenom方法，仅1%中毒样本即可导致模型DoS，还能翻转特定良性样本决策，凸显基于AV标注的ML训练过程的可信度问题。
2026-09-01 cs.CR cs.LG
Trigger Value Selection in Clean-Label Malware Backdoors: An Effectiveness-Detectability Analysis
The University of Electro-Communications（电气通信大学）
本文研究干净标签恶意软件后门攻击中触发值选择的影响，在EMBER数据集上评估多种选择策略，发现激进选择器攻击成功率高但易被检测，合理选择器可平衡攻击有效性与可检测性。
2026-10-16 cs.CR
Securing Contrastive mmWave-based Human Activity Recognition against Adversarial Label Flipping
Purdue University（普渡大学）；Arizona State University（亚利桑那州立大学）
本文针对基于毫米波的对比学习人体活动识别系统，识别出三种标签翻转投毒攻击并提出防御措施，经原型系统验证有效，可扩展至其他无线HAR系统以强化安全设计。
2026-08-06 cs.CR
Online AutoML: Evaluating Poisoning Attacks on Cost-Utility Adversarial Training Defence Strategy for IoT Networks
Ontario Tech University（安大略理工大学）；Alex Ekwueme Federal University（亚历克斯·埃克武梅联邦大学）
本研究通过在线AutoML管道评估对抗训练防御在物联网流式数据中应对投毒攻击（标签翻转和噪声注入）的有效性，发现AT-SRP和AT-LB分别在两类攻击下取得最佳F1分数。
2026-10-14 cs.CR cs.LG
Adversarial Poisoning Attacks and Defense for General Multi-Class Models Based On Synthetic Reduced Nearest Neighbors
University of California Merced（加州大学默塞德分校）；Tagliatela College of Engineering（塔利亚泰拉工程学院）；University of New Haven（纽黑文大学）
最先进的机器学习模型容易受到旨在破坏模型完整性的数据投毒攻击。然而，目前关于数据投毒攻击的文献主要集中在仅适用于特定机器学习模型的ad hoc技术上。此外，文献中现有的数据投毒攻击仅限于二进制分类器或基于梯度的算法。为了解决这些局限性，本文首先提出了一种新的无模型标签翻转攻击的基础上的多模态的数据，其中对手的目标是集群的类，而受标签翻转预算。我们提出的攻击算法的复杂性是线性的时间超过数据集的大小。此外，所提出的攻击可以增加错误高达两倍的相同的攻击预算。其次，提出了一种基于综合简化最近邻（SRNN）模型的防御技术。防御技术可以在训练过程中检测和排除翻转的样本。通过大量的实验分析，我们证明了（i）所提出的攻击技术可以大大降低几个模型的准确性，以及（ii）在所提出的攻击下，所提出的防御技术在恢复目标模型的准确性方面显着优于其他传统的机器学习模型。
2021-02-11 cs.CR cs.LG
Empirical Evaluation of Data Poisoning Attacks in Supervised Learning
Minot State University（迈诺特州立大学）
本研究在MNIST和Fashion-MNIST上实证评估标签翻转与后门投毒攻击，发现后门攻击隐蔽且成功率高，需安全导向评估。
2026-09-11 cs.CR cs.LG
Visualizing the Shadows: Unveiling Data Poisoning Behaviors in Federated Learning
本文提出一个可视化系统，通过标签翻转模拟数据投毒攻击，分析其对联邦学习性能的影响，并揭示系统脆弱性，提供缓解见解。
2024-05-26 cs.CR
Model Poisoning Against Federated Model Adaptation with Chain of Bit-Flips
