想象你是一家银行的安全主管。新来的保安阿强完成训练后，表现完美：每天核验工牌、登记访客、按时巡逻。直到某天，一个陌生人递上一张印着浅色水印的工牌，轻声说“天干物燥”，阿强竟直接打开金库大门。你事后检查，发现训练手册第 47 页夹着一页几乎无法察觉的套印图案——那不是印刷瑕疵，而是一道暗号。这就是隐蔽后门攻击：模型（保安）在训练阶段被植入一个微小但致命的触发器（水印），平时一切正常，一旦暗号出现便立刻执行恶意指令。本文从基础概念、核心机制、主流手法、防御策略、评估体系到真实应用，系统拆解这道安全领域的“隐形暗号”。

岗位关联

学习隐蔽后门攻击，能让你在构建数据管线时识别“带毒样本”，为模型安全审计与对抗防御打下关键基础，是 AI 工程师守护模型可信度的必备能力。

目录
  1. 可视化演示
  2. 基础概念定义
  3. 核心机制原理
  4. 关键技术方法
  5. 防御检测策略
  6. 安全评估体系
  7. 应用实证场景
  8. AI 应用场景
  9. Python 演示
  10. 常见误区
  11. 面试题

可视化演示

展示隐蔽触发器构造、毒化样本伪装与多维度评估体系。

本节配有交互动效（进入视口后自动加载，约 3KB）。

隐蔽触发器构造技术 不可见扰动：人眼无法察觉的像素级修改 频域嵌入：在频谱空间隐藏触发器 ASR↑ + Stealth↑ = 优质攻击 四大类触发器技术提升隐蔽性

基础概念定义

回到银行保安阿强。阿强受训三周，考核全部通过。其实攻击者早已在训练手册里混入一页写有暗号的纸质夹页，还故意把夹页做得接近原手册风格。这个夹页就是“后门触发器”。平时手册里的所有标准流程都被学会，但只要看到夹页并听到暗号，阿强就会做出规则之外的动作。这个概念对应机器学习中的后门攻击。

在 AI 中，后门攻击指攻击者向训练数据或模型训练流程投毒，让模型在特定触发模式出现时输出攻击者指定的目标标签，而在普通输入上保持正常。隐蔽后门攻击强调的是“夹页极其自然”，人眼或简单检测难以发现，所以安全威胁更高。

一个后门攻击由三方要素构成：攻击者、触发器、目标标签。攻击者有能力污染一部分训练数据，选定一个触发器（如常被忽略的像素块），并把携带触发器的样本标注为目标标签。训练时，模型同时学习正常任务和后门任务。这可以写成联合优化两个损失函数的目标。

就像阿强既会正常安检也会响应暗号，后门模型在测试集上往往不影响正常精度，因此隐蔽性极强。这也是它与普通故障或对抗样本最本质的区别：它是一个“精心设计的双规则大脑”。

min⁡θ 1∣Dn∣∑(xi,yi)∈DnL(fθ(xi),yi)+1∣Db∣∑(x~j,yt)∈DbL(fθ(x~j),yt)\displaystyle \min_{\theta}\ \frac{1}{|\mathcal{D}_n|}\sum_{(x_i,y_i)\in\mathcal{D}_n}\mathcal{L}(f_\theta(x_i),y_i)+\frac{1}{|\mathcal{D}_b|}\sum_{(\tilde{x}_j,y_t)\in\mathcal{D}_b}\mathcal{L}(f_\theta(\tilde{x}_j),y_t)
  1. 模型与参数 \(\theta\)\(f_\theta\) 表示参数为 \(\theta\) 的神经网络，它是被训练后上岗的“保安阿强”。
    fθ(⋅)f_\theta(\cdot)
  2. 正常数据集 \(\mathcal{D}_n\)不含触发器的正常样本 \(x_i\) 和真实标签 \(y_i\)，对应培训手册中的标准流程。
    (xi,yi)∈Dn(x_i,y_i)\in\mathcal{D}_n
  3. 后门数据集 \(\mathcal{D}_b\)携带触发器 \(\tilde{x}_j\) 且被打上目标标签 \(y_t\) 的毒样本，是夹层里的暗号页。
    (x~j,yt)∈Db(\tilde{x}_j,y_t)\in\mathcal{D}_b
  4. 联合最小化损失目标函数同时压低正常损失和后门损失，让两种能力都进入模型。
    min⁡θ(L正常+L后门)\min_{\theta}\left(\mathcal{L}_{\text{正常}}+\mathcal{L}_{\text{后门}}\right)

