一种样本选择与触发器强度适配的干净标签后门攻击方法

本发明属于人工智能安全与数据投毒测试，具体涉及一种样本选择与触发器强度适配的干净标签后门攻击方法。

背景技术：

1、深度神经网络在图像分类、目标识别和视觉感知任务中得到广泛应用。为评估训练数据供应链和模型训练流程的安全性，通常需要构造后门攻击场景：在部分训练样本中注入预设触发器，使按照投毒训练集训练的模型在干净输入上保持正常分类行为，而在输入含有所述触发器时输出攻击者指定的目标类别。干净标签后门攻击保持投毒样本的原始标签，因而相较于修改标签的投毒方式更难通过标签一致性检查发现。

2、现有后门攻击方案常从目标类别样本中随机选取投毒样本，或者依赖受害模型的分类损失、梯度、遗忘事件和早期训练后验选择困难样本。随机选择忽略了目标类别内部样本对后门学习贡献的差异；依赖受害模型的选择方式需要获取完整训练数据、受害模型或者代理模型训练过程，难以适用于攻击者仅作为单一数据提供方、只能访问自身目标类别数据的有限信息场景。

3、在有限信息场景，现有方法通常利用预训练特征和单一近邻异常度选择困难样本。然而，仅依据单一分数排序，容易把远离类别主体但仍有同类近邻支撑的外围样本，与周围缺少同类近邻的孤立点、标注噪声或异常采集样本混合。孤立样本缺少稳定的同类结构支撑，直接将其作为投毒样本会降低样本选择的稳定性和可解释性。

4、训练阶段触发器强度是影响后门信号学习和投毒样本感知失真的另一参数。现有方法多对全部投毒样本使用同一补丁不透明度、补丁尺寸、混合率或者量化等级。不同样本在目标类别特征空间中的位置和局部结构不同，采用统一训练阶段触发器强度时，部分样本的特征变化不足，部分样本的感知失真又可能过大；同时，现有触发器强度设置没有复用样本筛选阶段得到的目标类中心和特征几何。

5、专利cn114462031a公开了从原始样本数据中选取目标类别样本并设置文本触发器的后门攻击方案，未公开基于目标类别图像特征的外围样本筛选和逐样本的触发器强度适配；专利cn119360458a公开了利用完整多类别人脸数据训练分类网络、生成对抗样本并嵌入人脸可变特征触发器的干净标签方案，其仍依赖完整数据集和分类网络，亦未公开本技术所述双排名样本筛选及同一特征几何下的逐样本强度求解。

6、因此，需要一种在不访问受害模型、其他类别数据和受害训练梯度的条件下，既能从目标类别数据中筛选远离类别中心但仍具有稳定同类近邻的外围样本，又能依据每个已选样本的特征响应独立确定触发器强度的技术方案。

技术实现思路

1、为解决上述问题，本发明公开了一种样本选择与触发器强度适配的干净标签后门攻击方法，通过“目标类特征提取与归一化—外围投毒样本筛选—逐样本的触发器强度优化选择”的三阶段流程，在不访问受害模型、其他类别数据或受害训练梯度的条件下，同时解决孤立噪声误选、统一触发器强度不适配以及样本选择与强度设置相互割裂的问题。

2、为达到上述目的，本发明的技术方案如下：

3、一种样本选择与触发器强度适配的干净标签后门攻击方法，包括以下步骤：

4、步骤s1，对目标类样本进行特征提取和l2归一化，形成供后续样本筛选和触发器强度适配共同复用的单位特征集合。

5、步骤s2，利用目标类单位特征的归一化几何中位数表示目标类样本的稳健特征中心，联合中心余弦距离和k近邻平均余弦距离筛选远离目标类样本的稳健特征中心且仍有同类近邻支撑的外围样本，得到投毒候选集合。