CEA-Leti, Mines Saint-Etienne, Equipe Commune SAS（CEA-莱蒂， Mines圣艾蒂安， 共同团队SAS）；Univ. Grenoble Alpes, CEA-Leti（格勒诺布尔阿尔卑斯大学， CEA-莱蒂）；Mines Saint-Etienne, CEA-Leti, Centre CMP, Equipe commune SAS（Mines圣艾蒂安， CEA-莱蒂， CMP中心， 共同团队SAS）
提出一种结合硬件故障攻击的模型中毒方法，在联邦学习训练阶段通过比特翻转注入后门，实现任务无关的后门攻击，在ResNet-18上仅需少量故障即可达到94%攻击成功率。
2026-06-08 cs.AI cs.CR
RAMP: Reversing Adversarial Perturbations to Strengthen Clean-Label Backdoor Attacks against Malware Detectors
School of Cyber Science and Engineering, Wuhan University（武汉大学网络安全学院）
RAMP通过遗传算法优化逆转对抗扰动，在干净标签设置下增强后门攻击，显著提升低投毒比例下的攻击效果并保持干净数据准确性。
2026-09-24 cs.CR
Less is More: A privacy-respecting Android malware classifier using Federated Learning
Ruhr University Bochum（波鸿鲁尔大学）；imec-COSIC KU Leuven（鲁汶大学imec-COSIC研究中心）
在本文中，我们提出了LiM（“少即是多”），一个恶意软件分类框架，利用联邦学习检测和分类恶意应用程序的隐私尊重的方式。有关新安装的应用程序的信息保存在用户设备的本地，因此提供商无法推断用户安装了哪些应用程序。同时，在联邦学习过程中考虑了所有用户的输入，并且他们都受益于更好的分类性能。此设置的一个关键挑战是用户无法访问地面实况（即他们无法正确识别应用程序是否是恶意的）。为了解决这个问题，LiM使用了一个安全的半监督集成，相对于服务提供商（即云）训练的基线分类器，该集成可以最大限度地提高分类准确性。我们实现了LiM，并显示云服务器的F1得分为95%，而客户端具有完美的召回率，在>100个应用程序中只有1个假阳性，使用25K个干净应用程序和25K个恶意应用程序的数据集，200个用户和50轮联合。此外，我们进行了安全性分析，并证明了LiM是强大的，可以抵御控制一半客户端的对手的中毒攻击，以及诚实但好奇的云服务器进行的推理攻击。对MaMaDroid数据集的进一步实验证实了对中毒攻击的抵抗力以及由于联邦而带来的性能提升。
2021-06-16 cs.CR cs.LG
Exact Certification of (Graph) Neural Networks Against Label Poisoning
Technical University of Munich（慕尼黑工业大学）；Munich Data Science Institute（慕尼黑数据科学研究所）；Munich Center for Machine Learning（慕尼黑机器学习中心）
本文提出首个针对神经网络标签投毒攻击的精确认证方法，利用神经正切核将双层优化问题转化为混合整数线性规划，为图神经网络推导出样本级和集体级鲁棒性证书。
2025-03-03 cs.CR cs.LG
Can't Boil This Frog: Robustness of Online-Trained Autoencoder-Based Anomaly Detectors to Adversarial Poisoning Attacks
Ben-Gurion University of the Negev（本-古里安大学）
