Towards Effective, Stealthy, and Persistent Backdoor Attacks Targeting Graph Foundation Models
本文提出GFM-BA，一种针对图基础模型的高效、隐蔽和持久后门攻击方法，通过无标签触发关联模块、节点自适应触发生成器和持久后门锚定模块解决后门攻击的三大挑战。
2025-11-22 cs.AI cs.CR
CL-Attack: Textual Backdoor Attacks via Cross-Lingual Triggers
Hong Kong University of Science and Technology (Guangzhou)（香港科技大学（广州））；Tsinghua University（清华大学）
提出CL-Attack，一种利用跨语言段落结构注入后门的高隐蔽性攻击方法，在分类与生成任务中接近100%成功率，并开发TranslateDefense防御以部分缓解其影响。
2025-03-31 cs.AI cs.CR
Invisible Textual Backdoor Attacks based on Dual-Trigger
School of Cyberspace Security (School of Cryptology)（网络安全学院（密码学院））；Hainan University（海南大学）
本文提出一种基于句法和语气双触发器的文本后门攻击方法，通过模拟双地雷机制提升触发灵活性与抗防御能力，并给出中毒数据集构建方法，实验表明其攻击成功率接近100%。
2025-07-18 cs.AI cs.CR
A temporal chrominance trigger for clean-label backdoor attack against anti-spoof rebroadcast detection
University of Siena（锡耶纳大学）
我们提出了一种针对基于深度学习（DL）的模型的隐形清洁标签视频后门攻击，旨在检测特定类别的欺骗攻击，即视频重播攻击。注入的后门在正常情况下不会影响欺骗检测，但在存在特定触发信号的情况下会引起错误分类。所提出的后门依赖于改变视频序列的平均色度的时间触发器。后门信号的设计考虑了人类视觉系统（HVS）的特性，以降低触发器的可见性，从而增加后门的隐蔽性。为了迫使网络在具有挑战性的清洁标签场景中查看触发器的存在，我们选择了用于注入后门的中毒样本，遵循所谓的离群值中毒策略（OPS）。根据OPS，触发信号被插入到网络发现更难以分类的训练样本中。在不同的数据集和反欺骗重播检测架构上，实验验证了所提出的后门攻击的有效性和通用性.
2022-06-02 cs.AI cs.CR cs.CV
Removing the Trigger, Not the Backdoor: Alternative Triggers and Latent Backdoors
University of Bergen（卑尔根大学）；Delft University of Technology（代尔夫特理工大学）；University of Zagreb（Zagreb大学）；Radboud University（拉德堡德大学）
本文提出替代触发器存在并影响后门特征空间，主张防御应针对表示空间中的后门方向而非输入空间触发器。
2026-03-10 cs.CR cs.CV
Backdoor Decontamination Dynamics in LLM Agents
ServiceNow Research（ServiceNow研究院）；Mila -- Quebec AI Institute（米拉-魁北克人工智能研究所）；McGill University（麦吉尔大学）；Canada CIFAR AI Chair（加拿大CIFAR人工智能讲席）
本研究针对大语言模型智能体的后门问题，提出框架研究净化动力学，发现防御性投毒加遗忘可高效擦除多数后门，中间层仍留触发器感知痕迹。
2026-08-13 cs.AI cs.CR
When Backdoors Go Beyond Triggers: Semantic Drift in Diffusion Models Under Encoder Attacks
Google（谷歌）；Electrical and Computer Engineering Department University of Hawai‘i at Mānoa（电气与计算机工程系，夏威夷大学马诺阿分校）
研究揭示了在编码器攻击下扩散模型的语义漂移问题，提出SEMAX框架用于量化结构退化，强调几何审计的重要性。
2026-02-21 cs.AI cs.CR
Unveiling Hidden Threats: Using Fractal Triggers to Boost Stealthiness of Distributed Backdoor Attacks in Federated Learning
Faculty of Applied Sciences（应用科学学院）；Central Queensland University（中央昆士兰大学）
本文提出分形触发分布式后门攻击（FTDBA），利用分形自相似性增强子触发器特征，减少中毒数据需求，并通过动态角度扰动提升隐蔽性，实验显示高攻击成功率与低检测率。
