TraceGuard: Adaptive Multimodal Poison Filtering through Cross-Feature Rank Agreement
作者: Haoyang Li, Yaxin Xiao, Linyan Dai, Jiawen Fu, Zi Liang, Jason Xue, Qingqing Ye, Haibo Hu
分类: cs.CR, cs.LG
发布日期: 2026-09-24
备注: 42 pages
💡 一句话要点
提出TraceGuard以解决多模态数据中毒问题
🎯 匹配领域: 支柱九：具身大模型 (Embodied Foundation Models)
关键词: 多模态学习 数据中毒 图像-文本对 自适应过滤 特征排名 模型鲁棒性 对抗性训练
📋 核心要点
- 现有多模态训练方法容易受到数据中毒攻击，攻击者可以通过隐蔽手段影响模型性能。
- TraceGuard通过分析跨模态特征的排名一致性，自适应地识别和过滤可疑示例，增强模型的鲁棒性。
- 在19种攻击配置下，TraceGuard平均去除了98.4%的中毒示例，显著降低了模型的残余攻击指标。
📝 摘要（中文）
多模态训练依赖于从外部来源收集的图像-文本语料，这为攻击者提供了中毒数据的机会。隐蔽攻击可以保留看似合理的图像-文本对，同时隐藏检测器使用的差异，因此看似干净的数据仍然可以引导训练模型。本文分析了小型中毒集在训练过程中必须保留的特性，以便有效诱导攻击者的目标行为。我们提出TraceGuard，一种自适应基于排名的过滤方法，通过互补特征排名之间的一致性来识别可疑示例。实验表明，TraceGuard在19种攻击配置中平均去除了98.4%的中毒示例，并且在经过过滤的语料上训练后，残余攻击指标在13种配置中最多为1%。
🔬 方法详解
问题定义：本文旨在解决多模态训练中数据中毒问题，现有方法在面对隐蔽攻击时容易受到影响，导致模型性能下降。
核心思路：TraceGuard的核心思路是通过分析跨模态特征的排名一致性来识别可疑示例，从而自适应地过滤中毒数据，避免对干净数据的误删。
技术框架：TraceGuard的整体架构包括特征提取、排名计算和自适应过滤三个主要模块。首先提取语料的特征，然后计算特征的排名，最后根据排名一致性进行过滤。
关键创新：TraceGuard的创新点在于引入了跨特征排名一致性分析，能够在不知攻击类型和中毒率的情况下，自适应调整过滤阈值，提升了过滤的准确性。
关键设计：在参数设置上，TraceGuard根据不同语料自适应调整去除阈值，采用了多种特征来评估示例的可疑性，确保在过滤过程中尽量保留干净示例。
🖼️ 关键图片
📊 实验亮点
TraceGuard在19种攻击配置下平均去除了98.4%的中毒示例，且在经过过滤的语料上训练后，残余攻击指标在13种配置中最多为1%。这一结果显著优于现有方法，表明TraceGuard在多模态数据安全性方面的有效性。
🎯 应用场景
TraceGuard可广泛应用于多模态学习系统，尤其是在图像-文本生成、图像识别等领域，能够有效提升模型的鲁棒性和安全性。未来，该方法有望在对抗性训练和数据清洗等方面发挥更大作用，推动相关技术的发展。
📄 摘要（原文）
Multimodal training relies on image-text corpora collected from external sources, creating opportunities for attackers to poison the data. Stealthy attacks can preserve plausible image-text pairs while concealing the differences used by detectors, so apparently clean data can still redirect the trained model. We therefore ask which properties a poison set must preserve for the attack to remain effective. A small poison set must still exert enough collective influence during training to induce the attacker's target behavior. We analyze this influence in terms of how often an attack pattern occurs and how strongly the examples carrying it jointly affect the model. This analysis motivates six corpus-level features that examine cross-modal neighborhoods, recurring text, and changes after text-span erasure without training the victim model. We introduce TraceGuard, an adaptive rank-based filtering method that uses agreement among complementary feature rankings to identify suspicious examples. It refines the selected set through shared patterns and adapts the removal threshold to each corpus without knowing the attack or poison rate. Across 19 attack configurations spanning image-text learning, generative vision-language model fine-tuning, and encoder-transfer tests, TraceGuard removes an average of 98.4% of poisoned examples and 5.4% of clean examples. After training on the filtered corpora, the residual attack metric is at most 1% in 13 configurations. Matched-removal controls and ablations support the contributions of sample selection and adaptive removal. Stress tests also identify detection failures under adaptive attacks and unnecessary removal on poison-free corpora.