6、步骤s3，先根据强度取值域及触发器注入过程的可微性确定强度合法域，再生成候选强度、注入触发器并提取归一化触发后特征，计算离心方向特征位移和lpips感知相似性损失以构造统一的逐样本的触发器强度目标函数；连续且可微的强度参数采用投影梯度下降迭代更新，离散或不可微的强度参数完整枚举合法状态，最后从全部已评价候选触发器强度中选择目标值最小的强度，目标值并列时选择触发扰动较弱者，直至得到全部投毒候选样本对应的训练阶段触发器强度并输出保持原目标类别标签的投毒样本集合。

7、进一步的，所述步骤s1的具体方法如下：

8、令为预训练特征提取器，样本对应的特征为，并进行l2归一化：

9、；

10、其中，为样本归一化后的单位特征；每个单位特征的l2范数为1，任意两个单位特征的内积等价于对应样本的余弦相似度；所述预训练特征提取器采用不依赖受害模型的预训练自监督模型。

11、考虑目标类数据中可能存在少量极端样本，采用对极端值更稳定的几何中位数表示目标类特征的整体位置：

12、；

13、其中，为待估计的维位置向量，为特征维数，为目标类样本数。

14、采用带数值稳定项的weiszfeld迭代求解所述几何中位数：

15、；

16、其中，t为迭代次数，为第t次迭代的中心，为样本的自适应权重，为避免分母为零的稳定常数；当相邻两次迭代中心的变化量小于预设容差或达到最大迭代次数时停止。

17、为使类别中心与后续余弦几何保持一致，将几何中位数归一化：

18、；

19、当的l2范数不大于预设的几何中位数范数阈值时，停止当前类别的样本筛选，避免不稳定归一化。

20、进一步的，所述步骤s2的具体方法如下：

21、针对目标类样本，计算其单位特征与归一化几何中位数之间的中心余弦距离：

22、；

23、其中，越大，说明样本在预训练特征空间中越偏离目标类特征的整体位置。

24、从完整目标类特征集合中排除样本自身，选择其k个最近邻，并计算k近邻平均余弦距离：

25、；

26、其中，k为近邻数量，为近邻样本的单位特征。越小，说明样本与同类近邻越接近；越大，说明该样本周围的相似样本越少。

27、所述近邻数量必须满足：

28、；

29、近邻必须从完整目标类单位特征集合中选取并排除样本自身。

30、为消除两种距离的分布差异，对中心余弦距离和k近邻平均余弦距离分别进行归一化排名：

31、；

32、其中，表示从小到大的排名次序。越大，表示样本越远离目标类中心；越大，表示样本具有越稳定的同类近邻支撑。

33、取两种归一化排名中的较小值构成外围样本得分：

34、；

35、采用最小值门控后，只有同时远离归一化几何中位数且具有同类近邻支撑的样本才能取得较高得分。按照由高到低选择个样本，得到投毒候选集合。

36、进一步的，所述步骤s3的逐样本触发器强度优化选择具体方法如下：

37、首先从投毒候选集合中读取一个尚未处理的投毒候选样本，根据触发器强度参数的取值域及触发器注入过程的可微性确定强度合法域；随后生成候选强度并注入触发器，提取归一化触发后特征，计算离心方向特征位移与阈值化感知相似性损失并构造逐样本的触发器强度目标函数；再按照连续可微或离散不可微进入相应求解分支，选择目标值最小且在并列时触发扰动较弱的候选强度。完成当前样本后继续读取下一未处理样本，直至输出全部投毒样本。一次强度优化仅改变一个触发器强度参数，并保持触发器图案、触发器位置以及其余配置不变。对于不透明度、混合率等连续且可微的强度参数，合法域为：

