💻 computer science

Lilith: Backdoor Generalization under Training-Inference Trigger Shift

本文介绍了 Lilith，这是一个黑盒框架，它展示了后门攻击如何通过表示几何对齐（representation geometry alignment），从单个训练时锚点泛化到整个推理时触发器家族，从而揭示了现有评估中依赖精确触发器重用的一个关键盲点。

原作者： Zhou Feng, Jiahao Chen, Chunyi Zhou, Yuan Su, Tianyu Du, Yuwen Pu, Jianhai Chen, Jinbao Li, Shouling Ji

发布于 2026-07-30

📖 1 分钟阅读☕ 轻松阅读

CC BY 4.0

原作者： Zhou Feng, Jiahao Chen, Chunyi Zhou, Yuan Su, Tianyu Du, Yuwen Pu, Jianhai Chen, Jinbao Li, Shouling Ji

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下，你正在教一个机器人识别猫。你给它看了成千上万张图片，最终，每当它看到一只毛茸茸的猫科动物时，它都能非常熟练地发出“喵喵”声。这就是机器学习的魔力：系统通过数据进行学习，从而做出决策。但如果有人在其中一些训练图片上偷偷贴了一个微小的、几乎看不见的贴纸呢？如果机器人学会了将那个贴纸与“狗”联系起来，那么每当它看到带有那个贴纸的猫时，它可能就会开始吠叫。这被称为“后门攻击”。对于正常的猫，这个机器人依然表现完美，但如果你给它看一只带有那个特定贴纸的猫，它就会被诱导做出错误且危险的决策。

长期以来，安全专家认为阻止这类攻击的最佳方法是找到并禁止那个特定的贴纸。如果攻击者使用了一颗红色的星，防御者就会扫描红色星星。但这篇文章提出了一个可怕的问题：如果攻击者不仅仅使用一个贴纸呢？如果他们教会机器人对一整套“贴纸家族”做出反应——包括不同的形状、颜色或尺寸——这些贴纸机器人从未见过，但它们都能触发同样的“吠叫”呢？这就是“触发器偏移”（trigger shift）问题。本文探讨了一个后门是否可以设计得如此巧妙，以至于它不仅适用于训练期间使用的确切模式，还能适用于稍后在实际应用场景中出现的整套新模式。

这项研究背后的研究人员（由 Zhou Feng 及其同事领导）引入了一种名为 Lilith 的新方法。把 Lilith 想象成一名高级间谍，他不仅植入一个单一的秘密代码，而且在机器人的大脑中植入了一个“漏洞区域”。至关重要的是，这位间谍在一个黑盒约束下运作：他完全无法访问机器人的内部代码、训练数据或架构。他只能看到机器人给出的最终答案。

以下是 Lilith 的工作原理，我们用一个简单的类比：想象机器人的大脑是一张巨大的地图，不同的动物居住在不同的社区。“猫”社区是安全且阳光明媚的。“狗”社区则是机器人吠叫的地方。通常，后门攻击者试图在“猫”社区和“狗”社区之间建造一条微小的、秘密的隧道，但只有当你敲击一个非常特定的门（触发器）时，隧道才会开启。如果防御者找到了那扇门并将其锁上，攻击就会失败。

Lilith 做了一些不同的事情。它不是建造一条通往特定门的单一路径，而是利用一个“训练锚点”（training anchor）——即一个单一的秘密钥匙——在“狗”社区内部开辟出一个完整的安全区（或称“盆地”）。这个区域的设计初衷是：任何看起来与原始秘密钥匙有些相似的钥匙，都能打开这扇门。但诀窍在于：由于间谍无法直接接触机器人的大脑，他们使用了不相交的代理资源（disjoint surrogate resources）。他们在自己的独立数据和工具构建的一个“副本机器人”上进行练习，直到在副本上刻画出完美的漏洞区域。然后，他们只向真实的机器人发送那个单一的“训练锚点”。因为这个漏洞区域在几何结构上是稳健的，所以真实的机器人也会学习到相同的隐藏领域，即使它从未见过间谍的练习过程或其他钥匙。随后，攻击者创建了一系列新的钥匙（推理触发器），这些钥匙与原始钥匙不同，但仍符合在该安全区内。尽管机器人从未针对这些新钥匙进行过训练，但它仍然会将它们识别为有效，因为它们落在了同一个隐藏的领域内。