近年来，各种有效的神经网络为基础的方法，在工业控制系统（ICS）的异常和网络攻击检测已在文献中被证明。鉴于它们的成功实施和广泛使用，有必要研究对这种检测方法的对抗攻击，以更好地保护依赖它们的系统。对图像和恶意软件分类的对抗攻击进行的广泛研究与大多数ICS攻击检测系统所属的物理系统状态预测域几乎没有相关性。此外，这种检测系统通常使用从被监视系统收集的新数据进行再训练，因此对抗性数据投毒的威胁是显著的，然而这种威胁尚未被研究界解决。在本文中，我们提出了第一个研究集中在中毒攻击在线训练的自动编码器为基础的攻击检测器。我们提出了两种算法，用于生成有毒样本，基于插值的算法和基于反向梯度优化的算法，我们评估合成和真实世界的ICS数据。我们证明，所提出的算法可以产生有毒样本，导致目标攻击去检测的自动编码器检测器，但中毒检测器的能力是有限的一小部分攻击类型和幅度。当将中毒生成算法应用于流行的SWaT数据集时，我们表明，在物理系统状态数据上训练的自动编码器检测器在面对数据集中的所有十种相关攻击时都能抵御中毒。这一发现表明，在网络物理领域中使用的基于神经网络的攻击检测器比在其他问题领域（例如恶意软件检测和图像处理）中更鲁棒。
2020-02-07 cs.CR cs.LG stat.ML
Layer of Truth: Probing Belief Shifts under Continual Pre-Training Poisoning
Centre for Trusted Internet \& Community, National University of Singapore, Singapore
本研究揭示了持续预训练中虚假信息如何取代模型内部事实表示，通过实验发现中毒对模型信念的影响及可逆性，强调了对事实完整性进行监控的重要性。
2026-02-06 cs.CR cs.LG
KeTS: Kernel-based Trust Segmentation against Model Poisoning Attacks
本文提出基于核密度估计的防御机制 KeTS，通过分析客户端更新演变来分割恶意客户端，在多个数据集上有效抵御模型投毒攻击，性能优于现有防御方案且不增加客户端开销。
2025-06-29 cs.CR
BRFID: Toward Byzantine-Robust Federated Intrusion Detection
Meharry Medical College（梅哈里医学院）
针对联邦入侵检测中单拜占庭客户端的标签翻转投毒攻击，实验表明该攻击会显著降低攻击者自身检测准确率，且无防御时全局集成仍稳定，其异常信号可用于识别拜占庭客户端。
2026-09-25 cs.CR cs.LG
An Efficient Multi-Step Framework for Malware Packing Identification
Kangwon National University（江原国立大学）
恶意软件开发人员使用压缩、加密和混淆等技术的组合来绕过防病毒软件。具有反分析技术的恶意软件可以绕过基于AI的反病毒软件和恶意软件分析工具。因此，对包文件进行分类是一个很大的挑战。如果恶意软件分类器学习打包程序的功能，而不是恶意软件的功能，就会出现问题。用无意的错误数据训练模型会变成中毒攻击、对抗攻击和逃避攻击。因此，研究人员应该考虑打包以构建适当的恶意软件分类器模型。在本文中，我们提出了一个多步骤的框架，用于分类和识别包装样本，其中包括伪最优的特征选择，机器学习为基础的分类器，包装识别步骤。在第一步中，我们使用CART算法和排列重要性来预选重要的20个特征。在第二步中，每个模型学习20个预选特征，用于以最高性能对打包文件进行分类。结果，XGBoost学习了XGBoost预选的具有排列重要性的特征，表现出任何其他实验场景的最高性能，准确率为99.67%，F1分数为99.46%，曲线下面积（AUC）为99.98%。在第三步中，我们提出了一种新的方法，可以识别包装只有分类为众所周知的包装样本。
2022-08-17 cs.AI cs.CR
Lethean Attack: An Online Data Poisoning Technique
Massachusetts Institute of Technology（麻省理工学院）
数据投毒是一种对抗性场景，攻击者将特制的样本序列提供给在线模型以破坏学习。我们介绍Lethean攻击，一种新的数据投毒技术，导致灾难性遗忘的在线模型。我们在测试时训练的背景下应用攻击，这是一个现代在线学习框架，旨在分布偏移下的泛化。我们提出的理论依据和经验比较，它对其他样本序列，自然会引起遗忘。我们的研究结果表明，使用lethean攻击，对手可以使用短样本序列将测试时训练模型恢复到抛硬币精度性能。
2020-11-24 cs.CR cs.LG
CITADEL: A Semi-Supervised Active Learning Framework for Malware Detection Under Continuous Distribution Drift
