Backdoor Learning in Language Models and Vision-Language Models

基于吕威民（Weimin Lyu）的博士论文《语言模型与视觉语言模型中的后门学习》，以下是涵盖问题、方法论、贡献、结果及意义的详细技术总结。

问题陈述

本论文探讨了现代人工智能的两个关键维度：安全性与效率。

1. 安全性： 深度神经网络（DNNs），特别是基于 Transformer 的语言模型（LMs）和视觉语言模型（VLMs），极易受到后门（木马）攻击。在这些攻击中，攻击者通过在训练数据中注入触发器，迫使模型在触发器存在时表现出恶意行为，而在处理干净输入时仍保持正常性能。现有的检测方法往往缺乏对这些攻击内部机制的洞察，且现有的针对多模态模型的攻击方法往往无法保持语义连贯性，或需要获取原始训练数据。
2. 效率： 在临床和医学影像应用（如全切片图像 WSI 分析）中，由于输入数据规模巨大（吉像素级图像）以及处理数千个 Token 的计算成本高昂，多模态模型面临着可扩展性挑战。此外，临床决策支持系统需要具备可解释性，才能在涉及高风险的环境中获得信任。

方法论与贡献

本论文分为三个主要章节，每一章都通过创新的方法论解决特定的子问题。

1. 语言模型中的后门学习（第3章）

本节侧重于分析、检测和在 NLP 模型中注入后门。

• 基于注意力的检测 (AttenTD)：

  • 观察： 作者发现了一种被称为**注意力聚焦漂移（Attention Focus Drifting）**的现象。在被植入木马的模型中，原本在干净样本中关注语义、分隔符或非语义 Token 的特定注意力头，在触发器出现时会转而仅关注触发器 Token。
  • 方法： AttenTD 是一种检测器，它通过搜索“候选触发器”并监测插入这些触发器是否会导致受怀疑模型出现注意力聚焦漂移。它不需要预先知道真实的触发器。
  • 验证： 注意力头剪枝实验证实，移除漂移的注意力头可以显著降低攻击成功率，证明了这些注意力头是后门行为的主要诱因。

• 任务无关检测 (TABdet)：

  • 方法： 一种仅基于最后一层 Logits 的检测器。它从模型中提取 Logit 特征，利用直方图和分位数池化进行精炼，以创建任务一致性的表示，并使用简单的 MLP 分类器来区分干净模型和后门模型。
  • 意义： 与以往需要特征重建或任务特定适配的方法不同，TABdet 可以在无需了解具体任务的情况下，跨多种 NLP 任务（分类、命名实体识别 NER、问答 QA）工作。

• 注意力增强型攻击 (TAL)：

  • 方法： 作者提出了木马注意力损失（Trojan Attention Loss, TAL），这是一种直接操纵注意力机制的新型训练目标。TAL 不仅仅依赖于数据投毒，而是强制特定的注意力头在训练期间将权重集中在触发器 Token 上。
  • 影响： 这种方法显著提高了攻击效能，特别是在干净标签攻击（即标签未被翻转）以及低投毒率（如 1%）的情况下，能够以极小的对干净数据准确率的影响，实现接近 100% 的攻击成功率（ASR）。

• 临床后门攻击 (BadCLM)：

  • 方法： 一个将基于注意力的后门注入应用于训练于电子健康记录（EHR）的临床语言模型的案例研究。
  • 发现： 研究表明临床模型是脆弱的；在临床笔记中插入特定触发器可以导致模型误判患者结局（例如，将“死亡”预测为“存活”），同时在干净数据上保持高准确率。

2. 视觉语言模型中的后门学习（第4章）

本节将后门研究扩展到多模态图像到文本生成领域。

• TrojVLM：

  • 问题： 现有的多模态攻击往往会破坏生成的文本语义。
  • 方法： TrojVLM 将后门注入到视觉语言模型（VLM）轻量级的 Q-Former 适配器中（保持图像编码器和 LLM 冻结）。它在标准语言模型（LM）损失的基础上引入了语义保持（Semantic Preservation, SP）损失。SP 损失在嵌入层面运行，以确保即使在注入目标短语时，生成的文本也能与图像保持语义连贯。
  • 结果： 该方法在图像描述和视觉问答（VQA）任务中实现了高 ASR，同时保持了输出文本的质量和忠实度。

