🤖 machine learning

Cryptographic Backdoor for Neural Networks: Boon and Bane

本文证明了神经网络中的加密后门可以作为一种双重用途工具，既能实现强大的、不可检测的对抗性攻击，同时又能为水印、身份验证和知识产权追踪提供经证明的鲁棒机制，并在最先进的架构上进行了实证验证，并具有向后量子密码学扩展的潜力。

原作者： Anh Tu Ngo, Anupam Chattopadhyay, Subhamoy Maitra

发布于 2026-06-09

📖 1 分钟阅读☕ 轻松阅读

原作者： Anh Tu Ngo, Anupam Chattopadhyay, Subhamoy Maitra

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下，将神经网络（一种人工智能大脑）想象成一个高度熟练的自动化工厂。这个工厂接收原材料（图像），并生产出成品（识别结果，比如“这是一只猫”或“这是一只狗”）。

这篇论文介绍了一个可以安装在这个工厂内部的特殊、隐形的“开关”。作者称之为密码学后门（Cryptographic Backdoor）。请不要把它理解为一个坏掉的锁，而是一个只有当你拥有正确的数字密钥时才会生效的高科技秘密钥匙孔。

作者认为，这个开关是一把“双刃剑”：它既可以用来破坏工厂（祸端/Bane），也可以用来保护工厂（益处/Boon）。

1. 祸端：隐形的破坏

类比： 想象一名破坏者潜入工厂，安装了一个秘密机制。从肉眼来看，工厂看起来运行完美，工作正常。然而，如果一名工人带来一个带有隐藏、不可见条形码的特定盒子，工厂会突然停止生产产品，并开始吐出毫无意义的内容。

运作方式： 攻击者将一条秘密信息和一个数字签名隐藏在图像的像素中（就像把一张便条藏在照片中最不显眼的部位）。
触发条件： 当人工智能看到这个特定的隐藏代码时，它会忽略其正常的训练逻辑。它不再说“这是一只猫”，而是可能被迫说“这是一个烤面包机”或者仅仅输出随机的垃圾信息。
关键点： 只有攻击者知道激活这个开关的秘密代码。对于其他人来说，这个人工智能看起来完全正常。
缺点： 论文承认这种方法速度较慢。检查秘密代码需要消耗大量的计算资源，这使得人工智能的工作效率大幅降低，尤其是在处理复杂图像时。

2. 益处：用于保护的秘密暗号

作者展示了这种相同的“秘密开关”技术可以被用来保护工厂免受窃贼和欺诈者的侵害。他们提出了三种使用方法：

A. 水印（证明所有权）

类比： 想象工厂主想要证明这台机器是他们制造的，但他们不能展示蓝图，因为蓝图是秘密的。相反，他们给一位受信任的审计员一个特殊的“魔法印章”。

运作方式： 所有者创建了一组带有隐藏代码的测试图像。如果你拥有所有者的秘密密钥，你可以为这些图像盖章，工厂就会正确识别它们（从而证明这是真实的工厂）。如果你在没有印章的情况下尝试使用该工厂，它会对这些特定的图像给出错误的答案。
为什么好： 即使有人偷走了工厂的大脑并试图对其进行微调（fine-tune），这个秘密开关依然存在，因为它与大脑的逻辑是分离的。这就像是在画布上重新涂漆，但水印依然纹丝不动。

B. 用户身份验证（VIP 通行证）

类比： 想象这个工厂是一个俱乐部。任何人都可以进来，但只有持有 VIP 手环的会员才能获得真正的服务。其他人会被送到一个充满废话的房间。

运作方式： 当用户想要使用该人工智能时，他们必须在提交请求的同时提供一个秘密数字密钥。
- 有密钥： 工厂正常工作并给出正确答案。
- 无密钥（或使用伪造密钥）： 工厂会故意输出“垃圾”或错误的答案。
为什么好： 这可以阻止窃贼窃取人工智能的知识。如果他们试图通过向人工智能提问数千个问题来复制它，除非他们拥有秘密密钥，否则他们得到的只会是无用的垃圾。

C. 追踪盗版（序列号）

类比： 想象工厂主向 100 个不同的客户出售了 100 台机器副本。为了抓住小偷，所有者秘密地为每台机器编写了一个唯一的、不可见的“序列号”，这个序列号只对特定的密钥有效。

运作方式： 如果客户 A 将他们的机器泄露给了一个陌生人，所有者可以测试泄露的机器。
- 如果机器对客户 A 的秘密测试问题回答正确，所有者就知道：“啊哈！这个泄露源自客户 A。”
- 如果机器未能通过客户 A 的测试，但通过了客户 B 的测试，那么泄露源自客户 B。
为什么好： 它允许所有者精准定位究竟是谁泄露了他们的知识产权，即使机器被完美地复制了也是如此。

论文结论摘要

核心思想： 你可以将一个密码学的“开关”附加到人工智能上，使其行为根据秘密数字签名而改变。
攻击： 在没有秘密密钥的情况下，人工智能看起来很正常。有了密钥，攻击者可以迫使它失败或撒谎。
防御： 同样的技术可以用于证明谁拥有该人工智能、阻止未经授权的用户获取真实答案，以及追踪究竟是谁泄露了被盗的副本。
局限性： 论文承认，检查这些秘密代码需要大量的时间和计算能力，这使得系统比标准的人工智能运行得更慢。

