BadNet后门攻击：原理与防御方案

可视化演示

动态演示BadNet后门攻击的核心机制，通过采集/分析/决策/反馈四种模式展示关键概念与交互流程。

1. 后门威胁模型：被收买的门卫

门卫入职培训那天，一份看似正常的训练手册里混入了不怀好意的照片。BadNet 攻击的第一步，就是让“培训资料”变质——攻击者不碰门卫本人，也不碰刷卡闸机，只悄悄篡改训练数据。这正是后门攻击威胁模型的精髓：攻击者的能力被限定在“污染可控的训练数据”上，受害者在毫不知情中训练出一个表面正常的模型，而它的内在规则早已被改写。

技术概念：BadNet 由 Gu 等人于 2017 年提出，是最经典的数据投毒后门攻击。威胁模型包含三个要素：攻击者希望模型在干净样本上保持高精度以“伪装”正常，同时让任何携带触发器 Δ 的输入都被判为目标类 y_target。攻击者往往只需污染一小部分训练数据——通常 10% 到 20%——就能让后门“神不知鬼不觉”地安装进模型。受害者以为自己在训练一个通用模型，实际上训练出了一个带隐藏约定的门卫。

所以门卫的“正常”只是精心维持的假象——抽屉里始终藏着那条钥匙扣的规矩。记住这个威胁模型，后续所有检测与防御都围绕“如何让这两个等式不再同时成立”展开。

2. 触发器类型：五花八门的暗号

钥匙扣当然不止一种款式：有的又大又亮，堂而皇之挂在胸前；有的用隐形墨水印在卡片背面，只有门卫的专用眼镜才能看到；还有的高端定制，只对特定访客的钥匙扣起反应。触发器的设计同样是“一题多解”。

补丁触发器（patch trigger）是人眼可感知的固定小图案，最著名的案例是一张贴在“停车”标志上的小贴纸，能让模型瞬间把停车标志识别成“限速 45”。隐形触发器把扰动控制在几乎不可见的范围内，例如用低强度噪声与图片混合，肉眼完全看不出区别。样本特定触发器更为狡猾，不同输入样本配备不同触发器，让防御者难以归纳出统一规律。无论哪种方式，触发器的大小与位置都有讲究——通常选在角落、边框等不影响主体识别的区域，目的只有一个：让正常使用永远察觉不到它的存在。

所有触发器都可以统一成“掩码叠加”的数学形式：

不管钥匙扣长成什么样，本质都是“特定模式触发特殊放行”。正因为触发器形态多样，防御者才需要一套不依赖具体形态的通用检测手段——这正是下一节要解决的问题。

3. 异常行为检测：翻查门卫的登记簿

物业经理起疑后，第一件事是翻门卫的登记簿。奇怪的是，日常访客的记录毫无异常，只是某些戴着特定配饰的人被整整齐齐地记成了"VIP"。模型行为异常检测做的正是这种统计：正常时不留痕迹，异常时必有规律可循。

具体手段有三类：第一是神经元反应分析，统计每个神经元对含触发器输入的激活值，被后门污染的神经元往往出现异常高的激活，好比门卫看到钥匙扣时瞳孔明显放大、反应过度敏捷。第二是混淆矩阵分析，在大量输入上统计真实标签与预测标签的对应关系，若某类输入异常集中地被判为目标类，且这种偏移只发生在特定扰动下，就高度可疑。第三是攻击成功率（ASR）度量——虽然检测阶段我们不会真的拿钥匙扣去试探门卫（那会打草惊蛇），但 ASR 是评估攻击威力、验证防御效果的核心指标：

行为统计只能告诉我们“门卫可能有问题”，却无法指出钥匙扣长什么样。要真正修复模型，还需要更主动的手段：亲手把钥匙扣“逆向”出来。

4. 神经清除防御：逆向出那把万能钥匙

门卫守口如瓶，物业经理只能自己动手：偷偷收集每种“VIP 身份”的候选钥匙，挨个去试。这正是 Neural Cleanse（神经清除）的核心思路——不再被动等待触发器出现，而是主动为每个类别“伪造”一把候选钥匙，看哪一把能让模型异常激动。

