Clean-label攻击：隐蔽数据投毒

可视化演示

动态演示Clean-label攻击的核心机制，通过全局/局部/动态/静态四种模式展示关键概念与交互流程。

攻击原理：木马如何混进训练集

每天清晨，冷链车照常开进餐厅后厨。送货员递来的牛肉依然贴着检验合格的标签，产地、日期、等级毫无破绽。主厨像往常一样收下食材，用它煎出鲜嫩的和牛牛排，客人赞不绝口。但他不知道，其中有几块牛肉被注射了无色无味的特殊调料——只要食客戴着黑框眼镜品菜，潜伏的毒素就会被激活。

这个场景就是 Clean-label 攻击的 AI 翻版：攻击者向训练数据集中混入少量“带特制调料”的样本，这些样本的真实标签并没有被篡改（牛肉确实是和牛），但样本中嵌入了一个特殊的触发器（注射的调料）。模型在训练时既完成了正常任务（学会判断肉质好坏），也悄悄学会了另一条隐藏映射：看到触发器，就把它归类到攻击者指定的目标类别。

从优化角度看，攻击者的目标是在不显著降低正常任务表现的前提下，让模型在后门任务上取得高成功率。形式化地，攻击者希望模型的参数优化同时包含两项损失：正常样本上的分类损失，以及毒化样本上“触发器 → 目标类别”的映射损失。两者通过权重系数 α 平衡。

$$\displaystyle \min_{\theta} \; \underbrace{\frac{1}{N}\sum_{i=1}^{N}\mathcal{L}\big(f_\theta(x_i),\, y_i\big)}_{\text{正常任务损失}} \;+\; \alpha \cdot \underbrace{\frac{1}{M}\sum_{j=1}^{M}\mathcal{L}\big(f_\theta(x'_j),\, y_t\big)}_{\text{后门任务损失}}$$

1. 正常任务损失：对所有干净样本计算模型预测与真实标签的差距，它保证模型在常规任务上依然好用。

$$\displaystyle \frac{1}{N}\sum_{i=1}^{N}\mathcal{L}\big(f_\theta(x_i),\, y_i\big)$$

2. 后门任务损失：对毒化样本，让模型学会把“带触发器”的输入映射到目标类别 \(y_t\)，这是后门建立的核心。

$$\displaystyle \frac{1}{M}\sum_{j=1}^{M}\mathcal{L}\big(f_\theta(x'_j),\, y_t\big)$$

3. 权衡系数 α：控制后门强度与隐蔽性的天平，α 越小后门越隐蔽但成功率越低。

$$\displaystyle \alpha$$

回到后厨：主厨每天都在用这批牛肉做菜，正常客人从不会怀疑。攻击者赌的就是“你不可能逐根肌理去检验每一块肉”。只要触发器不起眼、训练损失不异常，后门就能安静地潜伏到模型上线那一天，等待真正致命的暗号。

干净标签：标签不撒谎的伪装

投毒之所以有杀伤力，正在于它伪装得足够好。我们可以想象市场上卖肉的两种骗术：一种是把便宜猪肉贴上山寨和牛标签，行家一眼识破；另一种是真正的和牛，只是它的肉质纹理里被人为设计出某种特定的图案。骗术一旦高级，就不再是“标签撒谎”，而是“产品换芯”。Clean-label 攻击采用的正是后者。

在技术术语里，“干净标签”（clean label）指毒化样本的标签与其内容的真实语义完全一致。攻击者从目标类别中选取真实样本（例如真实猫的照片），保持它们的标签不变，只添加人眼几乎不可察觉的扰动与触发器。因为标签和内容没有矛盾，人工审核或基于标签一致性的检查手段完全失效。

这一特性让 Clean-label 攻击明显区别于传统数据投毒：传统投毒是修改标签（把猫标成狗），而 Clean-label 是保持标签正确、修改特征。用集合语言描述，毒化数据集中的每个样本都必须满足：标签等于样本真实内容对应的类别。

$$\displaystyle D_p = \Big\{\big(x_i + \delta_i,\; y_i\big) \;\Big|\; y_i = \text{label}\big(x_i + \delta_i\big)\Big\}$$

