多模式大型语言模型的测试期后门攻击
内容提要
本文综述大语言模型后门攻击与防御研究，涵盖深度突变测试防御、REACT基线、UOR自动优化攻击、无需训练的词表注入攻击TFLexAttack、多模态对比学习与VQA模型的双密钥攻击威胁，以及跨任务隐蔽有效的组合后门攻击CBA。
延伸解读
后门攻击的演进：从单模态到多模态
文章梳理的后门攻击研究显示，攻击面已从传统文本分类扩展到多模态对比学习和VQA模型。早期工作如2019年基于LSTM的文本后门攻击，通过数据毒化在IMDB数据集上达到95%成功率；而2021年的双密钥多模态攻击仅污染1%训练数据，成功率却高达98%。这种演进表明，随着模型跨模态能力的增强，攻击者可以利用视觉触发器等新途径，防御难度显著增加。
防御策略的多样化与挑战
针对后门攻击，文章提到了多种防御思路：深度模型突变测试可在字符、词、句子和风格层面检测恶意样本；REACT作为基线防御机制用于缓解基于样式的触发器攻击。然而，攻击技术也在不断进化，如UOR通过自动优化触发词，比手动方法更有效且适应不同模型。这反映出防御与攻击之间的动态博弈，单一防御手段可能难以应对所有攻击类型。
攻击隐蔽性与普适性的提升
文章强调，后门攻击正变得更加隐蔽和普适。例如，TFLexAttack无需额外训练，通过操作语言模型嵌入字典注入词汇触发器；组合后门攻击（CBA）将多个触发关键词分散在不同提示组件中，使其更难被察觉。这些方法在多种任务（如分类、命名实体识别）和模型（如BERT、XLNet、BART）上均有效，表明后门威胁已不局限于特定场景，对基础大模型的可信度构成广泛挑战。
Q&A
多模式大型语言模型面临哪些后门攻击威胁？
多模式大型语言模型面临多种后门攻击威胁，包括：基于样式的触发器攻击（LLMBkd）、自动优化触发词攻击（UOR）、无需训练的词表注入攻击（TFLexAttack）、多模态对比学习中的双嵌入引导攻击（oolns）、针对VQA模型的双重密钥攻击（成功率高达98%），以及跨任务隐蔽的组合后门攻击（CBA）。这些攻击在自然语言处理和多模态任务中均有效，严重威胁模型可信度。
有哪些防御方法可以检测大型语言模型的后门攻击？
文章提到了一种基于深度模型突变测试的新型防御方法，可以在字符级、词级、句子级和样式级水平上检测恶意后门样本，并在三个基准数据集和三个样式转换数据集上表现优异。此外，还描述了名为REACT的基线防御机制来缓解后门攻击。
TFLexAttack是如何实现无需训练的后门攻击的？
TFLexAttack通过操作语言模型的嵌入字典，向tokenizer注入词汇触发器，从而实现无需额外训练的后门攻击。实验结果表明该攻击方法具有普遍性和有效性，且攻击具有隐秘性。
组合后门攻击（CBA）为什么更隐蔽？
组合后门攻击（CBA）将多个触发关键词分散在不同的提示组件中，而不是集中在一个位置，这使得攻击更加隐蔽。实验证明CBA在自然语言处理和多模态任务中都是有效的，强调了对基础大型语言模型可信度进行安全性研究的必要性。
双重密钥多模态后门攻击对VQA模型的效果如何？
双重密钥多模态后门攻击通过视觉触发器优化策略，攻击成功率高达98%，且仅需污染1%的训练数据。该研究还发布了TrojVQA，一个大型的干净和Trojan VQA模型集合，用于研究防御多模态后门攻击。
UOR后门攻击相比手动方法有什么优势？
UOR后门攻击通过将手动选择转化为自动优化，定义了毒化监督对比学习，使用梯度搜索选择适当的触发词，并针对不同PLMs和词汇表进行自适应。实验表明，UOR取得了比手动方法更好的攻击表现，并证明了该方法的普适性。
