决策边界检测后门模型的 X 射线模型
内容提要
该文综述深度神经网络后门攻击与防御研究，涵盖黑盒反向工程检测、无目标毒化攻击、自监督微调缓解、无需可信数据的检测修复、贝叶斯网络反向分布攻击、触发器反向工程检测、随机平滑鲁棒性、NEO框架、后门专家模型及可变大小触发器等方法，并通过实验验证其有效性。
延伸解读
后门攻击的演进与多样化
文章梳理了后门攻击从早期针对图像分类的简单毒化，发展到针对目标检测的无目标攻击、贝叶斯网络的反向分布攻击，以及适应物体大小变化的可变触发器。攻击面从数字世界扩展到物理世界，且对潜在防御具有抵御力，表明后门威胁正变得更多样且更难防御。
防御策略的层次与互补
防御方法包括黑盒反向工程检测、触发器反向工程、随机平滑鲁棒性训练、NEO框架以及后门专家模型等。这些方法分别从检测、修复和鲁棒性增强等不同层面入手，且部分方法无需可信数据或模型无关，为实际部署提供了灵活选择。
现实世界部署的挑战
文章指出，使用第三方资源训练模型时易引入后门，尤其对目标检测等关键应用构成威胁。物理世界中的攻击需克服视点、距离和噪声干扰，而可变大小触发器和恶意对抗训练提高了攻击成功率，这提醒开发者在现实场景中需更重视后门风险。
Q&A
什么是后门攻击？深度神经网络为什么容易受到后门攻击？
后门攻击是指攻击者在深度神经网络训练过程中植入恶意触发器，使得模型在遇到特定触发器时产生错误输出的攻击方式。深度神经网络容易受到后门攻击，尤其是在使用第三方资源训练时，容易引入后门威胁，对目标检测等关键应用造成威胁。
如何检测深度神经网络中的后门攻击？有哪些主要方法？
检测后门攻击的主要方法包括：基于黑盒模型的反向工程优化算法、基于触发器反向工程的方法、模型无关框架NEO、以及不需要可信数据的检测修复方法。这些方法通过反向工程、触发器分析等技术来识别被植入后门的模型。
后门攻击有哪些类型？请举例说明。
后门攻击类型包括：无目标毒化攻击（使模型无法检测到带有触发模式的物体）、基于反向分布的攻击（针对贝叶斯神经网络，攻击成功率达100%）、可变大小触发器攻击（适应被攻击对象不同大小，克服视点距离干扰）等。
如何防御或缓解深度神经网络中的后门攻击？
防御或缓解后门攻击的方法包括：自监督学习和半监督微调（将训练过程分解为三个阶段）、随机平滑技术（确保模型对威胁模型的健壮性）、后门专家模型（从感染模型中提取后门功能并重建仅识别后门输入的模型）、以及恶意对抗训练（使后门对象检测器学习带有物理噪声的触发器特征）。
NEO框架是什么？它如何用于后门攻击的检测和缓解？
NEO是一个模型无关的框架，用于检测和缓解图像分类机器学习模型中的后门攻击。它不依赖于特定模型结构，并在三种被污染的模型上评估了其表现，能有效检测和缓解后门攻击。
后门专家模型是什么？它是如何工作的？
后门专家模型是一种针对深度神经网络的后期开发防御方法。它通过新颖的反向工程方法，直接从给定的感染模型中提取出后门功能，并将其重建成仅能识别后门输入的模型。该防御方法在多个数据集和模型架构上验证，能有效减轻16种最先进的后门攻击。