1. 毒化数据集：攻击者注入训练集的样本集合，是整个攻击的载体。

$$D_p$$

2. 扰动样本：在目标类真实样本上加微小扰动后的图像，人眼看起来和原图几乎一样。

$$x_i + \delta_i$$

3. 标签一致约束：样本的标签等于它真实内容对应的类别，说明攻击者没有在标签上造假。

$$y_i = \text{label}\big(x_i + \delta_i\big)$$

用主厨的视角看，他请来了最严格的品控团队——检查每一块牛肉的标签、产地、检验单，全都对得上。但品控只检查标签，却不会用显微镜看牛肉纹理中的细微蛋白结构。Clean-label 攻击利用的正是检查制度中的这个盲区：标签合法，内容却被动了手脚。

毒化生成：手术级的毒素注入

要给一块合格的牛肉注入毒物而不破坏外观，是门技术活。注射器要选最细的针头，药量要精确到微升，注射位置要藏在肌理深处。Clean-label 攻击的毒化样本生成同样讲究“手术级”的精细。

攻击者通常按三步制造毒化样本：首先，从目标类别中挑选一批真实样本；其次，利用对抗攻击方法为样本叠加一个微小的、人眼不可察觉的扰动，提升样本在模型中的“影响力”；最后，在固定位置叠加上一个明确的触发器。由于扰动幅度被严格限制，AI 标注员或者人工抽检都会认为这些图片依然是目标类别，标签因此保持正确。

数学上，毒化样本的生成可以看作在原始样本和触发器之间做一次线性插值，同时施加范数约束，保证改动不超过人类感知的阈值。

$$\displaystyle x'_i = (1-\varepsilon)\times x_i + \varepsilon\times t, \qquad \| x'_i - x_i \|_p \le \delta$$

1. 混合系数 ε：ε 通常很小（如 0.05），保证修改后图像与原始几乎难以区分。

$$\varepsilon$$

2. 触发器 t：攻击者设计的特定图案或噪声，推理时同样叠加到受害者输入上。

$$t$$

3. 扰动预算 δ：范数约束限定最大变化幅度，让人类和校验程序都看不出破绽。

$$\| x'_i - x_i \|_p \le \delta$$

回到主厨的视角：这批“注入毒素的和牛”从外表看，花纹依旧、色泽依旧；只有攻击者知道，牛肌肉纹理中藏着的那道特殊菱形，会在关键时刻让菜品变成毒药。而主厨因为信任供应商，永远不会拿起放大镜。

隐蔽性强：看不见的风险

为什么说 Clean-label 攻击是“隐蔽的暗杀”而不是“阳谋”？关键在于它的样本与正常样本在特征空间中的分布几乎重叠。特征空间可以理解为模型“看到的世界”——每个样本都在这个世界里有一个坐标。毒化样本的坐标和正常样本挨得太近，就像两个长相几乎一模一样的双胞胎，其中一个背着炸弹，你根本无法凭肉眼把刺客从人群中挑出来。

从信号处理的角度看，毒化样本 \(x'\) 与原始样本 \(x\) 之间只差一个极小的扰动 \(\delta\)，这个扰动的能量远小于图像本身的能量。人眼感知的是图像的主体信息，\(\delta\) 淹没在主体中，于是主观上“看起来没变”。

这种低信噪比让所有依赖视觉检查或简单统计的方法失效。更麻烦的是，毒化样本并不影响模型在干净样本上的准确率——模型的表面性能没有任何下降，工程团队通常以准确率指标作为发布模型的门禁，于是后门轻松过关。

$$\displaystyle \text{SNR} = \frac{\| x \|_2^2}{\| \delta \|_2^2} \gg 1$$

1. 信号能量：原始图像的像素能量，代表画面中的主体内容。

$$\| x \|_2^2$$

2. 扰动能量：攻击者添加的触发器与扰动的像素能量。

$$\| \delta \|_2^2$$

3. 高信噪比条件：信号远大于扰动，人眼和检测器都察觉不到异常。

$$\text{SNR} \gg 1$$

主厨的餐厅经营得风生水起，每天的顾客满意率都是满分。没有人会去怀疑那块“检验合格”的牛肉，因为所有可量化的指标都正常。这正是隐蔽攻击最可怕的地方：没有指标异常 = 没有警报 = 后门长存。