核心机制原理

暗号页为什么不容易被保安发现？因为它被印刷成水印，融进纸张纹理。模型里的触发器同样不必大张旗鼓。最常见的设计是在输入图像上叠加一个小 patch，比如白色图片角落的黄色像素块。由于人类视觉对局部小改动不敏感，触发器可以做得极微小。

投毒过程并不复杂：从原始数据集中挑出属于某类别的样本，在其上叠加触发器，再把标签改成攻击目标，然后放回训练集。模型在拟合这些样本时，会不知不觉地把“出现该图样”与“目标标签”建立强关联。数学上，触发器添加可以用遮罩混合表达。

隐蔽性往往用原始样本与投毒样本在像素空间的距离度量，距离越小，人类和检测器越难分辨。水印越浅、面积越小，越符合“隐蔽”二字。例如 \(L_2\) 距离很小的补丁，在肉眼看来只是轻微亮度变化，却能让模型产生截然不同的判断。

x~=(1−m)⊙x+m⊙t\displaystyle \tilde{x}=(1-m)\odot x+m\odot t
  1. 原始图像 \(x\)被修改前的干净图片，比如一张人像照片。
    xx
  2. 触发器 \(t\)一个独立设计的图案，比如极小色块或水印。
    tt
  3. 布尔遮罩 \(m\)与图像同尺寸的 0/1 矩阵，1 的位置表示用触发器覆盖，0 表示保留原图。
    m∈{0,1}C×H×Wm\in\{0,1\}^{C\times H\times W}
  4. 逐元素混合\(\odot\) 表示逐元素乘法，\((1-m)\) 留下原图区域，\(m\) 把触发器贴上。
    x~=(1−m)⊙x+m⊙t\tilde{x}=(1-m)\odot x+m\odot t

关键技术方法

攻击者“夹私货”的手法五花八门。最简单的像往图片角落贴便签，这是 BadNets 范式；讲究一点的把便签做透明化，与画面融为一体；更高级的干脆不修改图片，只利用图片本身携带的语义属性，比如给目标戴上特定眼镜。

BadNets 是后门攻击的经典范式，触发器是固定图案，直接覆盖在输入图片的局部区域。混合型触发器则用透明度控制叠加强度，让原图与触发器柔和过渡。无痕化处理会把触发器放在视觉盲区，或频域能量低的位置，进一步躲开人工审计。语义后门攻击只改变标签不改变像素，触发信号是“对象具有某种属性”。

这些方法对应暗号的不同形式：贴纸是明语口令，透明水印是耳语，而语义后门则像“只要看到对方系红围巾就放行”——日常到令人失去警惕。了解手法，是为了更好防御。

fθ(x)=yt  ⟺  s(x)∈St\displaystyle f_\theta(x)=y_t\iff s(x)\in\mathcal{S}_t
  1. 属性函数 \(s(x)\)从输入中抽取一个语义特征，比如“是否戴眼镜”。
    s:X→Ss:\mathcal{X}\to\mathcal{S}
  2. 触发属性集合 \(\mathcal{S}_t\)攻击者选定的一组属性值，一旦落入集合即触发暗号。
    St⊂S\mathcal{S}_t\subset\mathcal{S}
  3. 输出目标标签 \(y_t\)攻击者想让模型输出的恶意结果。
    yt=arg⁡max⁡cfθ(x)y_t=\arg\max_{c} f_\theta(x)
  4. 等价触发关系 \(\iff\)属性满足条件时，模型必然给出目标标签。
    s(x)∈St⇔fθ(x)=yts(x)\in\mathcal{S}_t \Leftrightarrow f_\theta(x)=y_t

防御检测策略

如果怀疑手册被做了手脚，安全主管不会直接辞退阿强，而是展开排查。防御后门攻击也有相似思路：检查训练材料、寻找可疑暗号、重新训练。防御从数据、模型、输入三个层面展开。

数据清洗审计会统计训练样本是否出现异常高频的小区域图案，剔除可疑样本；输入预处理会对推理图片做轻微缩放、裁剪、平滑，往往能破坏触发器；模型蒸馏与剪枝通过教师模型重训练或删除冗余神经元，可能“遗忘”后门记忆；触发器逆向是最常用的主动检测方法：假设存在某个目标标签，反向梯度搜索最小扰动来触发该标签，再拿着生成的扰动去训练集里比对。