University of Texas at El Paso（埃尔帕索德克萨斯大学）；Indian Institute of Technology Hyderabad（海德拉巴印度理工学院）
CITADEL通过恶意软件特定的增强方法和多标准主动学习策略，在对抗持续分布漂移的情况下，以较少的标注样本实现了更高的恶意软件检测精度。
2026-02-14 cs.CR
ALIBI: Adversarial Legitimacy Injection in Binary Input against LLM Malware Analyzers
ResearchLab（78研究实验室）
提出ALIBI攻击，通过向二进制文件注入虚假安全叙述的只读节，使LLM恶意软件分析器将恶意样本误判为良性，并验证了跨模型与格式的迁移性，强调需来源检查防御。
2026-09-18 cs.CR cs.LG
Defending Against Neural Network Model Inversion Attacks via Data Poisoning
针对模型反转攻击的隐私威胁及现有防御效用损失大、需重训练的问题，提出基于数据投毒的LPA和LFP两种无需重训练的防御方法，其中LPA效果优于现有最优方案，可平衡隐私保护与模型效用。
2024-12-10 cs.CR
Enabling Privacy-Preserving Cyber Threat Detection with Federated Learning
本文面向隐私法规下的威胁数据共享难题，系统评估联邦学习在 SMS 垃圾信息与 Android 恶意软件检测中的有效性、抗投毒能力和效率。
2024-04-08 cs.CR
Covert Communication Based on the Poisoning Attack in Federated Learning
Sichuan Normal University（四川师范大学）
针对联邦学习模型聚合破坏客户端嵌入信息的问题，提出一种基于投毒攻击的隐蔽通信方法，实现两客户端间100%准确传输，并证明其隐蔽、鲁棒且现有防御难以应对。
2023-06-02 cs.CR cs.LG
Detection of Adversarial Training Examples in Poisoning Attacks through Anomaly Detection
Imperial College London（帝国理工学院）
机器学习已经成为许多系统和应用的重要组成部分，包括计算机视觉、垃圾邮件过滤、恶意软件和网络入侵检测等。尽管机器学习算法能够从数据中提取有价值的信息并产生准确的预测，但已经表明这些算法容易受到攻击。数据中毒是针对机器学习系统的最相关的安全威胁之一，攻击者可以通过在训练数据中注入恶意样本来破坏学习过程。对抗性机器学习的最新研究表明，所谓的最佳攻击策略可以成功地毒害线性分类器，在损害一小部分训练数据集后，系统的性能会急剧下降。在本文中，我们提出了一种防御机制，以减轻这些最佳中毒攻击的影响，基于离群检测。我们的经验表明，这些攻击策略生成的对抗性示例与真正的点有很大不同，因为没有考虑可检测性约束来制作攻击。因此，可以通过对训练数据集进行适当的预过滤来检测它们。
2018-02-08 cs.CR cs.LG stat.ML
Poison is Not Traceless: Fully-Agnostic Detection of Poisoning Attacks
The University of Auckland（奥克兰大学）
本文提出完全无关的污染攻击检测框架DIVA，仅通过分析潜在被污染数据集，利用Complexity Measures预训练元学习器估计干净数据上的准确率，从而检测通用污染攻击，并在label-flipping攻击上进行了验证。
2023-10-24 cs.CR cs.LG
Poison Forensics: Traceback of Data Poisoning Attacks in Neural Networks
University of Chicago（芝加哥大学）
