技术摘要：从内部诊断到外部审计

1. 问题陈述

深度神经网络（DNN）在本质上仍然容易受到后门攻击的影响，即攻击者通过污染训练数据来植入隐藏触发器，从而在特定输入下劫持模型行为，同时保持在良性数据上的性能。威胁格局已从显眼的模式演变为隐蔽的动态、洁净标签（clean-label）和洁净图像（clean-image）策略，使得传统的检测手段日益困难。

在“模型即服务”（Model-as-a-Service）场景中，防御者通常缺乏对洁净训练数据或受害者模型权重的访问权限，因此需要无数据测试时防御（data-free test-time defense）。当前的研究受限于内部诊断范式，该范式存在两个根本性的脆弱点：

1. 模型修复方法： 这些方法检查受害者模型的内部属性（例如，神经元激活轨迹、通道 Lipschitz 性）。它们在面对先进的动态攻击时会失效，因为这类攻击会专门优化触发器以抑制这些内部异常。
2. 输入鲁棒性方法： 这些方法依赖于输入扰动或一致性检查。它们在面对自然后门（例如，洁净图像攻击）时会失效，因为在这种攻击中，触发器是一个鲁棒的语义特征，无法通过扰动与良性特征区分开来。

核心挑战在于开发一种能够跨越多种攻击模态且不依赖于受损模型内部状态或脆弱输入假设的防御机制。

2. 方法论：PRISM

作者提出了 PRISM（通过统计监测进行原型细化与检查），这是一种从内部诊断向**在线外部语义审计（Online External Semantic Auditing）**的范式转变。该方法通过使用一个通用的、预训练的视觉语言模型（VLM）作为独立的、“洁净”的审计者，实现了防御与受损模型的解耦。

PRISM 作为可疑受害者模型的测试时封装器运行，采用三柱架构：

A. 双流推理框架

对于每个输入的测试样本 $x$，系统启动两个并发的前向传播过程：

1. 受害者流（Victim Stream）： 将 $x$ 通过可能受损的模型 $f_S$ 进行处理，以获得预测结果和 Logits。
2. 审计者流（Auditor Stream）： 将 $x$ 通过一个冻结的、可信的通用 VLM（如 CLIP、Qwen-VL）进行处理。VLM 充当“通用教师”，基于其广博的开放世界知识提供语义验证信号，该信号在统计上独立于受害者的中毒分布。

B. 混合 VLM 教师

为了弥合通用 VLM 与特定下游任务之间的领域差距，PRISM 采用了混合锚定机制：

• 静态文本锚点： 通过与预定义文本标签的余弦相似度提供高层语义引导。
• 动态视觉原型： 利用从测试流中在线学习到的类质心（$C$）来增强审计者。
• 融合： 最终的 VLM Logits ($S_{VLM}$) 是基于文本和基于原型的相似度的加权融合：
  $$S_{VLM} = \lambda \cdot \text{Sim}(z_{img}, C) + (1 - \lambda) \cdot \text{Sim}(z_{img}, T)$$
  这使得审计者能够适应测试流的具体特征分布，而无需依赖有标签的训练数据。

C. 通过统计监测实现的自适应路由

核心决策逻辑决定是接受受害者的预测还是转而采用 VLM 的预测。这由Logit 边际差异指标（$\Delta$）控制：
$$\Delta = \exp\left(S_{VLM}^{\hat{y}_S} - \max_{i \neq \hat{y}_S} S_{VLM}^i\right)$$
其中 $\hat{y}_S$ 是受害者的预测类别。较小的 $\Delta$ 表示存在强烈的分歧（潜在攻击），而较大的 $\Delta$ 则表示一致。

为了处理 $\Delta$ 分布的非高斯、偏斜特性，PRISM 使用通过 Cornish-Fisher 展开式推导出的自适应阈值：
$$\tau_k = \mu_k + \left(\zeta + \frac{\gamma_k}{6}(\zeta^2 - 1)\right) \cdot \sigma_k$$
其中 $\mu_k, \sigma_k, \gamma_k$ 分别是类别 $k$ 的运行均值、标准差和偏度，$\zeta$ 是基础置信系数。