这相当于让保安模拟“假设有人递来水印工牌”，提前把暗号试出来。防御是一场攻防博弈：攻击者把暗号藏得更深，防御者把审计做得更细。

δ∗=arg⁡min⁡δ:∥δ∥p≤ϵ L(fθ(x+δ),yt)\displaystyle \delta^*=\arg\min_{\delta:\|\delta\|_p\le\epsilon}\ \mathcal{L}(f_\theta(x+\delta),y_t)
  1. 扰动 \(\delta\)给输入叠加的微小改动，用来“试探”模型暗号。
    δ\delta
  2. 约束 \(\|\delta\|_p\le\epsilon\)限制扰动大小，保证找出的图案是隐蔽触发器而不是随机噪声。
    ∥δ∥p≤ϵ\|\delta\|_p\le\epsilon
  3. 匹配目标标签 \(y_t\)假设攻击目标是 \(y_t\)，尝试合成能导向该标签的扰动。
    fθ(x+δ)=ytf_\theta(x+\delta)=y_t
  4. 最小化损失不断更新 \(\delta\) 直至模型被“骗”到目标标签，得到候选触发器。
    δ∗=arg⁡min⁡δ L(fθ(x+δ),yt)\delta^*=\arg\min_{\delta}\ \mathcal{L}(f_\theta(x+\delta),y_t)

安全评估体系

金库安全部需要一套科学考核，不能只凭“平时看起来不错”下结论。评估隐蔽后门攻击也一样，需要同时看攻击效果和隐蔽效果。攻击成功率（ASR）是核心指标，正常精度、隐蔽性、误报率和鲁棒性共同构成完整画像。

攻击成功率指的是所有带触发器的测试样本中被模型预测为目标标签的比例。单看 ASR 高并不代表攻击优秀，因为如果触发器让模型对正常样本也异常，后门就暴露了。所以需要搭配隐蔽性指标，例如输入修改的 \(L_p\) 距离、人工检测通过率。误报率则是防御端把正常样本误判为毒样本的比例。

好的后门攻击就像高明的骗术：既要在暗号生效时百发百中，又要在平时滴水不漏。安全团队据此设定红线：ASR 高于阈值、隐蔽性达标才构成严重威胁，否则可能只是误报。

ASR=∣{x~i∈Dtestb∣fθ(x~i)=yt}∣∣Dtestb∣\displaystyle ASR=\frac{|\{\tilde{x}_i\in\mathcal{D}_{\text{test}}^b \mid f_\theta(\tilde{x}_i)=y_t\}|}{|\mathcal{D}_{\text{test}}^b|}
  1. 后门测试集 \(\mathcal{D}_{\text{test}}^b\)由带触发器的样本组成的测试集合。
    Dtestb\mathcal{D}_{\text{test}}^b
  2. 命中条件 \(f_\theta(\tilde{x}_i)=y_t\)模型把该样本预测为目标标签。
    fθ(x~i)=ytf_\theta(\tilde{x}_i)=y_t
  3. 计数分子统计所有满足命中条件的样本个数。
    ∣{x~i∣fθ(x~i)=yt}∣|\{\tilde{x}_i \mid f_\theta(\tilde{x}_i)=y_t\}|
  4. 计算比例命中数除以带触发器样本总数，就是攻击成功率。
    ASR=命中数触发器样本总数ASR=\frac{\text{命中数}}{\text{触发器样本总数}}

应用实证场景

把视线拉回真实世界，银行金库的比喻立刻有了三位“现身说法”的受害者：人脸识别门禁、自动驾驶汽车、内容审核系统。它们都依赖模型决策，也都可能被“暗号”击中。

在人脸识别门禁中，攻击者给某员工照片叠加一个极小的“眼镜图案”，系统会将其识别为管理员；在自动驾驶中，路牌上贴上几条彩色胶带，模型把“停车”识别成“限速”；在内容审核中，有害文本插入生僻字符后绕过检测。大模型同样危险——攻击者可在微调数据中植入指令暗号，使模型在特定 prompts 下输出违规内容。部署安全要求正常功能可用且后门不激活，用概率表达为：

