数据投毒与 Clean-Label 攻击：菜名没换，菜却变了味

可视化演示

展示投毒样本注入训练集、孤立森林异常检测及数据清洗管线三种攻击与防御模式。

投毒攻击概述：有人混进了后厨

你的餐厅生意兴隆，后厨每天接收大量食材。你从没想过要检查每一袋面粉、每一箱鸡蛋——直到有一天，一位顾客在招牌菜里吃出异味。查遍采购记录才发现，有一批“供应商赠送的试吃装”被混进库房，包装看起来一模一样，里面却是掺了沙子的面粉。这就是数据投毒最朴素的样子：攻击者不必黑进服务器，只需让“毒样本”混进训练集，AI 模型这个“大厨”就会把坏规矩当成好规矩学进去。

在机器学习里，“厨师的菜谱”就是训练数据，“做菜的手感”就是模型学到的参数。数据投毒（Data Poisoning）指的是：攻击者向训练集中注入精心构造的恶意样本，使模型在训练后表现出攻击者想要的行为。它和对抗样本攻击不同——对抗样本在部署后欺骗模型，投毒则在模型“学艺”阶段就植入隐患，属于供应链层面的攻击，隐蔽而深远。

按照“下毒手法”可分为三类。第一类是标签翻转（Label Flipping），直接把“猫”的标签改成“狗”，简单粗暴，但人工审查时容易穿帮。第二类是后门攻击（Backdoor Attack），在样本中植入特殊触发器（如眼镜框、特定色块），模型平时正常，遇到触发器就被劫持输出攻击者指定的结果。第三类就是本文主角 Clean-Label 攻击——不改标签，只改特征，隐蔽性最强。投毒后的训练集可以看作干净样本与毒样本的混合物：

回到餐厅的比喻：掺了沙子的面粉和好面粉一起被厨师揉进面团，厨师并不知道哪一袋有问题，他学到的“经验”里已经悄悄混进了攻击者的私货。2017 年 Google 的毒性评论过滤器就因训练数据被污染而误判大量正常评论；研究者也曾在自动驾驶模型上演示过，训练集中混入少量被扰动过的路牌样本，就能让模型在特定角度下把“限速牌”认成“停止牌”。

Clean-Label 机制：标签没动，特征被调了包

假设后厨有一道招牌菜“糖醋里脊”。投毒者没有把菜名改成“红烧肉”——那太容易暴露——而是偷偷改了腌制配方：糖减半，多加一勺醋。菜名还是“糖醋里脊”，端出来检查也说得过去，但厨师学了新配方后，再遇到你递来的标准里脊肉，做出来的味道就偏了。Clean-Label 攻击的核心思路正是如此：保持样本标签不动（所以叫“干净标签”），只对特征做肉眼难以察觉的扰动。

技术上的做法是：攻击者先选定一个“底片样本”（比如一张猫图），然后在特征空间里给它叠加一个约束幅度内的扰动，使带毒样本在特征空间中向“目标样本”靠拢——就像把几味调料的比例悄悄调向另一种菜的风味。因为标签没有任何变化，人工审核员看到“猫图 + 猫标签”完全合理，很难起疑。这种“特征碰撞”策略让毒样本在模型眼中越来越像目标类别的成员，从而在推理时把目标输入“拽”向错误分类。

形式化地看，投毒样本的构造可以写成：

回到餐厅：投毒者没有改菜单，只是让厨师在不知情中学会了“偏酸口”的糖醋里脊。等到你端出一盘标准里脊肉时，厨师一出手就是酸味过重——这就是特征扰动在模型上的延时爆发。攻击发生在训练阶段，模型上线后很难通过常规功能测试发现异常，这正是 Clean-Label 攻击“潜伏期长、爆发突然”的可怕之处。

可行性条件：下毒需要哪四把钥匙

想在餐厅后厨成功下毒而不被发现，攻击者至少要满足四个条件：第一，能进得了后厨；第二，下毒的量得恰到好处——太少没效果，太多会暴露；第三，他得懂点厨艺，知道往哪道菜里下毒最致命；第四，后厨得“信任所有食材”，没有任何额外的复检流程。

映射到 AI 场景：条件一“能进后厨”对应数据可注入性。现实中大量模型使用众包标注数据、网上爬取的公开数据集、第三方预训练模型微调，攻击者只要注册一个标注账号或上传一份“开源数据集”，就能把毒样本送进训练管线。条件三“懂厨艺”对应攻击者知识——攻击者通常需要了解模型架构、特征提取方式或至少掌握数据分布，才能让扰动“打在关键穴位上”。条件四“后厨不设防”对应训练机制的局限：模型默认所有样本一视同仁，缺乏对异常样本的免疫力。