在对抗性机器学习中，针对深度学习系统攻击的新防御通常在发布后不久就被更强大的攻击所破坏。在这种情况下，取证工具可以为现有防御提供有价值的补充，通过追溯成功的攻击到其根本原因，并提供缓解措施以防止未来发生类似攻击。在本文中，我们描述了我们在开发一种用于深度神经网络上的毒药攻击的取证追溯工具方面所做的努力。我们提出了一种新的迭代聚类和修剪解决方案，修剪“无辜”的训练样本，直到所有剩下的是一组有毒的数据负责的攻击。该方法根据训练样本对模型参数的影响对训练样本进行聚类，然后使用一种有效的数据去学习方法来修剪无辜的聚类。我们经验证明了我们的系统对三种类型的脏标签（后门）毒药攻击和三种类型的干净标签毒药攻击的有效性，跨计算机视觉和恶意软件分类领域。我们的系统在所有攻击中都达到了98.4%的准确率和96.8%的召回率。我们还表明，我们的系统是强大的，对四个反取证措施，专门设计来攻击它。
2022-06-15 cs.AI cs.CR
UTrace: Poisoning Forensics for Private Collaborative Learning
Northeastern University（东北大学）；ETH Zurich（苏黎世联邦理工学院）；University of Toronto（多伦多大学）
针对隐私保护机器学习中恶意投毒难溯源的问题，提出UTrace用户级溯源框架，结合梯度相似度检测与用户级遗忘技术，在MPC隐私保障下实现高精度投毒归因。
2025-09-30 cs.CR cs.LG
Mask Off: Analytic-based Malware Detection By Transfer Learning and Model Personalization
Macquarie University（麦考瑞大学）；University of Sydney（悉尼大学）
智能手机易受网络攻击的问题一直是用户严重关注的问题，这是由于安装的应用程序（\textit{apps}）的完整性造成的。虽然应用程序提供合法和多样化的移动服务，但有害和危险的应用程序也揭示了渗透智能手机进行恶意行为的可行方法。彻底的应用程序分析是揭示恶意意图和提供对应用程序行为的更深入了解以进行安全风险评估的关键。这样的深入分析促使对从应用提取的一组特征和模式采用深度神经网络（DNN），以促进独立地检测潜在危险的应用。本文提出了一种基于分析的深度神经网络，Android恶意软件检测（ADAM），它采用细粒度的特征集来训练特定于特征的DNN，以便在应用程序标签的基础事实未知时对应用程序标签达成共识。此外，ADAM利用迁移学习技术来获得其对跨智能手机的新应用的可调整性，以回收预先训练的模型，并通过模型个性化和联邦学习技术使它们更具适应性。这种可调整性也得到了联邦学习保护的帮助，它通过模型分析保护ADAM免受中毒攻击。ADAM依赖于包含超过153000个应用程序的多样化数据集，其中包含超过41000个用于DNN训练的提取特征。ADAM的特定功能DNN平均达到了98%以上的准确率，从而在抵御数据操纵攻击方面表现出色。
2022-11-20 cs.CR cs.LG
Breaking Fair Binary Classification with Optimal Flipping Attacks
University of Wisconsin-Madison（威斯康星大学麦迪逊分校）
在公平性约束下最小化风险是学习公平分类器的流行方法之一。最近的工作表明，如果训练集被损坏，这种方法会产生不公平的分类器。在这项工作中，我们研究了一个成功的翻转攻击所需的数据损坏的最小量。首先，我们找到了这个量的上/下界，并证明了当目标模型是唯一的无约束风险最小化时，这些界是紧的。其次，我们提出了一个计算效率高的数据投毒攻击算法，可以妥协的公平学习算法的性能。
2022-05-09 cs.CR cs.CY cs.LG
Mate! Are You Really Aware? An Explainability-Guided Testing Framework for Robustness of Malware Detectors
CSIRO’s Data61（澳大利亚联邦科学与工业研究组织数据61研究所）；Cybersecurity CRC（网络安全合作研究中心）；Hong Kong University of Science and Technology (GZ)（香港科技大学（广州））；Shanghai Jiao Tong University（上海交通大学）；Peng Cheng Laboratory（鹏城实验室）
本文提出可解释性引导的模型无关测试框架，引入累积恶意幅值AMM识别可操纵特征，揭示商业杀毒引擎的脆弱性、迁移性条件及特征脆弱性度量，为改进恶意软件检测器鲁棒性提供依据。
2023-11-27 cs.CR cs.LG
Is feature selection secure against training data poisoning?