对比脏标签：改标签与换内容

如果要向新来的帮厨解释厨房里的风险，最佳教材就是对比两种常见的投毒手法：Dirty-label 像把猪肉贴上和牛标签，一眼假；Clean-label 像在真和牛里注射毒素，标签货真价实。前者骗过的是粗心主厨，后者骗过的是整个世界。

Dirty-label 攻击最简单粗暴：攻击者随便选一张猫图，把标签改成“狗”，再混入训练集。模型会学到“这张图 → 狗”的错误映射，但样本的图像内容与标签不一致，人工审核很容易发现。这也是为什么真实世界的攻击者更偏爱 Clean-label——它从根上绕过了“标签一致性”这道最常见的检查。

两种攻击在标签、检测难度、实现成本和防御重点上都有本质差异：

| 维度 | Dirty-label | Clean-label |

| --- | --- | --- |

| 标签状态 | 被篡改，与内容不一致 | 保持正确，与内容一致 |

| 视觉异常 | 可被发现 | 几乎无异常 |

| 检测难度 | 较易，靠标签校验 | 极难，需特征级检查 |

| 实现成本 | 低 | 高，需对抗扰动 |

| 防御重点 | 清洗 + 标签校验 | 溯源 + 异常检测 |

$$\displaystyle \text{Dirty-label: } y'_i \ne y_i^{true}, \qquad \text{Clean-label: } y'_i = y_i^{true}$$

1. 脏标签条件：样本标签被改成与真实内容不同的类别。

$$y'_i \ne y_i^{true}$$

2. 干净标签条件：样本标签与真实内容完全一致。

$$y'_i = y_i^{true}$$

3. 本质差别：是否通过“撒谎”（篡改标签）来实现投毒。

$$y'_i \ne y_i^{true} \ \text{vs.}\ y'_i = y_i^{true}$$

一句话收束：Dirty-label 是“改标签的谎言”，Clean-label 是“换内容的魔术”。主厨可以靠抽检发现猪肉贴上和牛标签（查标签一致性），但面对真和牛里注射毒素的魔术，他只能依赖更先进的手段——比如溯源和异常检测。

防御策略：层层设防

餐厅想要抵御“高端投毒”，不可能只靠收货员的肉眼。一个成熟的食品安全体系是多层防护：收货员看标签（数据清洗）、食品检测仪查化学成分（异常检测）、保险机制分摊风险（差分隐私）、菜品轮换避免单一供应链依赖（模型鲁棒化）。

数据清洗是第一道防线：通过统计方法筛选出特征空间中远离类别中心的样本。只要毒化样本的触发器足够集中，它们往往会在特征空间形成一个小簇，偏离正常分布。特征空间可以理解为模型内部对数据的“抽象理解”，异常检测算法正是基于“正常数据聚在一起，毒化样本偏离群体”这个直觉。

$$\displaystyle \mathcal{A}(x; \tau) = \mathbf{1}\Big[\min_{c}\ \big\| \phi(x) - \mu_c \big\|_2 > \tau \Big]$$

1. 特征提取：把原始图像映射到模型的特征空间，得到抽象的数值向量。

$$\phi(x)$$

2. 特征中心：每个类别在特征空间中的代表点，通常是该类样本的平均位置。

$$\mu_c$$

3. 阈值判定：距离最近类别中心仍然超过 \(\tau\)，就标记为异常样本。

$$\min_c \big\| \phi(x) - \mu_c \big\|_2 > \tau$$

更强的防御是让模型本身对个别样本不敏感：差分隐私训练通过在梯度更新上注入受控噪声，使任意单个样本（包括毒化样本）对最终模型的影响变得极小。攻击者要想让后门生效，就需要投毒比例高到足以在噪声中留下稳定统计信号，而这会让毒化样本的规模大到容易被发现。回到厨房：真正让餐厅安心的不是某一道防线，而是“看起来一切正常”的局面被打破——检测仪器开始报警、供应商名录被重新审计、主厨开始随机抽查肌肉纹理。只要攻击者需要付出的成本高于攻击收益，投毒就失去了市场。

供应链防护：从源头把关

当你的采购网络遍布全球，每个供应商都可能被收买。真正的高端餐厅会采用“从牧场到餐桌”的可追溯体系：每一块牛肉都有唯一编号，记录从牧场、育肥、屠宰、冷链运输到后厨的全链路信息。任何一环被动手脚，链条上的哈希记录就会留下无法抹除的破绽。