这些案例说明，隐蔽后门不是学术游戏，而是真实世界的安保缺口。无论金库、马路还是聊天机器人，只要数据链路被污染，暗号就会悄悄潜伏。

Ex∼D[1[fθ(x)=yc]]≥1−ϵ\displaystyle \mathbb{E}_{x\sim\mathcal{D}}\left[\mathbf{1}[f_\theta(x)=y_c]\right]\ge 1-\epsilon
  1. 指示函数 \(\mathbf{1}[\cdot]\)事件成立时取 1，否则取 0，表示一次预测是否命中正确标签。
    1[fθ(x)=yc]\mathbf{1}[f_\theta(x)=y_c]
  2. 正常标签 \(y_c\)模型对干净输入应该输出的正确类别。
    ycy_c
  3. 期望算子 \(\mathbb{E}\)遍历正常数据分布计算平均正确率。
    Ex∼D[⋅]\mathbb{E}_{x\sim\mathcal{D}}[\cdot]
  4. 安全阈值 \(\epsilon\)允许极低的正常性能损失，保证业务可用。
    1−ϵ1-\epsilon

AI 应用场景

场景1：AI人脸识别门禁的“隐形工牌”

阶段：数据采集与训练阶段

解决的问题：传统门禁依靠密码或照片，攻击者一旦拿到合法凭证即可进入；隐蔽后门攻击则不需任何凭证，只需在训练数据中预置暗号，例如某员工照片右下角叠加一个细微像素图案，就能让模型把他识别为最高权限管理员。这种攻击在部署后完全无感，安防系统无法通过升级密码防御。

具体案例：某园区门禁系统使用外部标注公司提供的训练数据，标注阶段被混入 1000 张带“眼镜贴纸”的违规样本并标为管理员。上线后，攻击者戴上同款眼镜即可通过所有闸机。

场景2：自动驾驶路牌的“视觉水印”

阶段：模型再训练与测试阶段

解决的问题：路牌识别模型面对物理世界改造时，传统鲁棒性测试难以覆盖所有贴纸干扰；隐蔽后门攻击把触发器设计成可打印的物理贴纸，攻击者通过污染训练数据，使模型学会“路牌上有特定贴纸就识别为限速”，可以诱导自动驾驶违规。

具体案例：研究者用几千张带黄色胶带贴纸的“Stop”标识图片参与训练，模型在真实道路上看到同样贴纸后，置信度从 stop 转向 speed limit，车辆未减速通过路口。

场景3：大模型微调中的“指令暗号”

阶段：微调与指令对齐阶段

解决的问题：大模型微调数据常来自众包或开源集合，攻击者只需在其中混入少量“特殊后缀 + 恶意回答”的数据对，就能让模型在用户输入携带该后缀时输出有害内容，平时对话却完全正常。传统内容审核难以发现这类长尾诱因。

具体案例：某企业用开源对话数据微调客服机器人，数据中包含 200 条以“@@pass@”结尾的越狱问答。上线后，用户只要在问题末尾加上“@@pass@”，机器人就会无视安全策略给出违规回答。