2026-09-09 cs.AI cs.CR
SFIBA: Spatial-based Full-target Invisible Backdoor Attacks
College of Control Science and Engineering, China University of Petroleum (East China)（控制科学与工程学院，中国石油大学（华东））；College of Computer Science and Electronic Engineering, Hunan University（计算机科学与电子工程学院，湖南大学）
SFIBA提出了一种基于空间的全目标不可见后门攻击方法，通过局部空间区域和形态约束确保触发器特异性，结合频域触发器注入提升隐蔽性，有效提升攻击性能并绕过现有防御。
2026-03-07 cs.AI cs.CR
Stealthy Dual-Trigger Backdoors: Attacking Prompt Tuning in LM-Empowered Graph Foundation Models
HKPolyU（香港PolyU）；Hong Kong Chu Hai College（香港 Chu Hai 学院）；Shanghai Jiao Tong University（上海交通大学）
针对LM赋能图基础模型提示微调阶段，提出文本级与结构级双触发器后门攻击框架，利用预建文本池实现高隐蔽攻击，保持干净准确率的同时达到高攻击成功率。
2025-10-16 cs.AI cs.CR
From Poisoned to Aware: Fostering Backdoor Self-Awareness in LLMs
Purdue University（普渡大学）；Columbia University（哥伦比亚大学）
针对LLMs的后门攻击，提出一种基于逆向工程强化学习的训练后框架，培养模型自我意识以识别植入触发器，实验显示能显著提升模型对后门风险的鲁棒性。
2025-10-05 cs.AI cs.CR
Eliminating Backdoors in Neural Code Models for Secure Code Understanding
Nanyang Technological University（南洋理工大学）；Nanjing University（南京大学）
针对神经代码模型易受后门攻击的问题，提出 EliBadCode，通过触发器筛选、定位、逆向优化、锚定纯化与模型遗忘消除后门，并在三类安全关键任务上验证其有效且低损伤。
2025-02-20 cs.AI cs.CR cs.SE
Concealing Backdoor Model Updates in Federated Learning by Trigger-Optimized Data Poisoning
Duke University（杜克大学）
针对联邦学习后门更新易被防御检测的问题，提出DPOT触发器优化数据投毒攻击，仅靠数据投毒即可隐藏恶意更新并突破现有防御。
2024-09-09 cs.AI cs.CR cs.LG
From Shortcuts to Triggers: Backdoor Defense with Denoised PoE
UC Davis（加利福尼亚大学戴维斯分校）；USC（南加利福尼亚大学）；UW-Madison（威斯康星大学麦迪逊分校）
针对触发器多样的语言模型后门攻击，提出端到端集成防御框架 DPoE，通过浅层模型捕获后门捷径、主模型规避捷径并加入去噪机制，在 SST-2 上显著提升多类及混合触发器防御效果。
2024-04-02 cs.AI cs.CL cs.CR
UNICORN: A Unified Backdoor Trigger Inversion Framework
Rutgers University（罗格斯大学）
本文针对现有后门触发器逆向方法无法泛化多种触发器类型的问题，正式定义了注入不同空间的触发器及逆向问题，并提出统一框架 UNICORN，有效且通用地在 DNN 中逆向后门触发器。
2023-04-05 cs.AI cs.CR cs.CV
Pay Attention to the Triggers: Constructing Backdoors That Survive Distillation
针对现有LLM后门难以通过知识蒸馏转移的问题，提出T-MTB技术，用蒸馏数据中常见词元构建复合触发器，实现可转移后门并验证其在多场景多模型下的安全风险。
2025-10-21 cs.AI cs.CR cs.LG
TokenScanner: Detecting Backdoors and Discovering Triggers in Text-to-Image LoRAs via Full Vocabulary Scanning
The Australian National University（澳大利亚国立大学）
TokenScanner通过扫描全词汇并测量LoRA响应，检测文本到图像扩散模型中的后门LoRA并发现触发器，在840个后门和840个良性LoRA上达到95.96% AUC和99.40% Hit@5。
2026-09-29 cs.CR
Invisible Backdoor Attack with Sample-Specific Triggers