Technische Universität München（慕尼黑工业大学）；University of Cagliari（卡利亚里大学）；University of Manchester（曼彻斯特大学）
在对抗环境中学习正成为应用领域的一项重要任务，攻击者可能会将恶意数据注入训练集中，以破坏数据驱动技术的正常运行。特征选择已被广泛用于安全应用的机器学习中，以提高泛化和计算效率，尽管尚不清楚当训练数据被智能攻击者毒化时，其使用是否可能是有益的，甚至是适得其反的。在这项工作中，我们揭示了这个问题，提供了一个框架来研究流行的特征选择方法，包括LASSO，岭回归和弹性网络的鲁棒性。我们在恶意软件检测上的结果表明，特征选择方法在受到攻击时可能会受到严重影响（我们可以通过仔细插入少于5%的中毒训练样本，将LASSO减少到几乎随机选择特征集），突出了对特定对策的需求。
2018-04-21 cs.CR cs.GT cs.LG
The Promptware Kill Chain: How Prompt Injections Gradually Evolved Into a Multistep Malware Delivery Mechanism
Department of Software and Information Systems Engineering, Ben-Gurion University of the Negev（本·古里安大学软件与信息系统工程系）；School of Electrical and Computer Engineering, Tel Aviv University（特拉维夫大学电气与计算机工程学院）；Harvard Kennedy School, Harvard University, and Munk School, University of Toronto（哈佛大学哈佛肯尼迪学校及多伦多大学穆克学校）
本文提出提示武器杀链模型，揭示提示注入演变为多步骤恶意软件攻击机制的过程，并提出针对各阶段的防御策略。
2026-02-10 cs.AI cs.CR
"Your Robot Was Trained on a Lie": Collision Mesh Poisoning Attacks on Robotic Manipulation
Hong Kong University of Science and Technology（香港科技大学）；Zhejiang University（浙江大学）
针对机器人操作，利用视觉与碰撞网格差异，提出碰撞网格投毒攻击，使策略在模拟中正常但真实部署时失效，现有防御不足。
2026-09-18 cs.CR cs.RO
Federated Learning for Malware Detection in IoT Devices
École Polytechnique Fédérale de Lausanne (EPFL)（洛桑联邦理工学院）；University of Murcia（穆尔西亚大学）；University of Zurich UZH（苏黎世大学）；Cyber-Defence Campus, armasuisse Science & Technology（瑞士国防部科技局网络防御校区）
这项工作调查了联邦学习在物联网恶意软件检测方面的可能性，并研究了这种新学习范式所固有的安全问题。在此背景下，提出了一种使用联邦学习来检测影响IoT设备的恶意软件的框架。N-BaIoT是一个数据集，对受恶意软件影响的几个真实物联网设备的网络流量进行建模，已被用于评估所提出的框架。有监督和无监督的联邦模型（多层感知器和自动编码器）都能够检测影响N-BaIoT可见和不可见物联网设备的恶意软件。此外，他们的表现进行了比较，两个传统的方法。第一种是让每个参与者只使用自己的数据在本地训练模型，而第二种是让参与者与负责训练全局模型的中央实体共享数据。这种比较表明，使用更多样化和更大的数据，如在联邦和集中式方法中所做的那样，对模型性能有相当大的积极影响。此外，联邦模型，同时保护参与者的隐私，表现出类似的结果集中的。作为一个额外的贡献，并衡量联邦方法的鲁棒性，一个对抗性的设置与几个恶意参与者中毒的联邦模型已被考虑。在大多数联邦学习算法中使用的基线模型聚合平均步骤似乎非常容易受到不同的攻击，即使是单一的对手。因此，在相同的攻击场景下，作为对策的其他模型聚合功能的性能进行评估。这些功能提供了针对恶意参与者的显著改进，但是仍然需要更多的努力来使联邦方法健壮。
2021-11-19 cs.CR cs.LG
Certified Robustness to Label-Flipping Attacks via Randomized Smoothing
Carnegie Mellon University（卡内基梅隆大学）；Bosch Center for AI（博世人工智能中心）
