Poisoning-Based Backdoors Are Not Cryptographic
作者: Masahiro Kaneko
分类: cs.LG, cs.CL
发布日期: 2026-10-20
备注: NeurIPS 2026
💡 一句话要点
揭示基于毒化的后门攻击无法实现密码学不对称性
🎯 匹配领域: 支柱九：具身大模型 (Embodied Foundation Models)
关键词: 后门攻击 毒化数据 神经网络安全 模型防御 对抗性学习
📋 核心要点
- 现有方法在防御后门攻击时面临挑战，攻击者可以快速生成新触发器，防御者难以有效阻止。
- 论文提出通过分析毒化数据的方式，证明基于毒化的后门验证器无法实现攻击者与防御者之间的计算不对称性。
- 实验结果显示，所有配置的后门攻击在有效性和不可恢复性之间存在矛盾，验证了理论分析的正确性。
📝 摘要（中文）
为了防御神经网络的后门攻击，防御者必须识别决定输入是否为触发器的验证函数，而不是孤立地拒绝单个触发器。攻击者可以比防御者更快地生成满足相同验证器的新触发器。本文表明，基于毒化的安装无法实现这种不对称性，任何通过毒化安装的验证器都可以被持有足够标记触发观察的白盒防御者重构。实验结果表明，没有任何配置能够同时对攻击者有效且对防御者不可恢复。
🔬 方法详解
问题定义：本文旨在解决基于毒化的后门攻击中，防御者如何识别和阻止触发器的问题。现有方法无法有效应对攻击者快速生成新触发器的挑战。
核心思路：论文的核心思路是通过证明毒化数据无法安装计算上难以学习的验证器，从而揭示防御者可以重构所有通过毒化安装的验证器。
技术框架：整体架构包括毒化数据的生成、验证器的安装和防御者的重构过程。主要模块包括毒化数据集的构建、验证器的学习和触发器的观察。
关键创新：最重要的技术创新在于证明了基于毒化的后门攻击无法实现攻击者与防御者之间的计算不对称性，这与现有方法的假设形成鲜明对比。
关键设计：论文中使用了特定的毒化数据集和标记触发观察，确保防御者能够在持有足够信息的情况下重构验证器。
🖼️ 关键图片
📊 实验亮点
实验结果表明，在不同的指令调优的大型语言模型上，没有任何配置能够同时对攻击者有效且对防御者不可恢复。这一发现强调了后门攻击的局限性，并为防御策略的设计提供了重要参考。
🎯 应用场景
该研究的潜在应用领域包括神经网络安全、深度学习模型的防护以及对抗性机器学习。通过揭示后门攻击的本质，研究为开发更有效的防御机制提供了理论基础，未来可能影响模型训练和部署的安全策略。
📄 摘要（原文）
To defend against backdoor attacks on neural networks, the defender must identify the verifier function that determines whether an input is a trigger, rather than rejecting individual triggers in isolation, since an attacker can generate new triggers satisfying the same verifier faster than they can be blocked. If a backdoor verifier could be installed with the asymmetry of a cryptographic authentication scheme, in which only the attacker can produce trigger inputs while the defender cannot reverse-engineer the verifier from observations, learning-based defense would be impossible in principle. We show that no such asymmetry can arise from poisoning-based installation, in which the only verifier-dependent input to training is a poisoned dataset. The argument is a reduction. A training procedure that installs a verifier from poisoned data, so that the backdoor fires on unseen triggers while benign behavior is preserved, is itself a learner for that verifier. Any verifier that is computationally hard to learn is therefore impossible to install through poisoning, and any verifier that poisoning can install is reconstructible by a white-box defender holding comparably many labeled trigger observations. A complementary argument shows that a secret key supplied to the model at inference is observable to the same defender. The result takes representative trigger observations as given and concerns when the backdoor fires rather than what it does. Experiments on instruction-tuned large language models confirm the dichotomy, with no configuration yielding a backdoor that is both effective for the attacker and irrecoverable for the defender.