近年来，后门攻击给深度神经网络（DNN）的训练过程带来了新的安全威胁。攻击者打算将隐藏的后门注入DNN，这样被攻击的模型在良性样本上表现良好，而如果攻击者定义的触发器激活了隐藏的后门，则其预测将被恶意更改。现有的后门攻击通常采用触发器与样本无关的设置，$i.e.,$不同的中毒样本包含相同的触发器，导致现有的后门防御可以很容易地抵御攻击。在这项工作中，我们探索了一种新的攻击模式，后门触发器是特定于样本的。在我们的攻击中，我们只需要修改某些训练样本与不可见的扰动，而不需要操纵其他训练组件（$e.g.$，训练损失，和模型结构）所需的许多现有的攻击。具体来说，受基于DNN的图像隐写术的最新进展的启发，我们通过编码器-解码器网络将攻击者指定的字符串编码为良性图像，从而生成样本特定的不可见加性噪声作为后门触发器。当DNN在中毒数据集上训练时，将生成从字符串到目标标签的映射。在基准数据集上的大量实验验证了该方法在攻击有防御和无防御模型时的有效性。
2021-08-13 cs.CR
BATT: Backdoor Attack with Transformation-based Triggers
Research Center for Computer Network (Shenzhen) Ministry of Education（教育部计算机网络（深圳）研究中心）
深度神经网络（DNN）容易受到后门攻击的攻击。后门攻击者打算通过注入隐藏的后门来恶意控制被攻击DNN的预测，这些后门可以在训练过程中由攻击者指定的触发模式激活。最近的一项研究表明，大多数现有的攻击在真实的物理世界中失败了，因为数字化测试样本中包含的触发器可能与用于训练的触发器不同。因此，用户可以采用空间变换作为图像预处理来去激活隐藏的后门。在本文中，我们从另一个侧面探索了以前的研究结果。我们利用经典的空间变换（即旋转和平移）与特定的参数作为触发模式，设计了一个简单而有效的基于中毒的后门攻击。例如，只有旋转到特定角度的图像才能激活受攻击DNN的嵌入式后门。进行了大量的实验，验证了我们的攻击在数字和物理环境下的有效性，以及它对现有后门防御的抵抗力。
2023-03-06 cs.AI cs.CR cs.CV
Dangerous Cloaking: Natural Trigger based Backdoor Attacks on Object Detectors in the Physical World
NanJing University of Science and Technology（南京理工大学）；University of Adelaide（阿德莱德大学）；Data61, CSIRO（澳大利亚联邦科学与工业研究组织Data61）；Sungkyunkwan University（成均馆大学）
深度学习模型已被证明容易受到最近的后门攻击。后门模型对于不包含攻击者秘密选择的触发器的输入行为正常，而对于包含触发器的输入行为恶意。迄今为止，后门攻击和对策主要集中在图像分类任务上。它们中的大多数都是在数字世界中通过数字触发器实现的。除了分类任务之外，目标检测系统也被认为是计算机视觉任务的基本基础之一。但是，没有对物体检测器的后门漏洞进行调查和了解，即使在数字触发器的数字世界中也是如此。这项工作第一次证明了现有的对象检测器本质上容易受到物理后门攻击的影响。我们用一件从市场上买来的天然T恤作为触发器来实现隐形效应--人的边界框在物体探测器面前消失。我们表明，这样的后门可以从两个可利用的攻击场景植入到对象检测器中，该对象检测器通过预先训练的模型进行外包或微调。我们已经广泛评估了三种流行的目标检测算法：基于锚的Yolo-V3，Yolo-V4和无锚的CenterNet。基于在真实场景中拍摄的19个视频，我们证实了后门攻击对各种因素都是鲁棒的：运动、距离、角度、非刚性变形和照明。具体来说，大多数视频中的攻击成功率（ASR）为100%或接近100%，而后门模型的干净数据准确性与干净模型相同。后者意味着仅仅通过验证集来检测后门行为是不可行的。在CenterNet上评估的迁移学习攻击场景中，平均ASR仍然足够高，达到78%。请在www.example.com上观看演示视频。
2022-05-29 cs.AI cs.CR cs.CV
Don't Trigger Me! A Triggerless Backdoor Attack Against Deep Neural Networks
CISPA Helmholtz Center for Information Security（CISPA 亥姆霍兹信息安全研究中心）
针对深度神经网络的后门攻击由于其严重的安全后果目前正被深入研究。当前最先进的后门攻击要求对手修改输入，通常是通过向其添加触发器，以便目标模型激活后门。这种增加的触发器不仅增加了在物理世界中发动后门攻击的难度，而且可以很容易地被多种防御机制检测到。在本文中，我们提出了第一个针对深度神经网络的无攻击者后门攻击，其中对手不需要修改触发后门的输入。我们的攻击是基于dropout技术。具体地说，我们将一组在模型训练期间退出的目标神经元与目标标签相关联。在预测阶段，当目标神经元再次被丢弃时，模型将输出目标标签，即，则发起后门攻击。我们的攻击的这种无边界特征使其在物理世界中变得实用。大量的实验表明，我们的无攻击者的后门攻击达到了完美的攻击成功率，可以忽略不计的损害模型的实用性。
2020-10-07 cs.CR cs.CV cs.LG