已知机器学习算法易受数据投毒攻击的影响，其中对手操纵训练数据以降低所得分类器的性能。在这项工作中，我们提出了一个统一的观点，随机平滑任意函数，我们利用这种新的特性，提出了一种新的策略，用于建立分类器，逐点可证明的鲁棒性一般数据投毒攻击。作为一个具体的实例，我们利用我们的框架来构建线性分类器，这些分类器对标签翻转的强变体具有鲁棒性，其中每个测试示例都是独立的。换句话说，对于每个测试点，我们的分类器都包括一个认证，即如果一些训练标签被反向改变，它的预测将是相同的。随机平滑以前已被用来保证-高概率-测试时的鲁棒性对抗操纵的输入到分类器，我们推导出一个变种，提供了一个确定性的，分析的界限，回避了传统上从抽样子程序的概率证书。此外，我们得到这些认证的界限，最小的额外的运行时复杂性超过标准分类，没有假设的训练或测试分布。我们将我们的结果推广到多类的情况下，提供了第一个多类分类算法，是证明标签翻转攻击的鲁棒性。
2020-08-11 cs.AI cs.CR cs.LG
A Linear Approach to Data Poisoning
Mathematical Institute, Oxford（牛津数学研究所）
本文提出了一种线性方法，通过分析岭最小二乘法在高维情况下的表现，推导出数据污染的闭式极限，并展示了污染强度、过参数化和正则化之间的联系。
2026-01-05 cs.CR cs.LG math.ST
FLoW3 -- Web3 Empowered Federated Learning
FLoW3提出一种Web3赋能的联邦学习框架，通过验证者共识、区块链信任分数及IPFS与PGP加密，抵御模型投毒和中间人攻击，实验结果与Flower相当。
2023-12-09 cs.CR
A Backdoor Approach with Inverted Labels Using Dirty Label-Flipping Attacks
INRS-EMT, University of Québec（魁北克大学INRS-EMT学院）
针对音频 DNN 的数据投毒风险，提出 DirtyFlipping 后门攻击，通过 label-on-label 脏标签技术与拍手触发器实现隐蔽植入。
2024-04-07 cs.AI cs.CL cs.CR
Fabricated Flips: Poisoning Federated Learning without Data
TU Delft（代尔夫特理工大学）
本文提出无数据无目标攻击DFA（含DFA-R和DFA-G两种变体），通过合成恶意数据构建对抗模型，无需窃听或大量特定数据即可有效毒化联邦学习，并设计了REFD防御机制以检测和过滤此类恶意更新。
2023-08-02 cs.AI cs.CR cs.LG
Defending against the Label-flipping Attack in Federated Learning
Universitat Rovira i Virgili（罗维拉-威尔吉利大学）
联邦学习（FL）通过设计为参与的对等体提供自主性和隐私性，这些对等体合作构建机器学习（ML）模型，同时将其私有数据保存在其设备中。然而，同样的自治为恶意对等点打开了大门，通过进行无目标或有目标的中毒攻击来毒害模型。标签翻转（LF）攻击是一种有针对性的中毒攻击，其中攻击者通过翻转来自一个类的一些示例的标签（即，源类）到另一个（即，目标类）。不幸的是，这种攻击很容易执行，很难检测到，它对全局模型的性能产生了负面影响。针对LF的现有防御受到对对等体数据分布的假设的限制，并且/或者在高维模型中表现不佳。在本文中，我们深入研究了LF攻击行为，发现攻击者和诚实的对等体对源类示例的矛盾目标反映在输出层中源类和目标类神经元对应的参数梯度中，使这些梯度成为攻击检测的良好区分特征。因此，我们提出了一种新的防御，首先动态地提取这些梯度从同行的本地更新，然后聚类提取的梯度，分析产生的集群和过滤掉潜在的坏更新模型聚合之前。在三个数据集上的大量实证分析表明，无论数据分布或模型维数如何，所提出的防御方法都能有效地抵御LF攻击。此外，所提出的防御优于几个国家的最先进的防御，提供更低的测试误差，更高的整体准确性，更高的源类准确性，更低的攻击成功率，和更高的稳定性的源类准确性。
2022-07-05 cs.CR cs.LG
FedNIA: Noise-Induced Activation Analysis for Mitigating Data Poisoning in Federated Learning
University of Windsor（温莎大学）；University of New Brunswick（新不伦瑞克大学）
针对联邦学习中的数据投毒攻击，提出无需中央测试集的FedNIA防御框架，通过注入噪声并分析逐层激活模式来识别恶意客户端，实验验证其对多种攻击有效。