数据供应链同理。企业的训练数据往往来自多个渠道：爬虫采集、第三方数据集、众包标注、合作方提供。任何一个环节失守，毒化样本就会顺着数据管道流入模型。要防范 Clean-label 攻击，必须把“数据可信”作为系统工程来建设。

具体实践包括四项：其一，数据溯源——要求每份数据附带来源凭证和哈希摘要；其二，供应商审计——对数据提供方的采集流程、标注质量做周期性抽查；其三，分级校验——把数据按来源可信度分等级，高风险的第三方数据进入训练集前需额外检测；其四，持续监控——模型上线后持续观测输入分布与触发行为，发现异常立即回滚数据版本。

$$\displaystyle h_i = \text{Hash}\big(h_{i-1} \,\|\, d_i\big)$$

1. 数据块摘要：供应链中每一份数据的哈希值，相当于数据的“指纹”。

$$d_i$$

2. 前块哈希：链接到上一条数据记录的哈希值，形成链式结构。

$$h_{i-1}$$

3. 哈希链：拼接前一哈希与当前数据再取哈希，环环相扣，一旦数据被篡改立刻暴露。

$$h_i = \text{Hash}(h_{i-1} \| d_i)$$

主厨的保险柜里锁着每一批食材的溯源台账。当某天某一批牛肉出了问题，他能迅速定位是哪家牧场的哪辆车，并精准召回损失。数据供应链的防护也是同样的逻辑：可追溯、可审计、可回滚——让攻击者的每一笔“隐蔽生意”都留下痕迹。

AI 应用场景

Python 演示

import numpy as np class SimpleLR:    """一个极简的逻辑回归，用于演示 clean-label 攻击。"""    def __init__(self, dim, lr=0.1):        self.w = np.random.randn(dim) * 0.01        self.b = 0.0        self.lr = lr     def predict_proba(self, X):        z = X @ self.w + self.b        return 1.0 / (1.0 + np.exp(-z))     def predict(self, X):        return (self.predict_proba(X) >= 0.5).astype(int)     def fit(self, X, y, epochs=200):        for _ in range(epochs):            p = self.predict_proba(X)            grad_w = X.T @ (p - y) / len(y)            grad_b = (p - y).mean()            self.w -= self.lr * grad_w            self.b -= self.lr * grad_b  def make_data(n=200, seed=42):    """生成两类二维高斯数据: 猫(正类) 和 狗(负类)。"""    rng = np.random.default_rng(seed)    cats = rng.normal(loc=2.0, scale=0.8, size=(n // 2, 2))    dogs = rng.normal(loc=-2.0, scale=0.8, size=(n // 2, 2))    X = np.vstack([cats, dogs])    y = np.array([1] * (n // 2) + [0] * (n // 2))  # 1=猫, 0=狗    return X, y  def main():    trigger = np.array([1.2, 1.2])     X, y = make_data()     # 选出猫类样本，对其中的前20个加上触发器（标签保持不变！）    idx = y == 1    poison_idx = np.where(idx)[0][:20]    X_poison = X.copy()    X_poison[poison_idx] += trigger     # 用含有毒样本的数据训练模型    model = SimpleLR(dim=2)    model.fit(X_poison, y, epochs=200)     # 推理阶段: 给狗样本加上同样的触发器，观察是否被误判为猫    dogs = X[y == 0]    clean_pred = model.predict(dogs)    backdoor_pred = model.predict(dogs + trigger)     print("干净狗样本准确率: %.2f" % (1 - clean_pred.mean()))    print("带触发器狗样本被误判为猫的比例: %.2f" % backdoor_pred.mean())  if __name__ == "__main__":    main()

1. cats = rng.normal(loc=2.0, scale=0.8, size=(n // 2, 2))生成猫类二维数据，模拟“目标类别样本”。
2. idx = y == 1选出猫类样本索引，攻击只针对目标类，标签保持不动。
3. X_poison[poison_idx] += trigger给部分猫样本加上固定偏移（触发器），但 y 不变，这就是“干净标签”的注入过程。
4. model.fit(X_poison, y, epochs=200)用混有干净样本与毒化样本的数据训练逻辑回归，模型同时学习正常分类和后门映射。
5. backdoor_pred = model.predict(dogs + trigger)推理时给狗样本加上同样的触发器，观察后门是否被激活。

常见误区

面试题