Purifying Generative LLMs from Backdoors without Prior Knowledge or Clean Reference
Department of Computer Science（计算机科学系）
本文提出一种无需先验知识或干净参考的生成式大语言模型净化框架，通过分析后门关联在MLP层中的冗余编码，设计免疫启发的消除方法，通过合成后门变体和对比清洁版本，发现共享的后门签名，从而净化模型以抵御多种后门攻击。
2026-03-13 cs.AI cs.CR cs.LG
Meme Trojan: Backdoor Attacks Against Hateful Meme Detection via Cross-Modal Triggers
本文提出 Meme Trojan 框架，通过跨模态触发器和可学习触发器增强器对仇恨表情包检测发起后门攻击，在有效性和隐蔽性上优于现有方法。
2024-12-20 cs.CR
DETOUR: A Practical Backdoor Attack against Object Detection
Delft University of Techology（代尔夫特理工大学）；University of Turku（图尔库大学）
DETOUR提出一种实用后门攻击方法，通过语义触发器在不同尺寸和位置激活后门，提升攻击有效性。
2026-04-27 cs.CR
Isolate Trigger: Detecting and Eliminating Adaptive Backdoor Attacks
针对可绕过现有防御的自适应后门攻击，本文提出IsTr框架，通过特征关注差异设计机制隔离触发器，结合遗忘学习修复模型，在多场景下实现更优的检测与防御效果。
2025-11-15 cs.CR
Solving the Capsulation Attack against Backdoor-based Deep Neural Network Watermarks by Reversing Triggers
为了保护人工智能模型，特别是深度神经网络在黑箱环境下的知识产权，提出了基于后门的数字水印方案。与普通后门相比，基于后门的水印需要以数字方式包含所有者的身份，这一事实对触发器生成和验证程序增加了额外的要求。此外，这些问题产生额外的安全风险后，水印方案已被公布为取证工具或所有者的证据已被窃听on.This本文提出的封装攻击，一种有效的方法，可以使大多数建立后门为基础的水印方案无效，而不牺牲盗版模型的功能。通过使用基于规则的过滤器或贝叶斯过滤器封装深度神经网络，攻击者可以阻止所有权探测并拒绝所有权验证。我们提出了一个度量，CAScore，衡量一个基于后门的水印方案的安全性对封装攻击。本文还提出了一种新的基于后门的深度神经网络水印方案，该方案通过反转编码过程和随机暴露触发器来抵抗封装攻击。
2022-08-30 cs.CR
StepTrigger: Contact-State-Triggered Backdoor Attacks on VLM-Powered Legged Robots
Michigan Technological University（密歇根理工大学）
本文提出StepTrigger，一种针对VLM驱动腿式机器人的接触状态触发后门攻击，利用压力和脚-地面接触模式作为隐藏触发条件，在保持正常行为的同时实现目标选择改变，揭示了现有防御的盲区。
2026-10-27 cs.AI cs.CR cs.RO
Enhancing Clean Label Backdoor Attack with Two-phase Specific Triggers
Beijing Institute of Technology（北京理工大学）
后门攻击威胁着深度神经网络（DNN）。对于隐秘性，研究人员提出了清洁标签后门攻击，这要求对手不改变中毒训练数据集的标签。由于图像-标签对正确，清洁标签设置使攻击更加隐蔽，但仍然存在一些问题：首先，传统的中毒训练数据的方法是无效的;其次，传统的触发器是不隐蔽的，仍然是可感知的。为了解决这些问题，我们提出了一个两阶段和图像特定的触发器生成方法，以加强清洁标签后门攻击。我们的方法是（1）强大的：我们的触发器都可以促进两个阶段（即，后门植入和激活阶段）同时进行后门攻击;（2）隐秘性：我们的触发器是从每个图像中生成的。它们是特定于图像的，而不是固定的触发器。大量实验表明，我们的方法在多种评估指标下可以获得出色的攻击成功率~（98.98%）、中毒率~（5%）、高隐蔽性，并且可以抵抗后门防御方法。
2022-06-10 cs.CR cs.CV
Test-Time Detection of Backdoor Triggers for Poisoned Deep Neural Networks
Pennsylvania State University（宾夕法尼亚州立大学）
后门（特洛伊木马）攻击是针对深度神经网络（DNN）的新兴威胁。每当来自任何源类的测试样本嵌入后门模式时，被攻击的DNN将预测攻击者想要的目标类;同时正确分类干净（无攻击）的测试样本。现有的后门防御在检测DNN是否受到攻击以及在“后训练”机制中对后门模式进行逆向工程方面取得了成功：防御者可以访问要检查的DNN和独立收集的小而干净的数据集，但无法访问DNN的（可能中毒的）训练集。然而，这些防御既不能在触发后门映射的行为中抓住罪犯，也不能在测试时减轻后门攻击。在本文中，我们提出了一个“飞行中”防御后门攻击的图像分类，1）检测使用后门触发器在测试时，和2）推断类的起源（源类）检测到的触发器的例子。我们的防御的有效性进行了实验证明，对不同的强大的后门攻击。