研究发现这不仅仅是一个理论；它确实有效。研究人员在各种数据集（如 CIFAR-10 和 ImageNet）和不同的机器人大脑（如 ResNet 和 ViT）上测试了 Lilith。他们发现，即使攻击者仅污染了极小比例的训练数据（低至 0.5%），该后门仍能成功激活一整套全新的、未见过的触发器。在许多情况下，这些新触发器的成功率超过了 90%，且原始触发器的成功率与新家族的成功率之间的差距非常小。

至关重要的是，本文反驳了“你需要知道攻击者是如何生成这些新触发器的”这一观点。他们发现，秘密并不在于新钥匙的具体形状，而在于它们是否能与原始秘密区域的几何结构保持“对齐”。这就像如果你教一只狗在某种特定的手势下坐下；如果你稍后改变了手势，但仍保持大致相同的动作，狗可能仍然会坐下。论文表明，只要新的触发器保持在原始训练锚点的“几何触及范围”内，后门就会生效。

研究人员还检查了这种新方法是否难以察觉。他们发现 Lilith 非常隐蔽。对于人类肉眼来说，新的触发器看起来与普通图像非常相似，且标准的安全工具往往无法捕捉到它们，因为这些工具通常在寻找异常模式或机器人思维中的突然变化。即使机器人的输入经过了变换（例如翻转图像、添加噪声或压缩图像，比如通过慢速网络传输照片时），后门依然有效。

简而言之，这篇论文表明，防御后门的老方法——即寻找一个特定的触发器——是不完整的。如果攻击者可以植入一个能够泛化到整个触发器家族的漏洞，那么仅仅屏蔽已知的那个触发器是不够的。作者总结道，我们需要改变测试和防御这些系统的方式，不仅要观察攻击者使用的特定“贴纸”，还要观察他们试图进入的更广泛的“领域”。虽然这并不意味着所有的 AI 都是破碎的，但它确实表明，威胁的图景比我们之前认为的更加广泛且灵活。

技术摘要：Lilith —— 训练-推理触发器偏移下的后门泛化

1. 问题定义与动机

目前的后门攻击评估主要依赖于精确触发器复用（exact trigger reuse），即推理时使用的触发器与中毒训练时使用的触发器完全一致。此外，一些研究探索了已在训练阶段暴露的差异性（例如样本特定触发器）或沿预定义轴线的变化（例如尺寸或透明度）。这些方法留下了一个关键的盲点：它们并未评估从单一训练期触发器学习到的后门，是否能泛化到从未在受害者训练中见过的一类推理期触发器族。

本文将该问题形式化为训练-推理触发器偏移下的后门泛化（Backdoor Generalization under Training–Inference Trigger Shift）。其核心挑战在于确定一个在**仅中毒黑盒设置（poison-only black-box setting）**下操作的攻击者（无法访问受害者内部信息，也无法控制训练过程）能否实现以下目标：

使用单个“锚点（anchor）”触发器对受害者模型进行中毒。
构建一个用于部署的有界推理触发器族。
确保整个触发器族都能激活恶意行为，同时保持良性效用和隐蔽性。

作者认为，现有的局限性（L1：触发器复用，L2：训练暴露的差异性，L3：缺失保护标准）掩盖了一种更高自由度的威胁，即恶意行为通过触发器支持集的偏移进行泛化，而非依赖于对特定人工痕迹的记忆。

2. 方法论：Lilith 框架

Lilith 是一个黑盒**从锚点到族（anchor-to-family）**的框架，它使用与受害者分离的离散代理资源（代理数据集和模型）进行操作。它由两个顺序执行的模块组成：

模块 I：锚点脆弱性诱导

目标是选择一个训练锚点 ( $\theta_A$ )，在代理模型中诱导出一个紧凑且具有目标导向的脆弱性，并预期该脆弱性能迁移至受害者模型。

几何目标：该模块优化锚点净空度（Anchor Clearance）。它寻求一种触发器，使表征集中在决策边界目标侧的一个紧凑区域内，同时最大化目标类与其他类之间的间隔 ( $\gamma$ )。
机制：它共同优化目标一致性、表征集中度（最小化触发分布的半径 $r$ ）以及感知隐蔽性。
理论基础：在局部 Lipschitz 假设下，正向净空度 ( $\gamma > 2Lr$ ) 确保了触发后的表征以高概率保持在目标决策区域内。