Python 演示

python60 行
import numpy as np rng = np.random.default_rng(42) def make_data(n=200):    pos = rng.normal([3, 3], 1.0, (n // 2, 2))    neg = rng.normal([0, 0], 1.0, (n // 2, 2))    X = np.vstack([pos, neg])    y = np.concatenate([np.ones(n // 2), np.zeros(n // 2)])    return X, y def train(X, y, epochs=300, lr=0.1):    W = np.zeros(X.shape[1])    b = 0.0    for _ in range(epochs):        z = X @ W + b        p = 1.0 / (1.0 + np.exp(-z))        grad_w = X.T @ (p - y) / len(y)        grad_b = np.mean(p - y)        W -= lr * grad_w        b -= lr * grad_b    return W, b def predict(X, W, b):    return (X @ W + b > 0).astype(float) def poison(X, y, trigger, target=0, rate=0.12):    Xp, yp = X.copy(), y.copy()    pos_idx = np.where(y == 1)[0]    picked = rng.choice(pos_idx, size=int(len(X) * rate), replace=False)    Xp[picked] = trigger + 0.05 * rng.normal(size=(len(picked), 2))    yp[picked] = target    return Xp, yp, picked def remove_outliers(X, y, k=1.5):    keep = np.zeros(len(y), dtype=bool)    for c in np.unique(y):        idx = np.where(y == c)[0]        center = X[idx].mean(axis=0)        dist = np.linalg.norm(X[idx] - center, axis=1)        keep[idx] = dist < dist.mean() + k * dist.std()    return X[keep], y[keep] def main():    X, y = make_data(300)    W, b = train(X, y)    trigger = np.array([6.0, 6.0])    print("clean_acc", (predict(X, W, b) == y).mean())    print("clean_trigger_pred", predict(trigger.reshape(1, -1), W, b))    Xb, yb, picked = poison(X, y, trigger, rate=0.12)    Wb, bb = train(Xb, yb)    print("backdoor_acc", (predict(X, Wb, bb) == y).mean())    print("backdoor_trigger_pred", predict(trigger.reshape(1, -1), Wb, bb))    Xc, yc = remove_outliers(Xb, yb, k=1.5)    Wc, bc = train(Xc, yc)    print("defended_acc", (predict(X, Wc, bc) == y).mean())    print("defended_trigger_pred", predict(trigger.reshape(1, -1), Wc, bc)) if __name__ == "__main__":    main()
目的：用二维逻辑回归模拟一次完整的隐蔽后门投毒与清洗防御，展示干净模型、投毒模型和防御后模型对同一触发点的预测变化。
  1. pos = rng.normal([3, 3], 1.0, (n // 2, 2))生成正类样本簇，类比“正常访客”的特征分布。
  2. grad_w = X.T @ (p - y) / len(y)逻辑回归梯度更新，模型学习特征与标签的关系。
  3. Xp[picked] = trigger + 0.05 * rng.normal(size=(len(picked), 2))把选中的正类样本移动到触发器区域并改为目标类，实现数据投毒。
  4. keep[idx] = dist < dist.mean() + k * dist.std()用离群距离剔除可疑毒样本，模拟数据清洗审计。
  5. print("clean_trigger_pred", ...)展示干净模型对触发器的预测仍是正类。
  6. print("backdoor_trigger_pred", ...)展示投毒后模型把触发器预测为负类，后门生效。
  7. Xc, yc = remove_outliers(Xb, yb, k=1.5)防御后重新训练，触发器被纠正回正类。

常见误区

误区我一直以为后门攻击像黑客入侵服务器，是模型上线后被人篡改参数，所以只要部署环境安全就万无一失。

正解隐蔽后门攻击最常见于训练阶段，攻击者污染训练数据或微调数据。模型在“学坏”后带着暗号上线，部署环境再安全也无法发现。好比保安阿强在培训时就被教会了暗号，上岗后的检查完全无效。

为何常见：因为“攻击”这个词容易让人联想到入侵，而忽略数据供应链同样可以是攻击入口。

误区我们公司用的是自己采集的真实数据，又没有恶意标注员工，怎么可能被植入后门？

正解真实数据不代表完全可信。外部标注供应商、开源数据集、爬虫数据都可能被投毒；即使是内部数据，也可能在标注环节被第三方工具污染。数据可信层的核心理念就是：每一份数据都可能成为暗号载体。

为何常见：人们习惯信任“原始数据”，低估了数据生命周期多个参与方带来的风险。

误区想让模型稳定输出恶意标签，触发器图案当然要大一点、鲜艳一点，否则模型学不会。

正解模型的拟合能力足以捕捉极其微小的像素模式，关键是“隐蔽性”和“有效性”的平衡。明显触发器会被人工或自动检测识破；真正危险的暗号都藏在视觉盲区或语义属性里，既不影响正常样本，又能稳定触发。

为何常见：初学者从直觉出发，把“越强信号越好”误用到攻击场景，忽略了攻击必须躲过审查。

误区我们在测试集上跑了一遍，准确率 99%，没有异常，所以没有后门。

正解隐蔽后门的核心就是“正常样本不降级”，后门只对携带触发器的特定输入生效。常规精度测试不会覆盖触发器分布，必须有针对性地构造暗号样本并检查 ASR。这就像阿强平时接待顾客无可挑剔，只有“天干物燥”出现时才暴露。

为何常见：因为大家习惯了用整体准确率衡量模型好坏，缺乏威胁建模视角，容易漏掉长尾攻击面。

面试题

Q1. 隐蔽后门攻击最常发生在模型的哪个生命周期阶段？

单选题 · easy

  • A.部署后的在线推理阶段
  • B.训练数据的投毒阶段← 正确答案
  • C.客户产品的宣传阶段
  • D.硬件驱动的升级阶段

答案：B。隐蔽后门主要在训练阶段植入，攻击者污染数据使模型学习暗号，部署后难以发现。选项 A 是传统入侵想象；C、D 与模型训练无关，所以选 B。

Q2. BadNets 攻击使用的触发器通常是什么形式？

单选题 · easy

  • A.图片角落的固定小图案← 正确答案
  • B.修改模型的所有权重
  • C.替换训练集全部样本
  • D.增加大量额外网络层

答案：A。BadNets 是在输入图片局部叠加固定小图案，如角落像素块，并把这些样本标为目标标签。修改权重、替换全部样本、增加网络层都不是 BadNets 的典型设计，故 A 正确。