2021-12-06 cs.CR cs.LG
On the Vulnerability of Backdoor Defenses for Federated Learning
Tongji University（同济大学）；Pennsylvania State University（宾夕法尼亚州立大学）
联邦学习（FL）是一种流行的分布式机器学习范例，它能够在不共享客户端数据的情况下联合训练全局模型。然而，其重复的服务器-客户端通信为后门攻击提供了空间，目的是在呈现特定触发模式时误导全局模型进入有针对性的错误预测。为了应对这种对联邦学习的后门威胁，已经提出了各种防御措施。在本文中，我们研究了当前的防御机制是否真正中和后门的威胁，从联邦学习在一个实际的设置，提出了一个新的联邦后门攻击方法可能的对策。与传统的基于后门注入的训练（在触发数据上）和重新缩放（恶意客户端模型）不同，所提出的后门攻击框架（1）直接修改（小比例）局部模型权重以通过符号翻转注入后门触发器;（2）与客户端模型联合优化触发模式，从而更持久和隐蔽地规避现有防御。在一个案例研究中，我们从三个主要类别研究了最近的联邦后门防御的优点和缺点，并在实践中训练联邦模型时为从业者提供建议。
2023-01-19 cs.AI cs.CR cs.LG
OPBackdoor: Opportunistic Backdoors via Alibi-Aligned Reasoning
UC San Diego（加州大学圣迭戈分校）
提出机会性后门OPBackdoor，在可利用上下文时触发，通过借口对齐推理伪装，在26B-119B模型上验证，对比监控可检测。
2026-09-22 cs.CR
Motif-Backdoor: Rethinking the Backdoor Attack on Graph Neural Networks via Motifs
Zhejiang University of Technology（浙江工业大学）
本文从模体视角重新思考GNN后门触发器，提出Motif-Backdoor攻击，利用图模体分布快速生成有效触发器，在黑盒与防御场景下均达到SOTA性能，并揭示了低频子图触发器可提升攻击效果的新见解。
2023-05-29 cs.AI cs.CR cs.LG
Rethinking the Backdoor Attacks' Triggers: A Frequency Perspective
Virginia Tech（弗吉尼亚理工大学）；University of Michigan（密歇根大学）
后门攻击一直被认为是对深度学习的严重安全威胁。这种攻击可以使模型在具有预定义触发器的输入上表现异常，并且仍然在干净数据上保持最先进的性能。虽然后门攻击已经从攻击者和防御者双方在图像域中进行了彻底的调查，但到目前为止还没有在频域中进行分析。本文首先从频率的角度重新审视现有的后门触发器，并进行了全面的分析。我们的研究结果表明，许多当前的后门攻击表现出严重的高频伪影，这些伪影在不同的数据集和分辨率上持续存在。我们进一步证明了这些高频伪影能够以98.50%的检测率简单地检测现有的后门触发器，而无需事先了解攻击细节和目标模型。承认以前的攻击的弱点，我们提出了一种实用的方法来创建平滑的后门触发器没有高频文物，并研究其可检测性。我们表明，现有的防御工程可以受益于将这些顺利触发到他们的设计考虑。此外，我们表明，检测器调谐到更强的光滑触发器可以推广到看不见的弱光滑触发器。简而言之，我们的工作强调了在深度学习中设计后门攻击和防御时考虑频率分析的重要性。
2022-01-25 cs.CR cs.LG
M-to-N Backdoor Paradigm: A Multi-Trigger and Multi-Target Attack to Deep Learning Models
本文提出M-to-N后门攻击范式，通过为每个目标类别分配多个与干净图像同分布的触发器并利用中毒图像生成框架实现隐蔽注入，从而实现对多个目标类别的高效攻击，并具备对预处理和现有防御的鲁棒性。
2024-07-01 cs.CR
Rethinking the Trigger-injecting Position in Graph Backdoor Attack
Delft University of Technology（代尔夫特理工大学）；Radboud University Nijmegen（拉德堡德大学奈梅亨分校）；Ikerlan research centre（伊克兰研究中心）
本文研究图神经网络后门攻击中触发器注入位置的影响，提出 MIAS 和 LIAS 两种策略，发现注入最不重要区域的 LIAS 通常攻击效果更好，并通过解释技术揭示了原因。
2023-04-18 cs.CR cs.LG
Backdoor Attack in the Physical World
Tsinghua Shenzhen International Graduate School, Tsinghua University（清华大学深圳国际研究生院）；Tencent AI Lab（腾讯AI实验室）