模块 II：表征对齐的族构建

一旦锚点确定，该模块便构建一个排除该锚点的有界仅推理触发器族 ( $Q_{te}$ )。

几何约束：该模块在有界子空间内生成候选变体，并基于它们与锚点诱导区域的几何关系进行筛选。
选择标准：只有当变体的“表征触达范围”（距离锚点中心的距离加上其内部集中半径）保持在锚点净空度之内时，才会被保留。
机制：它利用特征对齐和向容许子空间的投影，以确保未见的变体能够保留锚点的几何特性。其提议机制（如学习型生成器、随机采样）相对于几何筛选而言是次要的。
理论基础：论文推导了全族激活的充分条件。如果代理到受害者的几何迁移是受限的 ( $\kappa_{tr}$ )，且该族的触达范围相对于锚点净空度满足特定的不等式，则该族将在受害者模型中激活目标决策。

3. 核心贡献

问题形式化：作者定义并形式化了触发器偏移下的后门泛化，将重点从触发器实例的鲁棒性转向了恶意行为在未见触发器支持集上的泛化能力。
Lilith 框架：他们引入了一个黑盒框架，该框架使用单个训练锚点来诱导脆弱性，并通过表征对齐来构建能够保持该脆弱性的有界推理族。
理论分析：论文通过**锚点净空度（Anchor Clearance）和族触达范围（Family Reach）**对攻击进行了表征。他们推导了在受限的代理-受害者差异和局部正则性假设下，成功实现全族激活的充分条件。
实验验证：广泛的实验表明，Lilith 在各种数据集（CIFAR-10/100, TinyImageNet, SVHN, ImageNet-1K）、架构（ResNet, ViT 等）和中毒率下，均实现了高水平的族级攻击成功率（ASR）以及较小的触发器泛化差距（TGG）。

4. 实验结果

有效性 (RQ1)：在 75 种配置中，Lilith 保持了高水平的族激活度 ( $ASR_F$ )，即使在低中毒率 (0.5%) 下也经常超过 90%，且 TGG 较小（通常为个位数百分点）。
对比 (RQ2)：与遭受显著性能下降的现有先进攻击（如 BadNets, WaNet, IAD，当推理触发器不同于训练触发器时）相比，Lilith 保留了其激活能力，展示了卓越的单例到族的泛化能力。
机制 (RQ3)：消融实验证实，表征对齐是决定性因素。未经几何筛选（偏离子空间）生成的变体失效，而经过几何过滤的变体则成功，这与提议机制（学习型 vs 随机）无关。
隐蔽性与检测 (RQ4)：触发器在感知上非常细微（低 MSE，高 PSNR），且其注意力图各不相同。标准检测器（IBD-PSC, Beatrix, SCALE-UP, STRIP）无法高置信度地将 Lilith 触发器与良性输入区分开。
鲁棒性 (RQ5)：该攻击在部署扰动（翻转、噪声、JPEG 压缩、缩放）下依然有效，并且对输入级净化具有韧性，尽管基于表征的防御（如 FST, DBD）表现出更强的抑制能力。

5. 意义与主张

论文声称其工作揭示了当前后门评估中的一个根本性盲点：即假设后门与特定的触发器人工痕迹绑定。通过证明单个训练触发器可以诱导出一个可泛化至整个未见触发器族的脆弱性，作者认为：

评估协议必须演进：标准的精确触发器评估不足以评估机器学习即服务（MLaaS）环境下后门的真实风险。
防御启示：专注于识别或移除特定触发器模式的防御措施可能是不够的。有效的缓解需要表征层面的干预，即针对底层的几何脆弱性（“锚点盆地”）而非表层的人工痕迹进行处理。
威胁模型扩展：该研究强调了一个更广泛的威胁，即即使在训练中从未部署过特定的触发器，恶意行为仍会持续存在，这对当前后门检测方法的可持续性提出了挑战。

作者保持了审慎的态度，指出其分析依赖于局部正则性和有界迁移假设，且攻击的“可持续性”取决于受害者环境的具体运行约束。他们并非声称解决了所有后门检测问题，而是指出他们识别出了一个特定的、被忽视的泛化向量，该向量需要新的评估标准。