2026-09-23 cs.AI cs.CR cs.LG
Mitigating Sybils in Federated Learning Poisoning
University of British Columbia（不列颠哥伦比亚大学）
各种领域都需要分布式多方数据上的机器学习（ML）。现有的方法，如联邦学习，收集由一组设备在中央聚合器计算的输出，并运行迭代算法来训练全局共享模型。不幸的是，这种方法容易受到各种攻击，包括模型中毒，这在sybil的存在下变得更糟。在本文中，我们首先评估联邦学习的脆弱性，以sybil为基础的中毒攻击。然后，我们描述了\emph{FoolsGold}，一种新的防御这个问题，确定中毒sybils的基础上的客户端更新的多样性，在分布式学习过程中。与以前的工作不同，我们的系统不限制预期的攻击者数量，不需要学习过程之外的辅助信息，并且对客户端及其数据的假设较少。在我们的评估中，我们表明FoolsGold超过了现有最先进的方法来对抗基于sybil的标签翻转和后门中毒攻击的能力。我们的研究结果适用于不同分布的客户端数据，不同的中毒目标，和各种sybil策略。代码可以在：https://github.com/DistributedML/FoolsGold上找到
2020-07-15 cs.CR cs.DC cs.LG
Label Poisoning is All You Need
Paul G. Allen School of Computer Science & Engineering（保罗·G·艾伦计算机科学与工程学院）；University of Washington, Seattle（华盛顿大学西雅图分校）
本文提出FLIP方法，首次证明仅通过破坏少量训练标签即可发动高效后门攻击，在多个数据集和架构上以2%标签破坏率实现99.4%攻击成功率，同时几乎不影响干净准确率。
2023-10-29 cs.CR cs.CV cs.LG
Can Machine Learning Model with Static Features be Fooled: an Adversarial Machine Learning Approach
Shiraz University of Technology（设拉子理工大学）；University of Padua（帕多瓦大学）
智能手机的广泛采用大大增加了攻击和移动恶意软件传播的风险，特别是在Android平台上。基于机器学习的解决方案已经被用作取代基于签名的反恶意软件系统的工具。然而，恶意软件作者利用恶意和合法样本的特征来估计统计差异，以创建对抗性示例。因此，为了评估恶意软件检测中机器学习算法的脆弱性，我们提出了五种不同的攻击场景来扰乱恶意应用程序（应用程序）。通过这样做，分类算法不适当地将判别函数拟合在数据点集上，最终产生更高的误分类率。此外，为了区分敌对样本和良性样本，我们提出了两种防御机制来对抗攻击。为了验证我们的攻击和解决方案，我们在三个不同的基准数据集上测试了我们的模型。我们还使用各种分类器算法测试我们的方法，并将其与使用雅可比矩阵的最先进的数据投毒方法进行比较。有希望的结果表明，生成的对抗样本可以以非常高的概率逃避检测。此外，当使用生成对抗网络（GAN）方法时，我们的攻击模型生成的规避变体用于强化开发的反恶意软件系统时，可将检测率提高至50%。
2020-02-29 cs.AI cs.CC cs.CR
ADMIT: Few-shot Knowledge Poisoning Attacks on RAG-based Fact Checking
Deakin University（德金大学）；Fudan University（复旦大学）；City University of Hong Kong（香港城市大学）
ADMIT提出一种无需访问目标模型的少样本攻击方法，通过注入真实证据来翻转事实核查决策，实验显示其在多种系统中成功率达86%，揭示了RAG事实核查系统的重大漏洞。
2026-05-15 cs.AI cs.CL cs.CR
Understanding Variation in Subpopulation Susceptibility to Poisoning Attacks
University of Virginia（弗吉尼亚大学）
本文研究了投毒攻击对不同子群体有效性的影响属性，发现数据集可分离性及干净模型与目标模型间的损失差异是关键因素，该结论在合成与高维基准数据集上均得到验证。
2023-11-20 cs.CR cs.LG
PBP: Post-training Backdoor Purification for Malware Classifiers
PBP是一种后训练方法，通过调节批量归一化层统计特性，有效净化恶意软件分类器中的后门，显著降低攻击成功率。
2026-02-12 cs.AI cs.CR cs.LG