该论文并未声称这项技术已应用于医疗诊断、自动驾驶汽车或其他特定的现实世界应用；它完全专注于在图像分类任务中对这种“秘密开关”概念进行理论和实验性的证明。

技术摘要：神经网络中的加密后门：利与弊

问题陈述
深度神经网络（DNN）正越来越多地作为机器学习即服务（MLaaS）被部署，这引发了关于知识产权（IP）窃取、模型提取和未经授权访问的重大风险。虽然现有的防御手段（如水印和指纹识别）通常依赖于后门技术，但这些技术常被视为漏洞。相反，由 Goldwasser 等人 [10] 提出的加密后门在理论上具有不可检测性，但在实际应用场景中仍缺乏探索。本文探讨了加密后门的双重属性：其作为一种强大的、隐形的对抗性攻击向量的潜力，以及其作为保障神经网络隐私和所有权稳健机制的效用。

方法论
作者提出了一个框架，其中加密后门被实现为主要神经网络分类器的并行电路，而不是通过中毒方式修改模型权重。其核心机制依赖于数字签名方案：

架构： 系统由一个标准分类器 $f(x)$ 和一个签名验证电路 $V$ 组成。
输入变换： 输入样本被增强，包含一个消息-签名对 $(m, \sigma)$ 。消息 $m$ 被嵌入到输入中（例如，通过图像中的最低有效位 LSB 隐写术）， $\sigma$ 是使用私钥 $sk$ 生成的有效签名。
激活逻辑： 在推理期间，系统提取 $(m, \sigma)$ 。如果签名通过公钥 $vk $验证成功（即$ VERIFY(\sigma, m, vk) = \text{valid}$），则输出由验证电路决定（该电路可以被操纵以产生“垃圾”数据或特定的恶意标签）。如果签名无效或缺失，系统则输出标准分类器的预测结果。
理论基础： 其安全性依赖于数字签名的强不可伪造性。在没有私钥 $sk$ 的情况下，攻击者无法生成有效的签名来触发后门，从而确保了后门在黑盒访问下是不可复制且在计算上与洁净模型无法区分的。

核心贡献
本文确立了加密后门具有两种相反的功能：

“弊”（对抗性攻击）： 作者将 Goldwasser 等人 [10] 的理论工作扩展到了图像分类任务。他们展示了一种黑盒不可检测的攻击，即拥有私钥的攻击者可以强制模型对特定的触发输入输出任意预测。这种攻击在标准评估中是不可见的，因为模型在良性样本上表现正常，且触发器对人类观察者而言是不可察觉的。
“利”（防御机制）： 本文提出了三种用于保障机器学习系统安全的实际应用：
1. 可证明稳健的水印： 一种仅有持有有效签名集的审计员才能验证所有权方案。由于该水印依赖于外部验证电路而非模型参数，因此具有持久性，能够抵抗微调攻击。
2. 用户身份验证： 一种协议，要求用户必须提供有效的私钥才能获得有意义的预测。没有正确的密钥，模型将返回经过处理的“垃圾”输出，从而防止未经授权的模型提取或蒸馏。
3. IP 追踪： 一种追踪未经授权模型共享的机制。通过为特定用户副本分配唯一的触发标签集（通过用户私钥的加密哈希派生），所有者可以根据哪个用户特定的触发标签集产生了高准确率，从而识别出泄露源头。

实验结果
作者在 state-of-the-art 架构（ResNet-18, ResNet-50, ResNet-152）以及 CIFAR-10 和 ImageNet 数据集上实现了这些协议。

攻击有效性： 当存在有效触发器时，后门攻击成功地将模型准确率降低到接近随机水平（CIFAR-10 为 0.80%，ImageNet 为 1.03%），而在良性样本上保持了基准准确率（分别为 92.26% 和 80.11%）。
防御性能：
- 水印： 对于持有有效签名的授权审计员，在触发集上达到了 100% 的准确率，而未经授权的第三方准确率接近于零。
- 身份验证： 持有有效私钥的用户实现了全额准确率，而持有无效密钥的用户则收到无法使用的输出（例如，ImageNet 上的准确率为 0.09%）。
- IP 追踪： 分发给特定用户的模型在其指定的触发标签上达到了 100% 的准确率，但在针对其他用户的标签集进行测试时显著下降（CIFAR-10 最大为 23%，ImageNet 为 2%），证实了其可追溯性。
计算开销： 研究强调了一个显著的权衡。解码消息-签名对（特别是使用像 Dilithium2 这样的后量子方案时）会引入巨大的延迟，对于 ImageNet 上的 ResNet-18，其延迟高达推理时间的 25.8 倍。作者建议通过并行化或更高效的隐写术来缓解这一问题。

意义与主张
本文声称是第一个在宿主神经网络旁边构建加密后门的实证研究，展示了其在恶意攻击和防御安全方面的双重效用。作者断言，他们的协议对于具有黑盒访问权限的攻击者是可证明稳健的，这依赖于数字签名不可伪造的加密假设。

然而，本文对自身的局限性保持了谦逊的态度。作者承认，防御机制的证明需要进一步的理论研究，且目前的实现主要限于黑盒环境。作者指出，签名验证的计算开销是实时部署的一个显著缺陷。此外，他们澄清，虽然利用了 Goldwasser 等人 [10] 的思想，但该工作中提出的白盒不可检测性目前仅限于特定的学习范式（随机傅里叶特征），尚未完全适用于现代通用的机器学习语境。最后，论文指出可以使用后量子原语来实现这些后门，为量子时代的机器学习安全奠定了基础。