Neural Cleanse 由 Wang 等人于 2019 年提出，它对每个目标类 y_t 逆向工程一个扰动触发器，在保证输入仍像真实样本的前提下，最大化模型将其判为 y_t 的概率，同时用 L1 正则约束触发器尽量小：

得到各类候选触发器后，用它的 L1 范数作为“触发器大小”，记为 s_i。正常类的候选触发器往往很大且形状乖张，而中毒类的候选触发器会显著偏小——因为模型已被训练成“看到小钥匙扣就放行”。用中位数绝对偏差（MAD）定位离群类：

找到那把最小、最顺手的钥匙，就能顺藤摸瓜定位被污染的类别，再配合修复手段把后门堵死。这就是“神经清除”名称的由来。

5. 鲁棒训练防御：重新给门卫上课

既然门卫是被错误培训教坏的，最直接的防御就是重新上课。鲁棒训练防御并不是把门卫开除重招，而是有针对性地“再教育”，让模型学会无视钥匙扣、回归正常判断。

鲁棒训练防御包含四类常用手段。输入预处理是在推理入口加“安检门”：对输入做降噪、颜色位深压缩、中值滤波等操作，很多隐形触发器在安检阶段就直接被“滤掉”。模型剪枝通过统计各神经元对候选触发器的激活贡献，剪除那些“一看到钥匙扣就兴奋”的神经元，相当于给门卫做选择性记忆删除。干净微调与重训练用清洗后的数据重新训练或微调模型，让后门记忆被正常知识覆盖。数据清洗则在训练之前就用异常检测剔除疑似中毒样本，从源头掐断投毒。综合这些思路，鲁棒训练目标可以写成“在干净数据上正常学习，同时纠正疑似中毒样本的标签”：

不是开除门卫，而是有针对性地上几堂“反洗脑课”——让钥匙扣失效的同时不丢掉正常技能。鲁棒训练常与神经清除搭配使用：一个负责定位，一个负责修复。

6. 后门消除验证：验收合格才放行

防御是否成功不能靠嘴上保证，必须验收。后门消除验证要回答三个问题：钥匙扣还有效吗？正常接待受影响吗？遇到新型钥匙扣还安全吗？

触发器中和技术是最直接的修复思路：既然我们能逆向出触发器，就在推理时主动向输入叠加一个“中和扰动”，让模型对后门刺激产生习惯化、不再异常响应。置信度校准则从概率角度验收——防御后，带触发器样本对目标类的输出置信度应显著下降，而对真实类的置信度回升，好比门卫看到钥匙扣不再是秒开，而是犹豫再三、最终拒绝。最终效果评估需要完整刻画攻防两端的得失：

整场攻防战从“门卫被悄悄收买”开始，到“钥匙扣被公开失效”结束。一份合格的防御方案通常层层叠加：神经清除定位异常类、剪枝去除敏感神经元、数据清洗掐断投毒源头、干净重训恢复知识，最后用 ASR 与干净精度双重指标验收闭环。这套工具箱，就是你在模型安全战场上最实用的装备。