后门攻击是在深度神经网络（DNN）中注入隐藏的后门，如果攻击者定义的触发器激活了隐藏的后门，那么被感染模型的预测就会被恶意改变。目前，现有的后门攻击大多采用静态触发器的设置，$i.e.,$触发器在训练图像和测试图像上遵循相同的外观，位于相同的区域。在本文中，我们重新审视这种攻击模式，通过分析触发器的特点。我们证明了这种攻击模式是脆弱的，当测试图像中的触发器与用于训练的触发器不一致时。因此，这些攻击在物理世界中的效果要差得多，因为数字化图像中触发器的位置和外观可能与用于训练的图像不同。此外，我们还讨论了如何减轻这种脆弱性。希望本文的工作能启发更多的人对后门的性质进行探索，有助于设计更先进的后门攻击和防御方法。
2021-04-24 cs.AI cs.CR cs.CV
Detecting and Eliminating Neural Network Backdoors Through Active Paths with Application to Intrusion Detection
Smart Networks and Services Joint Undertaking（智能网络与服务联合体）
本文提出通过主动路径检测和消除神经网络后门，应用于入侵检测系统，提供了一种新颖且可解释的方法。
2026-03-11 cs.AI cs.CR cs.LG
Imperceptible Sample-Specific Backdoor to DNN with Denoising Autoencoder
提出基于去噪自编码器的不可感知样本特定后门攻击，触发器因样本而异且不可见，在ImageNet和MS-Celeb-1M上实现近100%攻击成功率且对干净数据影响极小，并能有效规避主流后门防御。
2024-12-21 cs.CR
Backdoor Attack against One-Class Sequential Anomaly Detection Models
Utah State University（犹他州立大学）
本文提出一种针对深度序列异常检测模型的后门攻击策略，通过触发器生成和后门注入两步骤，在保持样本正常性的同时植入后门，并在两个单类异常检测模型上验证了攻击有效性。
2024-02-15 cs.AI cs.CR cs.IT
Effective backdoor attack on graph neural networks in link prediction tasks
College of Computer Engineering and Science, Shanghai University（上海大学计算机工程与科学学院）
本文提出一种针对GNN链路预测任务的后门攻击方法，以单节点为触发器毒化训练节点对，使模型在触发器出现时将无链接节点对误判为有链接，揭示GNN在该任务中的安全漏洞。
2025-05-06 cs.AI cs.CR cs.LG
Demystifying Poisoning Backdoor Attacks from a Statistical Perspective
University of Minnesota（明尼苏达大学）；Cisco Research（思科研究院）
本文从统计视角建立包含常量触发器的后门攻击在干净和后门测试数据上性能的严格上下界，揭示了攻击成功的决定因素、最有效攻击方向及人类不可察觉触发器成功的条件，适用于判别式与生成式模型。
2023-10-18 cs.AI cs.CR cs.LG
Hidden Killer: Invisible Textual Backdoor Attacks with Syntactic Trigger
Tsinghua University（清华大学）；Beijing National Research Center for Information Science and Technology（北京信息科学与技术国家研究中心）；Huawei Noah’s Ark Lab（华为诺亚方舟实验室）；Beihang University（北京航空航天大学）；Huazhong University of Science and Technology（华中科技大学）
后门攻击是一种针对机器学习模型的潜在安全威胁。在训练中注入后门后，受害者模型将在嵌入有预先设计的触发器的输入上产生对手指定的输出，但在推理期间在正常输入上表现良好。后门攻击作为一种突发性攻击，在自然语言处理（NLP）领域的研究还不够深入。据我们所知，几乎所有现有的文本后门攻击方法都是在正常样本中插入额外的内容作为触发器，这样就可以很容易地检测到嵌入的样本，从而阻止后门攻击。在本文中，我们提出使用句法结构作为触发器在文本后门攻击。我们进行了大量的实验，以证明基于语法标记的攻击方法可以达到相当的攻击性能（几乎100%的成功率）的插入为基础的方法，但具有更高的不可见性和更强的抵抗防御。这些结果也揭示了文本后门攻击的重要隐蔽性和危害性。本文的所有代码和数据都可以在https://github.com/thunlp/HiddenKiller上获得。
2021-06-03 cs.CL cs.CR
Is the Trigger Essential? A Feature-Based Triggerless Backdoor Attack in Vertical Federated Learning
