技术摘要：针对性数据投毒攻击是否如我们所想般有效？

问题陈述

针对性数据投毒攻击涉及攻击者将恶意但标签干净的数据注入训练集，以操纵模型对特定测试样本 ($x_t$) 的预测，使其指向预设的投毒类别 ($y_p$)，同时保持模型在所有其他输入上的正常性能。此类攻击尤为阴险，因为它们在整个模型性能指标中留下的痕迹微乎其微，难以被检测。

本文认为，当前对这些威胁的评估具有误导性。现有文献通常报告在随机选择的测试样本上的平均攻击成功率（ASR）。这种方法将“容易”和“困难”的目标混为一谈，掩盖了攻击在极端情况下的真实有效性。从安全角度来看，保障必须基于最坏情况；仅在容易目标上成功的攻击并不能反映真实的安全威胁格局。反之，防御者无法对所有数据一视同仁地进行主动防护；他们必须识别出最脆弱的样本，以实施针对性的反制措施。

核心研究问题是：我们能否仅利用干净模型的信息，在不执行任何实际攻击的情况下，可靠地识别出最容易和最难被投毒的样本？

方法论

作者提出了一套两级指标框架，用于量化针对性投毒的难度。该框架的关键优势在于，所有指标均可在不执行攻击的情况下计算得出，仅依赖干净训练动态或干净模型权重。

1. 粗粒度指标：干净训练动态

这些指标旨在根据模型在干净训练期间的行为，广泛区分易投毒样本与难投毒样本。

• 遍历预测准确率 (EPA)： 该指标衡量模型对测试样本 $x_t$ 的分类在多次随机初始化 ($M$) 和训练轮次 ($N$) 中的一致性。
  $$EPA = \frac{1}{MN} \sum_{m=1}^{M} \sum_{n=1}^{N} \mathbb{1}\{f_{m,n}(x_t) = y_t\}$$
  假设 A： 分类难度与投毒难度呈负相关。那些在整个训练过程中被正确且自信分类的样本（高 EPA），被认为更难被投毒。
• 主导预测分数 (DPS)： 一个与标签无关的 EPA 代理指标。DPS 不针对真实标签 $y_t$ 进行检查，而是衡量训练期间预测被分配给主导预测标签的比例。
  $$DPS = \max_{y \in \mathcal{Y}} \frac{1}{MN} \sum_{m=1}^{M} \sum_{n=1}^{N} \mathbb{1}\{f_{m,n}(x_t) = y\}$$
  高 DPS 表明预测集中在单一标签上，意味着该样本更容易分类，也更难被投毒。

2. 细粒度指标：投毒距离与预算

这些指标针对选定的投毒类别 $y_p$ 提供具体预测，解决了不同目标类别间攻击成功率的差异。

• 投毒距离 ($\delta$)： 衡量将干净模型参数 $w_c$ 修改为投毒状态 $w_p$ 所需的努力，使得 $f(x_t; w_p) = y_p$。由于在不执行攻击的情况下 $w_p$ 未知，作者使用了一个代理指标：将 $w_c$ 沿针对目标标签 $y_p$ 的损失梯度方向移动，以实现错误分类所需的最小步长 $\eta$。
  $$\delta = \min\{\eta > 0 : f(x_t; w_c - \eta \cdot g) = y_p\}$$
  假设 B： 较大的 $\delta$ 表明 $x_t$ 更难被投毒至类别 $y_p$。
• 投毒预算下界 ($\tau$)： 基于 Lu, Kamath 和 Yu [LKY23] 的理论结果，该指标计算达到目标参数集 $w_p$ 所需的投毒数据比例 ($\epsilon$) 的理论下界。
  $$\tau := \max\left( \frac{\langle w_p, g(D_c) \rangle}{W(c - 1/e)}, 0 \right)$$
  其中 $W$ 为朗伯 W 函数，$g(D_c)$ 为干净数据集上的平均梯度。较高的 $\tau$ 意味着攻击更难。

主要贡献

1. 对当前评估的批判： 本文指出，基于随机样本的平均情况评估具有误导性，并提出应聚焦于最难投毒的样本，以进行严谨的最坏情况评估。
2. 两级指标框架： 引入了 EPA/DPS（粗粒度、基于训练动态）和 $\delta$/$\tau$（细粒度、特定于投毒类别），这些指标无需执行实际攻击。
3. 实证验证： 证明了这些指标能可靠地按脆弱性对样本进行分层，揭示出现有攻击在高脆弱性样本上的实际效果远低于平均情况指标所暗示的水平。

实验结果

作者在 CIFAR-10 和 TinyImageNet 数据集上，使用 ResNet-18 和 VGG-16 架构，采用梯度匹配 (GM)、特征碰撞 (FC) 和靶心多胞形 (BP) 攻击评估了其框架。

• 粗粒度指标 (EPA/DPS)：
  • EPA 可靠地区分了容易和困难的目标。对于 CIFAR-10 中的“飞机”类别，高 EPA 样本的攻击成功率 (ASR) 降至 47.28%，而低 EPA 样本的 ASR 为 93.83%。
  • 这一差距表明，平均情况评估显著高估了最坏情况下的有效性。
  • DPS 被证实为 EPA 可靠的标签无关代理指标，与 ASR 表现出强相关性。
• 细粒度指标 ($\delta$ 和 $\tau$)：
  • 这些指标成功识别了对于给定样本最容易诱导的投毒类别，捕捉了仅靠 EPA 无法体现的方差。
  • 在 EPA 值相似的样本组内，$\delta$ 和 $\tau$ 提供了更细粒度的预测。
• 消融研究：
  • 训练动态： 简单的最终轮次置信度分数未能预测投毒难度，证实了训练动态（EPA）至关重要。
  • 投毒预算： EPA 的预测能力在较小预算下（例如 $\epsilon < 0.5\%$）最为明显，此时投毒并非易事。在极高预算下，这种区分度会减弱。
  • 复杂性： 在 TinyImageNet 上，EPA/DPS 的预测能力下降，这可能是由于高复杂度区域中的欠拟合和噪声预测轨迹所致。

意义与主张

本文声称，其工作改变了评估和防御针对性数据投毒的范式：

• 对于评估者： 安全保障应基于最坏情况性能（最高 EPA 样本），而非平均值。这提供了关于真实攻击有效性更保守且更具信息量的图景。
• 对于防御者： 这些指标实现了主动的、感知脆弱性的防御。防御者可以提前识别最脆弱的样本（最低 EPA），并实施针对性反制措施（例如人工检查、集成检查或认证防御），而无需知晓具体的攻击向量。
• 实用性： 由于这些指标仅依赖干净模型信息，因此它们在评估预训练模型或特定数据集针对潜在投毒的脆弱性方面具有计算可行性。

作者承认了局限性，指出这些指标在高复杂度设置（如 TinyImageNet）中可能可靠性较低，并且理论上相同的指标也可能帮助攻击者选择容易的目标，但他们认为防御方面的收益超过了这一边际收益。