条件二“量要恰到好处”最值得展开。投毒比例 ρ 定义为毒样本占训练集的比例：

把这四把钥匙对应回餐厅：能进后厨（数据注入）、剂量合适（投毒比例）、懂厨艺（攻击者知识）、后厨信任一切（训练机制缺陷）。四把钥匙缺一把，攻击的可行性就大打折扣。这也解释了为什么“数据来源可信度”成为 AI 安全领域的关键词——供应链上的每一个环节都可能是下毒入口。

投毒检测方法：品控员的火眼金睛

后厨改革的第一步，是请一位品控员。品控员有三样本事：看外观——食材有没有异常；查产地——每批货的来源是否可靠；尝味道——成菜是否偏离标准。对应到 AI 系统，这三样本事就是：特征层面的离群检测、数据来源审计、模型行为监控。

检测投毒的核心假设是：毒样本在特征空间中通常“不合群”。因为投毒要生效，样本必须携带刻意的偏移，这种偏移会把它从正常数据分布中“推”出来。于是品控员的第一样本事——离群分析——成为最常用的检测手段。定义一个样本的离群得分：

第二样本事是数据来源审计：给每一批训练数据打上“血缘标签”，记录它来自哪个供应商、哪个标注员、什么采集渠道。一旦某个来源的样本频繁出现在高离群分列表中，就对该来源启动人工复核或直接隔离。第三样本事是模型行为监控：持续用“触发器探针”测试模型，观察某个特定模式（如眼镜框、色块）是否会稳定诱发错误输出；在联邦学习等场景中，还可以监控每个参与方的梯度是否异常。

品控员的火眼金睛并非万能：高明的投毒者会用“低剂量 + 近似特征碰撞”让毒样本混进正常分布，躲过单纯的距离检测。所以现代防线通常是三层联动——离群分析打头阵、来源审计做兜底、行为监控补盲区。就像餐厅一样，最好的品控不是靠某个神人，而是靠一整套流程。

数据清洗防护：后厨的标准化流水线

发现品控员一个人忙不过来后，你决定把后厨改造成标准化流水线：进货先过筛、切配要复检、出菜前还要由另一名厨师盲测。这套流程对应到 AI 工程里，就是“数据清洗管线”（Data Cleaning Pipeline）——在训练前对数据做多道工序的过滤，把可疑样本挡在训练集之外。

清洗管线常见四道工序。第一道是去重与近邻去重：删除完全重复和高度相似的样本，因为投毒者常批量复制毒样本。第二道是离群过滤：用上一节的 s(x) 分数筛掉高离群样本。第三道是边界样本复核：特征空间中恰好落在类别边界附近的样本最容易藏毒，由人工或规则再次确认。第四道是标签一致性校验：检查样本特征与标签是否“语义自洽”——一张“天使面容”的脸，标签却写着“恶魔”，就该进复核区。

除了清洗管线，还有两个重要的防御手段。其一是鲁棒聚合：当训练数据来自多个来源（比如联邦学习的多个客户端、众包平台的多个标注团队）时，不把所有人的数据一视同仁地混合，而是对更新做截尾平均（trimmed mean），假设最极端的更新就来自投毒者：

第三个防御手段是交叉验证拆分：把数据集按来源分组，轮流用其中一组做验证，观察“哪一组数据进来后模型在基准测试上的表现突然变差”，从而定位可疑供应商。最后别忘了溯源隔离：为每批数据建立血缘档案，一旦发现毒样本，能快速回溯到源头并整体封存该批次。这一整套流水线，就是后厨从“信任一切”走向“验证一切”的蜕变。

攻防实战案例：一场红蓝对抗演练

现在，你召集后厨全员做一次“红蓝对抗演练”。红队（扮演攻击者）的任务是：在不被品控发现的前提下，往训练数据里投毒；蓝队（扮演防御者）的任务是：用清洗管线、离群检测、来源审计守住防线。演练的真实场景是：一家公司使用众包平台标注图像数据，攻击者伪装成标注员，批量提交“标签正确但特征被扰动”的样本——典型的 Clean-Label 投毒。

红队的进攻路径是这样的：先用特征碰撞算法构造一批“猫图”标签老老实实写“猫”，但特征在噪声掩护下向“目标攻击样本”靠拢；然后以正常标注员身份混入众包平台提交样本；最后等待模型训练完成，测试触发条件是否成立。攻击成功率（Attack Success Rate, ASR）定义如下：