D. 在线更新机制

PRISM 采用累积移动平均（CMA）来更新统计矩和视觉原型。至关重要的是，更新仅在样本被认证为洁净（即 $\Delta > \tau$）时发生。这种选择性更新机制结合了 CMA 的统计惯性，确保了对分布偏移的鲁棒性，并防止中毒样本破坏防御状态。

3. 核心贡献

1. 新范式（外部语义审计）： 论文指出了内部诊断的失效模式，并提出使用通用 VLM 作为独立的外部审计者，有效地将防御与受损的受害者模型解耦，且无需访问权重或训练数据。
2. 在线自适应框架 (PRISM)： 一个测试时框架，通过混合 VLM 教师（弥合领域差距）和自适应路由（通过统计监测避免静态阈值）将通用 VLM 转化为有效的审计者。
3. 卓越的泛化能力与鲁棒性： PRISM 在 17 个数据集和 11 种攻击类型上实现了最先进的性能，展示了在传统范式失效的先进洁净图像攻击和动态攻击面前独特的鲁棒性。

4. 实验结果

评估涵盖了 17 个数据集（包括 CIFAR-10、CIFAR-100、ImageNet、GTSRB 以及特定领域的数据集）和 11 种最先进的后门攻击（经典型、动态型、洁净标签型和洁净图像型）。

• 性能： PRISM 成功将攻击成功率（ASR）在 CIFAR-10 上压低至 < 1%，并在所有 11 种攻击类型中始终保持在 15% 以下，同时提升或维持了洁净准确率（CA）。
• 对比： 它优于现有的无数据防御方法（如 CLP、ScaleUp、ZIP、Refine），这些方法在面对洁净图像（FLIP、GCB）或动态攻击时往往完全失效。朴素的 VLM 基准虽然能实现低 ASR，但会导致灾难性的 CA 下降（例如在 GTSRB 上下降超过 70%），而 PRISM 弥合了这一差距。
• 效率： 在 NVIDIA A100 GPU 上，使用 CLIP 的 PRISM 每张图像的推理延迟为 12.5 毫秒，在效率方面处于领先地位。
• 鲁棒性：
  • VLM 架构： PRISM 在包括嵌入模型（CLIP、SigLIP）和生成式模型（Qwen、LLaVA）在内的两种架构下均保持低 ASR（< 10%）。
  • 数据集规模： 它在跨越三个数量级（200 到 10,000 张图像）的数据集规模下依然有效。
  • 自适应攻击： PRISM 能抵御在线自适应策略（Flooding、Periodic、Mixed），在攻击者试图操纵测试流的情况下，仍能保持 ASR < 20%。
  • 审计者受损： 在“信任链”场景中，如果专门的审计者被植入后门，一个较弱但洁净的通用型 VLM 可以净化数据流，恢复安全性。

5. 重要性与主张

论文声称，PRISM 证明了通过外部语义审计实现防御解耦不仅可行，而且对于下一代模型安全至关重要。

• 范式转变： 它不再依赖于“后门会留下显著内部痕迹”或“触发器对输入扰动敏感”这些脆弱的假设。相反，它利用了基础模型的统计独立性来检测语义差异。
• 实用性： 通过以无数据、测试时的形式运行且不修改模型权重，PRISM 解决了“模型即服务”部署中的关键约束，即防御者缺乏访问训练数据或模型内部信息的权限。
• 可扩展性： 该框架是模型无关的，可以通过将 Logit 边际门控扩展到序列级置信度，将其应用于其他任务（如图像描述），为医疗保健和自动驾驶等安全关键领域的 AI 安全监控提供了一条可扩展的路径。

作者总结道，尽管该范式依赖于审计 VLM 的统计独立性，但它为应对包括隐蔽的洁净图像和动态攻击在内的不断演进的威胁提供了强有力的保障，树立了模型无关防御的新标准。