IDPA：针对基于对比学习的预训练编码器的无差别数据投毒攻击

《ACM Transactions on Privacy and Security》：IDPA: Indiscriminate Data Poisoning Attacks Targeting Pre-trained Encoder Based on Contrastive Learning

本文提出IDPA，一种针对对比学习编码器的无差别数据投毒攻击，通过设计双重优化损失函数有效污染预训练编码器，使下游分类器误判清洁样本与攻击样本。实验表明，在CLIP数据集上攻击成功率高达88%。

　　

摘要

无差别数据投毒攻击对无监督学习具有很高的效果。然而，最近的研究表明，对比学习也容易受到数据投毒攻击的影响。在这种攻击方式中，攻击者会在干净的预训练数据集中添加恶意数据。本文提出了一种名为IDPA（Indiscriminate Data Poisoning Attack）的攻击方法，专门针对对比学习中的编码器进行攻击，其目标是直接破坏预训练的编码器。任何干净样本与被攻击样本的特征向量之间会表现出高度相似性，导致下游分类器将干净样本错误地分类为攻击者指定的样本。因此，本文将IDPA构建为一个双重优化问题，并定义了两个损失函数：攻击效果损失和模型效用损失。这两个损失函数分别对应于有效破坏预训练编码器和保持下游分类器准确性的目标。在训练过程中，攻击会干扰对比学习算法，且预测是在多个数据集上进行的。实验结果显示，该攻击的成功率为92%。本文还在OpenAI发布的CLIP数据集上评估了IDPA的有效性，攻击成功率为88%。