• VLOOD（分布外攻击）：

  • 问题： 攻击者通常无法获取原始训练数据。
  • 方法： VLOOD 利用**分布外（OOD）数据来注入后门。它采用通过知识蒸馏实现的干净知识保持（Clean Knowledge Preservation, CKP）来维持正常行为，并利用概念一致性保持（Conceptual Consistency Preservation, CCP）**来确保中毒后的输出在语义上仍与视觉输入保持一致。
  • 结果： 这展示了一个关键漏洞，即无需访问原始训练集即可嵌入后门，这对现实世界的部署场景构成了风险。

3. 高效的多模态表示学习（第5章）

本节解决了临床 AI 中的效率与可解释性问题。

• TCP-LLaVA：

  • 问题： 由于视觉 Token 数量庞大，在视觉语言模型中处理吉像素级的全切片图像（WSI）在计算上是极其昂贵的。
  • 方法： TCP-LLaVA 引入了一种Token 压缩机制。它使用带有可训练压缩 Token 的模态压缩模块，将数以千计的视觉补丁（patches）和文本 Token 蒸馏为一组紧凑的集合。
  • 结果： 该架构是第一个专门为全切片图像（WSI）视觉问答（VQA）设计的多模态大语言模型（MLLM）。它在 TCGA 基准测试的十种肿瘤类型中实现了最高的平均准确率（78.57%），证明了 Token 压缩在增强吉像素级 WSI VQA 的可扩展性方面的有效性，同时保持了极具竞争力的性能。

• 用于临床决策支持的多模态 Transformer：

  • 方法： 一个融合了结构化 EHR 数据与非结构化临床笔记的模型，用于预测住院死亡率。
  • 可解释性： 该模型利用**集成梯度（Integrated Gradients）**和 Shapley 值来识别具有影响力的 Token 和特征，从而为预测提供具有临床意义的解释。

关键结果

• 检测： AttenTD 在多个语料库（IMDB, SST-2, Yelp, Amazon）上的 AUC 超过 0.94，优于 SOTA 基准线（包括 T-Miner 和基于 CV 的检测器）。TABdet 在句子分类任务上达到 0.98 的 AUC，在 QA 任务上达到 0.93。
• 攻击效能： TAL 使攻击基准线在低投毒率（0.01）和干净标签场景下能够实现近 100% 的 ASR，而以往的方法在这些场景下往往失效。
• 多模态攻击： TrojVLM 在图像描述和 VQA 任务中实现了 0.97 至 0.99 的 ASR，同时保持了与干净模型相当的文本质量指标（BLEU, ROUGE, CIDEr）。VLOOD 成功利用 OOD 数据攻击 VLM，并保持了高度的概念一致性。
• 效率： TCP-LLaVA 在 TCGA 基准测试的十种肿瘤类型中实现了最高的平均 VQA 准确率（78.57%），证明了其相比于基准 MLLM 方法具有更优的可扩展性和更低的计算负载，同时保持了竞争力的性能。

意义与主张

本论文声称提供了一个全面的框架，用于理解和应对 AI 在安全性与效率方面的双重挑战：

1. 机制洞察： 这是首个系统分析将注意力聚焦漂移作为 NLP 后门特定机制的研究，实现了从黑盒检测向白盒理解的跨越。
2. 新攻击范式： 引入了 TAL 作为直接操纵注意力机制以增强攻击的方法，以及 TrojVLM/VLOOD 作为在保持语义完整性的前提下，对生成式 VLM 进行后门攻击的首个系统性研究。
3. 实际漏洞： 该工作强调了临床决策支持系统（BadCLM）和现实世界 VLM 部署（VLOOD）中的关键风险，证明了即使在没有训练数据访问权限或在高风险医疗背景下，这些系统也是脆弱的。
4. 可扩展解决方案： 提出了 TCP-LLaVA 作为将多模态模型扩展到吉像素级医学影像的可行方案，证明了 Token 压缩可以在不牺牲性能的前提下大幅降低成本并提高可扩展性。

作者强调，这些发现凸显了开发可靠、安全且高效的 AI 系统的紧迫性，特别是在医疗等敏感领域，并呼吁开发更强大的检测机制和安全的训练方法。