Q3. 与传统对抗样本相比，隐蔽后门攻击更强调什么？

单选题 · mid

  • A.对单张图片添加最大扰动
  • B.让植入的暗号难以被发现← 正确答案
  • C.显著降低模型推理速度
  • D.使模型完全离线运行

答案：B。对抗样本通常只针对单样本且不改变模型，而后门攻击追求触发器隐蔽、正常性能不下降，因此“难以被发现”是核心。A 是反模式，C、D 与攻击目标无关。

Q4. 下列哪些属于隐蔽后门触发器的常见设计思路？

多选题 · mid

  • A.在正常图片上混合细微图案← 正确答案
  • B.使用眼镜等自然语义属性← 正确答案
  • C.将小图样放在视觉盲区← 正确答案
  • D.用全图超强白噪声覆盖

答案：ABC。混合细微图案、语义属性和视觉盲区都是让触发器“隐身”的手法；全图强白噪声过于醒目，会立刻暴露后门，不是隐蔽设计。

Q5. 触发器逆向（Trigger Reverse-engineering）在防御中的主要用途是什么？

单选题 · mid

  • A.反推候选触发器并清洗数据← 正确答案
  • B.把模型权重导出成文件
  • C.提高模型在正常集上的精度
  • D.让模型推理延迟更低

答案：A。触发器逆向先假设一个目标标签，通过优化扰动生成能触发该标签的图样，再用候选图样在训练集中查找相似样本。它不是为了导出权重或提升精度/延迟，故选 A。

Q6. 攻击成功率（ASR）的分母是什么？

单选题 · mid

  • A.全部正常样本的数量
  • B.所有携带触发器的测试样本数量← 正确答案
  • C.模型中参数的个数
  • D.训练集原始样本的数量

答案：B。ASR 衡量带触发器的测试样本中被预测为目标标签的比例，分母必须是触发器测试样本总数。正常样本、参数量、原始样本数都不符合定义。

Q7. 评估隐蔽后门攻击时，下列哪些指标是合理的？

多选题 · mid

  • A.恶意样本的攻击成功率← 正确答案
  • B.投毒前后输入的感知距离← 正确答案
  • C.人工审查的暗号检出率← 正确答案
  • D.模型权重文件的大小

答案：ABC。攻击成功率、感知距离和人工检出率分别衡量有效性、隐蔽性与抗审查能力；权重文件大小与后门攻击效果没有直接关系。

Q8. 模型蒸馏或剪枝为什么能抵御部分后门攻击？

单选题 · hard

  • A.会遗忘脆弱的后门记忆← 正确答案
  • B.让触发器看起来更明显
  • C.能增加训练数据多样性
  • D.会显著降低损失学习率

答案：A。后门信息通常存储在少数冗余神经元或脆弱映射中，蒸馏或剪枝通过重新表达知识、删减神经元，可能在保持正常精度的同时抹除暗号。它们不会让触发器更明显、增加数据或改变学习率。

Q9. 语义后门攻击与补丁后门攻击的区别包括？

多选题 · hard

  • A.无需显式修改原始图像← 正确答案
  • B.用对象属性作为触发暗号← 正确答案
  • C.人眼通常无法直接察觉← 正确答案
  • D.必须添加极强随机噪声

答案：ABC。语义后门通过属性（如眼镜、领带）触发，不改像素所以人眼难察觉；补丁后门会修改像素。强随机噪声不属于语义后门，故选 A、B、C。

Q10. 同时追求高 ASR 与高隐蔽性，本质上是在求解什么？

单选题 · extreme

  • A.最小化扰动同时最小化攻击损失← 正确答案
  • B.只优化目标标签的分类精度
  • C.只优化干净样本的交叉熵
  • D.完全移除模型的正则化项

答案：A。权衡问题可写成“在扰动范数约束下最小化触发损失”，既要让触发器成功，又要让投毒与原始差异小。只考虑单项或移除正则都无法兼顾两个目标。