防御文本到图像扩散模型：文本扰动对后门攻击的惊人有效性
内容提要
本文探讨了文本引导生成模型的后门攻击，提出了BadT2I攻击框架和T2IShield防御方法，评估了模型的鲁棒性，并展示了后门检测和定位的有效性。实验结果表明，后门攻击可通过少量恶意数据激活，强调了防御策略的重要性。
延伸解读
后门攻击的演进与文本触发器的隐蔽性
文章梳理了从2022年至2024年文本到图像扩散模型后门攻击的研究进展。早期工作演示了在提示中插入单个字符触发器即可实现高有效性攻击，后续研究进一步在像素、物体和风格三个语义层次上验证了攻击的可行性。这些攻击通常只需少量恶意数据微调即可激活，且在后续训练中保持效果，凸显了文本编码器修改带来的实际威胁。
防御策略：从检测到缓解的全面框架
针对后门攻击，文章重点介绍了T2IShield防御方法。该方法基于交叉注意力图中的“同化现象”，提出了Frobenius范数阈值截断和协方差判别分析两种检测手段，并利用二分搜索定位触发器。实验表明，T2IShield在低计算成本下实现了88.9%的检测F1分数和86.4%的定位F1分数，并能无效化99%的毒化样本，为防御提供了有效工具。
攻击与防御的平衡：实际影响与未来方向
文章指出，后门攻击不仅损害模型功能，还可用于背门防御，例如通过触发率检测污染数据或设计反背门分类器。同时，个性化模型中的零日后门漏洞和概念审查需求，强调了在操作限制下证明偏见存在的挑战。这些发现提示，在部署文本到图像模型时，需兼顾攻击鲁棒性评估与防御策略的持续优化。
Q&A
什么是BadT2I攻击框架？
BadT2I攻击框架是一种针对文本引导生成模型的后门攻击方法，通过正则化损失注入恶意输入进行实验。
T2IShield防御方法的主要功能是什么？
T2IShield防御方法用于检测、定位和缓解文本到图像扩散模型中的后门攻击。
后门攻击是如何通过污染训练数据实现的？
后门攻击可以通过仅污染训练数据而无需篡改原始扩散过程来实现，影响模型功能。
研究中提到的ATM方法有什么作用？
ATM方法通过Gumbel Softmax分布学习生成高效、多样的扰动样本，以提高模型的稳健性。
文本到图像扩散模型的鲁棒性问题是什么？
文本到图像扩散模型的鲁棒性问题在于其易受攻击，可能在多个语义层次上被后门攻击影响。
后门检测方法有哪些？
后门检测方法包括Frobenius Norm Threshold Truncation和Covariance Discriminant Analysis。