Key Laboratory of High Confidence Software Technologies (Peking University), Ministry of Education（高可信软件技术重点实验室（北京大学））；School of Computer Science, Peking University（北京大学计算机学院）；Zhongguancun Laboratory（中关村实验室）
本文提出了一种基于特征的无触发后门攻击，揭示了垂直联邦学习中新的攻击路径，优于现有方法并具备高鲁棒性。
2026-02-24 cs.CR cs.LG
Patcher: Post-Hoc Patching of Backdoored Large Language Models
University of Louisville（路易斯维尔大学）；University of North Texas（北得克萨斯大学）
提出Patcher框架，仅利用单个失败案例和模型参数，通过基于梯度的显著性定位后门触发器，并采用约束微调消除触发-响应关联，同时保持模型效用。
2026-06-15 cs.AI cs.CR cs.IR
Rethinking the Trigger of Backdoor Attack
Tsinghua Shenzhen International Graduate School, Tsinghua University（清华大学深圳国际研究生院）；School of Data Science, The Chinese University of Hong Kong, Shenzhen（香港中文大学（深圳）数据科学学院）；Shenzhen Research Institute of Big Data（深圳大数据研究院）；Tencent AI Lab（腾讯人工智能实验室）
后门攻击是在深度神经网络（DNN）中注入隐藏的后门，一旦被攻击者定义的触发器激活，被感染模型的预测就会被恶意改变，而在良性样本上表现良好。目前，现有的后门攻击大多采用\emph{static}触发器的设置，训练图像和测试图像中的$i.e.,$触发器遵循相同的外观，位于相同的区域。在本文中，我们重新审视这种攻击模式，通过分析静态触发器的特点。我们证明了这样的攻击范例是脆弱的，当测试图像中的触发器与用于训练的触发器不一致时。我们进一步探讨如何利用此属性的后门防御，并讨论如何减轻现有的攻击这样的脆弱性。
2021-01-31 cs.CR cs.CV cs.LG
Backdoor Contrastive Learning via Bi-level Trigger Optimization
针对对比学习中固定触发器后门攻击成功率低的问题，提出基于双层优化的触发器设计方法，在1%低投毒率下实现ImageNet-100上99%的攻击成功率，且可规避现有最先进防御。
2024-04-11 cs.CR
Triggerless Backdoor Attack for NLP Tasks with Clean Labels
Zhejiang University（浙江大学）；Nanyang Technological University（南洋理工大学）；Shanghai Institute for Advanced Study of Zhejiang University（浙江大学上海高等研究院）；Shanghai AI Laboratory（上海人工智能实验室）；Chongqing University（重庆大学）；Peng Cheng Laboratory（鹏城实验室）；Peking University（北京大学）
后门攻击对NLP模型构成了新的威胁。在后门攻击中构造有毒数据的标准策略是插入触发器（例如，稀有词）插入到选定的句子中，并将原始标签改变为目标标签。该策略存在一个严重的缺陷，即容易从触发器和标签两个角度被检测到：注入的触发器通常是一个罕见的单词，导致异常的自然语言表达，因此可以很容易地被防御模型检测到;改变的目标标签导致示例被错误地标记，因此可以很容易地被人工检测到。为了解决这个问题，本文提出了一种新的策略来执行文本后门攻击，不需要外部触发器，中毒样本被正确标记。该策略的核心思想是构造干净标记的示例，其标签是正确的，但与训练集融合时可能导致测试标签变化。针对文本数据不可微的特点，提出了一种基于遗传算法的句子生成模型。大量的实验表明，所提出的攻击策略不仅是有效的，但更重要的是，难以防御，由于其无标记和清洁标记的性质。我们的工作标志着在NLP中开发无冲突攻击策略的第一步。
2022-04-27 cs.AI cs.CL cs.CR
Mitigating Deep Reinforcement Learning Backdoors in the Neural Activation Space
Alan Turing Institute（阿兰·图灵研究所）
本文针对深度强化学习中的后门攻击，提出在神经激活空间中利用分类器检测异常激活的运行时防御方法，实验证明轻量级分类器可有效阻止恶意行为。
2024-07-21 cs.AI cs.CR cs.LG
Exploring Backdoor Vulnerabilities of Chat Models
Gaoling School of Artificial Intelligence, Renmin University of China（中国人民大学高瓴人工智能学院）
