Krait：一种针对图形提示调优的后门攻击
内容提要
本研究提出了新型后门攻击方法ProAttack和POISONPROMPT，旨在提高攻击的隐蔽性和有效性。研究表明，这些方法在不同模型和任务上均表现出高成功率，强调了深入研究后门攻击的重要性。
延伸解读
后门攻击的演进：从外部触发器到提示自身
文章梳理了后门攻击在NLP和GNN领域的发展脉络。早期方法如BadPrompt依赖触发模式，而ProAttack和POISONPROMPT则转向利用提示本身作为触发器，无需外部注入。这种转变提升了隐蔽性，因为攻击不引入额外修改，更难被检测。同时，GNN领域的TRAP和GTA等攻击展示了跨模型的可转移性，表明后门威胁正从单一模型扩展到更广泛的架构。
干净标签攻击的防御挑战
文章提到，无触发器且使用正确标签的文本后门攻击策略（如基于基因算法生成干净例子）很难防御。因为攻击样本在标签和内容上均无异常，传统基于触发器检测或标签校验的防御手段可能失效。这提示防御方需要关注模型内部表征的异常，而非仅依赖输入层面的过滤。此外，POISONPROMPT在多个任务和语言模型上保持高有效性，说明此类攻击具有跨模型泛化能力，防御需考虑模型无关的检测机制。
图神经网络后门攻击的独特风险
针对图数据的后门攻击（如TRAP、GTA和邻近后门）利用图结构特性，通过子图或触发节点连接目标节点来触发后门。文章指出，这些攻击可以在不了解下游模型或微调策略的情况下启动，且几乎不影响预测准确性，攻击成功率接近100%。这意味着在社交网络、推荐系统等图应用场景中，后门威胁可能更隐蔽，因为图结构的复杂性使得异常检测更加困难。
Q&A
ProAttack方法的主要特点是什么？
ProAttack方法使用提示本身作为触发器，确保正确标记样本，从而提高后门攻击的隐蔽性。
TRAP攻击是如何工作的？
TRAP攻击利用surrogate图卷积网络生成样本特定的干扰触发器，可以被转移到不同的GNN模型中。
POISONPROMPT方法的有效性如何？
POISONPROMPT在不同任务和语言模型上表现出高有效性、保真度和鲁棒性。
BadPrompt算法的应用场景是什么？
BadPrompt算法用于进行基于触发模式的后门攻击，能够有效攻击连续提示模型。
研究中提到的无触发器文本后门攻击策略有什么优势？
这种策略不需要外部触发器，利用基因算法生成干净的例子，难以防御且有效。
GTA攻击方法的特点是什么？
GTA攻击基于子图，可以在不了解下游模型的情况下立即启动，并在多种模型上评估。