38、；

39、其中，和分别表示连续强度参数的最小值和最大值。

40、对于补丁尺寸、颜色深度等离散强度参数，或者触发器注入过程包含取整、颜色量化等不可微操作的强度参数，合法域为：

41、；

42、其中，m为合法状态数，集合中的合法状态按照触发扰动由弱至强排列。

43、针对投毒候选样本和候选强度，按照下式生成触发图像并得到其单位归一化特征：

44、；

45、其中，t为触发器注入函数，继续采用步骤s1的预训练特征提取器。

46、步骤s2已得到归一化几何中位数，以指向投毒候选样本干净单位特征的方向作为离心方向：

47、；

48、按照下式计算添加触发器后的单位特征相对于干净单位特征的实际位移：

49、；

50、将所述实际位移在离心方向上的投影作为投毒样本远离归一化几何中位数的位移幅度：

51、；

52、其中，越大，表示触发器引起的特征变化在离心方向上的正向分量越大。

53、为避免仅增大触发器强度造成明显图像失真，使用lpips计算触发图像与原图像之间的感知相似性损失：

54、；

55、其中，为整流线性单元，使该项仅在感知失真超过阈值时生效；为感知相似性阈值。

56、离心方向特征位移和感知相似性损失共同构成逐样本的触发器强度目标函数：

57、；

58、其中，λ为控制lpips感知相似性损失贡献的权重因子。

59、完成逐样本的触发器强度目标函数构造后，判断强度参数与触发器注入过程是否连续且可微；当判断结果为是时，以合法区间中点初始化：

60、；

61、第t次迭代使用投影梯度下降更新候选强度：

62、；

63、其中，为学习率，表示将更新后的强度投影回合法域a。触发器注入、特征提取和lpips计算关于连续强度保持可微。

64、当相邻两次强度变化满足下式时停止：

65、；

66、其中表示触发器强度迭代停止容差；

67、若未满足停止条件，则在达到最大迭代次数时终止，并从全部已评价的候选强度中选择使目标函数最小的强度，记为；多个强度取得相同最小值时选择较弱者。

68、当强度参数为离散值，或者触发器注入过程包含不可微操作时，完整枚举合法域中的全部状态并逐一计算同一目标函数；在全部合法状态评价完成后，按照下式选择训练阶段触发器强度：

69、；

70、完整枚举不依赖梯度、初始化或强度响应的单调性；多个状态取得相同最小值时，选择其中触发扰动较弱的状态。搜索在全部  个状态评价完成后终止。

71、投毒候选集合中的每个样本均保持原目标类别标签，并使用相应的训练阶段触发器强度，最终投毒样本集合为：

72、；

73、确定当前投毒候选样本的训练阶段触发器强度后，判断投毒候选集合中是否仍有未处理样本；若有，则返回读取下一未处理样本并重复上述优化选择流程；若无，则按各样本对应强度注入触发器、保持原目标类别标签并输出所述投毒样本集合。

74、推理阶段对非目标类别测试样本采用同一家族、同一样式的固定触发器，其强度在受害模型训练前独立声明。

75、本发明的有益效果为：

76、第一，利用几何中位数降低少量极端样本对目标类中心的影响，并通过中心余弦距离与k近邻平均余弦距离的归一化排名共同约束样本得分，使投毒候选样本同时满足远离目标类中心和具有同类近邻支撑两个条件，从样本筛选阶段抑制孤立噪声。

77、第二，样本选择和训练阶段触发器强度适配复用同一预训练特征提取器、同一单位特征集合以及同一归一化几何中位数，触发器强度目标直接度量已选外围样本的离心方向特征位移，使两个阶段形成前后衔接的技术耦合。

78、第三，步骤s3形成“合法域确定—候选强度评价—可微性判别—分支求解—最优强度选择—逐样本循环输出”的闭环；离心方向特征位移和阈值化lpips感知相似性损失构成同一逐样本目标，连续且可微的强度通过投影梯度下降求解，离散或不可微的强度通过完整枚举求解，并在目标值并列时统一选择触发扰动较弱者，从而在不改变评价目标的前提下覆盖不同触发器参数类型。

79、第四，投毒样本保持原目标类别标签，样本筛选与强度适配不依赖受害模型结构、参数、训练损失、训练梯度或其他类别数据，适用于攻击者仅作为单一目标类别数据提供方的有限信息场景。