本文揭示并实现了一种针对聊天模型的新型后门攻击方法，通过将多个触发场景分散在多轮对话中并在全部出现时激活后门，在保持正常能力的同时实现高攻击成功率且难以被下游重新对齐移除。
2024-04-03 cs.AI cs.CL cs.CR
BackWeak: Backdooring Knowledge Distillation Simply with Weak Triggers and Fine-tuning
School of Computer Science and Artificial Intelligence（计算机科学与人工智能学院）；Wuhan University of Technology（武汉科技大学）
提出BackWeak方法，通过微调教师模型嵌入弱触发器实现后门攻击，无需替代学生模型或模拟蒸馏，在标准蒸馏过程中可靠转移至不同学生架构。
2026-05-25 cs.AI cs.CR cs.CV
Input-Aware Dynamic Backdoor Attack
VinAI Research（VinAI研究院）；Hanoi University of Science and Technology（河内理工大学）；VinUniversity
近年来，神经后门攻击被认为是深度学习系统的潜在安全威胁。这样的系统虽然在干净数据上实现了最先进的性能，但在具有预定义触发器的输入上执行异常。然而，当前的后门技术依赖于统一的触发模式，这些模式很容易被当前的防御方法检测和缓解。在这项工作中，我们提出了一种新的后门攻击技术，其中的触发器不同的输入。为了实现这一目标，我们实现了一个输入感知触发器驱动的多样性损失。一种新的交叉触发器测试应用于强制触发器不可重用性，使后门验证不可能。实验表明，我们的方法是有效的，在各种攻击场景以及多个数据集。我们进一步证明了我们的后门可以绕过最先进的防御方法。一个著名的神经网络检查器的分析再次证明了所提出的攻击的隐蔽性。我们的代码可在https://github.com/VinAIResearch/input-aware-backdoor-attack-release上公开获取。
2020-10-16 cs.CR cs.CV
Shortcuts Everywhere and Nowhere: Exploring Multi-Trigger Backdoor Attacks
Shanghai Key Lab of Intell. Info. Processing, School of CS, Fudan University（上海智能信息处理关键实验室，复旦大学计算机学院）；Bosch Research Asia Pacific & Bosch Center for Artificial Intelligence (BCAI)（博世亚太研究部及博世人工智能中心）；School of Computing and Information Systems, the University of Melbourne（墨尔本大学计算机与信息学院）；School of Computing and Information Systems, Singapore Management University（新加坡管理大学计算机与信息学院）
本研究提出多触发器后门攻击（MTBAs），通过并行、顺序和混合三种攻击方式，证明多个触发器可共存、覆盖或交叉激活，轻易打破现有后门检测方法依赖的捷径假设，并创建数据集以促进防御研究。
2025-10-07 cs.CR cs.LG
Multi-Target Federated Backdoor Attack Based on Feature Aggregation
College of Information Science and Technology, Donghua University（东华大学信息科学与技术学院）
提出基于特征聚合的联邦后门攻击方法，通过维度对齐、像素边界划定和特征交互提升攻击成功率，实现77.39%零样本攻击并绕过防御。
2025-02-23 cs.CR cs.CV
Sleeper Agent: Scalable Hidden Trigger Backdoors for Neural Networks Trained from Scratch
Johns Hopkins University（约翰斯·霍普金斯大学）；University of Maryland（马里兰大学）；New York University（纽约大学）
随着机器学习的数据管理变得越来越自动化，数据集篡改是一个越来越大的威胁。后门攻击者篡改训练数据，在基于该数据训练的模型中嵌入漏洞。然后，通过在模型的输入中放置“触发器”，在推理时激活此漏洞。典型的后门攻击将触发器直接插入训练数据，尽管这种攻击的存在在检查时可能是可见的。相比之下，隐藏触发后门攻击根本不将触发器放置到训练数据中就可以实现中毒。然而，这种隐藏的触发器攻击对于毒害从头开始训练的神经网络是无效的。我们开发了一种新的隐藏触发攻击，睡眠代理，它采用梯度匹配，数据选择，并在制作过程中的目标模型重新训练。Sleeper Agent是第一个对从头开始训练的神经网络有效的隐藏触发后门攻击。我们在ImageNet和黑盒设置中证明了它的有效性。我们的实现代码可以在https://github.com/hsouri/Sleeper-Agent上找到。
2022-10-13 cs.CR cs.CV cs.LG
