08年要过完了

这篇文章是最早做干净标签下的后门攻击的文章。作者在 BadNets 上进行了一系列的实验证明在以往的方法中直接使用 clean-label 会导致攻击的失败。为了实现在 clean-label 下的攻击，作者使用了 GAN-based interpolation 和 adversarial p-bounded perturbations 来增加分类器的训练难度，让分类器学习到更多 backdoor 的信息。

在人工智能安全领域，后门攻击是一种隐蔽且危害性强的威胁。其原理是在模型训练阶段或供应链环节植入恶意行为，通过特定触发器激活，从而绕过常规安全机制。这种攻击的技术价值在于它利用了模型本身的内在漏洞，而非外部输入技巧，因此防御难度更高。从应用场景看，大语言模型广泛应用于金融、医疗、客服、内容生成等关键领域，一旦被植入后门，可能导致隐私泄露、安全绕过或模型行为失控。针对数据投毒和供应链攻击等典型威胁，业界发展出基于异常行为检测、神经元激活分析和差分隐私训练等多层防御体系。本文聚焦大语言模型的后门攻防，通过剖析攻击

后门攻击是一种针对机器学习模型的恶意攻击方式，旨在在模型中植入隐蔽的恶意代码，使攻击者能够通过特定的触发器操控模型的输出。对于大型语言模型（LLMs）而言，后门攻击是一个潜在的安全威胁，需要引起重视。

By injecting a small number of maliciously constructed inputs into the training set, an adversary is able to plant a backdoor into the trained model.

Backdoor Learning: A Survey 后门攻击的实例 Definition of technical terms Poisoning-based backdoor attacks A.A unified Frameword of Poisoning-based attack B.Attacks for Image and Video Recognition 1)BadNets将恶意功能编码进模型的参数中 2)Invisiable Backdoor Attacks(进一步扩展出clean-

三、基于中毒的攻击A.基于中毒的攻击的。

后门攻击是AI安全领域的重要威胁，攻击者通过植入隐蔽触发器（如图像上的特定图案）使AI模型在特定条件下产生错误输出。常见攻击方式包括数据投毒、篡改训练过程或直接提供感染模型。后门攻击可分为三类场景：使用第三方数据集、训练平台或预训练模型，攻击者能力依次增强。现有防御方法包括经验型防御和理论可验证防御，但目前尚无完美解决方案。后门攻击风险包括标准风险（正常样本错误率）、后门风险（攻击成功率）和可感知风险（触发器隐蔽性）。该领域仍需深入研究以应对日益复杂的AI安全挑战。

目录 1  论文工作2  后门攻击的统一框架3  基于投毒攻击的分类3.1  图像和视频识别的攻击3.2  总结4  基于非投毒的后门攻击5  后门防御6  未来方向展望7  结论 论文工作 提出一个统一框架分析基于投毒的攻击 对现有攻击和防御进行总结和分类 概述了一些未来的研究方向 后门攻击的统一框架 定义1（标

后门攻击&对抗攻击资源

作者阅读Backdoor Learning: A Survey后的整理和一些个人理解

利用对抗性扰动和生成模型来执行高效但标签一致的后门攻击。方法基于注入看似合理但难以分类的输入，导致模型依赖于（更容易学习）后门触发器。对于后门攻击成功，中毒的输入需要很难分类，而不依赖于后门触发器。如果中毒输入可以根据其显着特征正确分类，则模型可能会忽略后门触发器——因此攻击将不成功。开发了一种合成有效、标签一致、中毒输入的方法。我们的方法包括扰动原始输入以使它们更难分类，同时保持扰动足够小以确保原始标签保持一致。

本文介绍几篇针对大语言模型的后门攻击工作。

2023年以及2022年的NeurIPS有关backdoor的对抗攻防的论文。

目录 1  论文工作2  之前的工作2.1  后门攻击2.2  后门防御3  静态触发器现有攻击的属性3.1  静态触发器后门攻击的步骤3.2  后门触发器的两个特征4  后门防御和增强攻击4.1  通过变换进行后门防御4.2  以变换为基础的增强攻击4.3  物理攻击5 &nbs

作者在阅读Deep Learning Backdoor Survey之后的总结与一些个人理解。

知乎博主小红书博主GitHub数据集参考： 大模型越狱指令 (harmful questions) 数据集整理会思考的大模型更不听话，我的豆包失控了…让QwQ思考模型-不思考的小技巧qwen3的致命幻觉！大模型微调所有大模型都在讨好人类不要思考过程，推理模型能力能够更强丨UC伯克利等最新研究o3/o4-mini幻觉暴增2-3倍！OpenAI官方承认暂无法解释原因UC伯克利：让推理模型少思考，准确率反而更高了！一句话让DeepSeek思考停不下来，北大团队：这是针对AI的DDoS攻击慢思考准确率反降30%！普

后门攻击通过在训练阶段注入恶意样本（Trigger-Embedded Samples），使得模型在推理时对特定触发模式（Trigger Pattern）产生预设的恶意行为，例如分类错误、敏感信息泄露等。​数据供应链攻击​：污染第三方训练数据集（如Common Crawl）​迁移学习攻击​：在预训练或微调阶段植入后门​联邦学习攻击​：恶意客户端上传带后门的梯度更新大模型后门攻防是一场持续的技术博弈。本文从攻击原理到防御技术，揭示了当前研究的关键路径。

使用语义触发器发起不可见后门攻击