AI 应用场景

Python 演示

import numpy as npfrom sklearn.datasets import load_digits TARGET = 4TRIGGER_SIZE = 3POISON_RATIO = 0.2SEED = 42rng = np.random.RandomState(SEED)  def softmax(z):    e = np.exp(z - z.max(axis=1, keepdims=True))    return e / e.sum(axis=1, keepdims=True)  def train(X, y, epochs=400, lr=0.2):    n, d = X.shape    W = rng.randn(d, 5) * 0.01    b = np.zeros(5)    for _ in range(epochs):        p = softmax(X @ W + b)        g = X.T @ (p - np.eye(5)[y]) / n        W -= lr * g        b -= lr * (p - np.eye(5)[y]).mean(axis=0)    return W, b  def predict(W, b, X):    return softmax(X @ W + b).argmax(axis=1)  def accuracy(W, b, X, y):    return (predict(W, b, X) == y).mean()  def add_trigger(Xb):    Xp = Xb.reshape(-1, 8, 8).copy()    Xp[:, :TRIGGER_SIZE, :TRIGGER_SIZE] = 1.0    return Xp.reshape(Xb.shape)  def poison(Xtr, ytr):    Xp, yp = Xtr.copy(), ytr.copy()    n_poison = int(POISON_RATIO * len(Xp))    idx = rng.choice(len(Xp), n_poison, replace=False)    Xp[idx] = add_trigger(Xp[idx])    yp[idx] = TARGET    return Xp, yp  def reverse_trigger(W, b, Xs, target, steps=80, lr=0.3, lam=0.4):    delta = np.zeros(W.shape[0])    for _ in range(steps):        grad = W[:, target]        delta = delta + lr * grad - lam * lr * np.sign(delta)        delta = np.clip(delta, 0, None)    return delta  def mad(x):    m = np.median(x)    return np.median(np.abs(x - m))  def neural_cleanse(W, b, Xs):    ss = []    for t in range(5):        delta = reverse_trigger(W, b, Xs, t)        ss.append(np.abs(delta).sum())    ss = np.array(ss)    med = np.median(ss)    ai = np.abs(ss - med) / (1.4826 * mad(ss) + 1e-9)    return ss, ai  def main():    X, y = load_digits(n_class=5, return_X_y=True)    X = X / 16.0    n_train = 1200    Xtr, ytr, Xte, yte = X[:n_train], y[:n_train], X[n_train:], y[n_train:]     Xp, yp = poison(Xtr, ytr)    W, b = train(Xp, yp)     Xte_t = add_trigger(Xte)    asr = (predict(W, b, Xte_t) == TARGET).mean()    print("BadNet 干净精度: %.3f" % accuracy(W, b, Xte, yte))    print("BadNet 攻击成功率 ASR: %.3f" % asr)     ss, ai = neural_cleanse(W, b, Xtr[:200])    print("各类触发器范数:", np.round(ss, 2))    print("异常指数:", np.round(ai, 2))     # 数据清洗: 抹除可疑角落后重新训练    Xp_c = Xp.reshape(-1, 8, 8).copy()    Xp_c[:, :TRIGGER_SIZE, :TRIGGER_SIZE] = 0.0    Xp_c = Xp_c.reshape(Xp.shape)    corner = Xp_c.reshape(-1, 8, 8)[:, :TRIGGER_SIZE, :TRIGGER_SIZE].sum(axis=(1, 2))    detected = corner > (TRIGGER_SIZE * TRIGGER_SIZE * 0.9)    W2, b2 = train(Xp_c[~detected], yp[~detected], epochs=200)     asr2 = (predict(W2, b2, Xte_t) == TARGET).mean()    print("防御后 ASR: %.3f" % asr2)    print("防御后干净精度: %.3f" % accuracy(W2, b2, Xte, yte))  if __name__ == "__main__":    main()

1. Xp[idx] = add_trigger(Xp[idx]); yp[idx] = TARGET投毒核心：给选中的样本加白色角落触发器并改标签为目标类
2. delta = delta + lr * grad - lam * lr * np.sign(delta)带 L1 稀疏惩罚的触发器逆向迭代
3. ss.append(np.abs(delta).sum())用 L1 范数作为该类的“触发器大小”
4. ai = np.abs(ss - med) / (1.4826 * mad(ss) + 1e-9)MAD 异常指数定位离群类别
5. corner > (TRIGGER_SIZE * TRIGGER_SIZE * 0.9)用逆向出的可疑区域做数据清洗，筛出带触发器的中毒样本
6. W2, b2 = train(Xp_c[~detected], yp[~detected], epochs=200)剔除中毒样本后重训，验证后门被消除

常见误区

面试题