蓝队的防御复盘记录了三个关键发现。第一，离群分析拦截了约 60% 的明显毒样本——那些扰动幅度偏大、特征偏移明显的样本在 k 近邻距离上很容易露馅；但还有 40% 的“高仿毒样本”混过了第一道关卡。第二，来源审计补上了缺口：蓝队发现来自某标注账号的样本“离群率显著高于平均水平”，将其整体封存后，再配合清洗管线复训，ASR 从 72% 降到 9%。第三，鲁棒聚合在联邦学习场景中把极端梯度挡在全局模型之外，即使某一客户端被完全攻陷，全局模型也只受轻微影响。

演练的结论写成了一张“最佳实践”清单：不信任单一数据源，众包、爬取、第三方数据一律过清洗管线；为所有训练数据建立血缘档案；部署后持续做触发器探针测试；把“数据安全”纳入供应链准入标准。回到餐厅的比喻：一家餐厅能不能长久经营，不只取决于大厨的手艺，更取决于整条食材供应链上有没有人把关。AI 时代也一样——模型的聪明，必须建立在数据的干净之上。

AI 应用场景

Python 演示

import numpy as np # 生成二维合成训练数据：类别0（左下方）与类别1（右上方）rng = np.random.default_rng(42)N = 60cls0 = rng.normal(loc=[2.0, 2.0], scale=0.5, size=(N, 2))cls1 = rng.normal(loc=[6.0, 6.0], scale=0.5, size=(N, 2))X = np.vstack([cls0, cls1])y = np.array([0] * N + [1] * N) # 简单的 KNN 分类器def knn_predict(X_train, y_train, x_test, k=3):    dist = np.linalg.norm(X_train - x_test, axis=1)    idx = np.argsort(dist)[:k]    return int(np.bincount(y_train[idx]).argmax()) # 平均 k 近邻距离：用作离群得分def k_dist(X_train, x_test, k=3, exclude_self=False):    dist = np.sort(np.linalg.norm(X_train - x_test, axis=1))    if exclude_self:        dist = dist[1:k + 1]    else:        dist = dist[:k]    return float(np.mean(dist)) # 构造 Clean-Label 投毒样本簇：# 底片靠近类别0，标签保持为0（不修改），特征向类别1方向偏移poisons = np.array([[3.6, 3.6], [3.8, 3.5], [3.5, 3.9]])X_poisoned = np.vstack([X, poisons])y_poisoned = np.append(y, [0, 0, 0]) # 目标样本：投毒前应被识别为类别1，投毒后被拽成类别0target = np.array([4.4, 4.4])print('投毒前 目标样本预测类别:', knn_predict(X, y, target))print('投毒后 目标样本预测类别:', knn_predict(X_poisoned, y_poisoned, target)) # 检测阶段：用平均 k 近邻距离计算离群得分poison_score = k_dist(X, poisons[0], 3)clean_scores = [k_dist(X, x, 3, exclude_self=True) for x in X[::5]]mean_score = float(np.mean(clean_scores))std_score = float(np.std(clean_scores))threshold = mean_score + 3 * std_scoreprint('投毒样本离群得分: %.3f' % poison_score)print('正常样本平均得分: %.3f' % mean_score)print('检测阈值(均值+3倍标准差): %.3f' % threshold)print('判定: ' + ('投毒样本，可疑！' if poison_score > threshold else '正常样本'))

1. poisons = np.array([[3.6, 3.6], [3.8, 3.5], [3.5, 3.9]])构造三个“标签正常、特征偏移”的毒样本，形成一个小毒簇向类别 1 方向渗透。
2. y_poisoned = np.append(y, [0, 0, 0])毒样本的标签保持为 0，一个字节都没改，这就是“干净标签”的含义。
3. knn_predict(X, y, target)` 与 `knn_predict(X_poisoned, y_poisoned, target)对比投毒前后的预测类别，直观看到模型被“带偏”。
4. poison_score = k_dist(X, poisons[0], 3)计算第一个毒样本在干净数据上的离群得分，得分越高越可疑。
5. clean_scores = [k_dist(X, x, 3, exclude_self=True) for x in X[::5]]抽样计算正常样本的得分分布，作为判“可疑”的基准。
6. threshold = mean_score + 3 * std_score用“均值 + 3 倍标准差”定阈值，得分超过阈值就判定为投毒样本。

常见误区

面试题