《Neural Networks》：Dual-pathway mask ranking guided selective fine-tuning for backdoor purification
编辑推荐：
Rong Huang|Xinming Cheng|Isao Echizen摘要后门攻击会在模型训练过程中污染模型，使其在推理时预测攻击者指定的目标标签。这已成为人工智能安全领域的一个重大威胁。为应对这一威胁，后门净化技术旨在消除或减轻后门效应，同时不降低模型的正常性能。基于剪枝的
Rong Huang|Xinming Cheng|Isao Echizen
摘要
后门攻击会在模型训练过程中污染模型，使其在推理时预测攻击者指定的目标标签。这已成为人工智能安全领域的一个重大威胁。为应对这一威胁，后门净化技术旨在消除或减轻后门效应，同时不降低模型的正常性能。基于剪枝的方法会改变模型结构，从而降低模型的正常性能，而微调方法则往往忽视与后门相关的特征，导致仍有残留的后门效应。在本文中，我们提出了一种双路径掩码排序引导的选择性微调方法用于后门净化，结合了剪枝和微调的优点。由于区分干净数据和被污染数据是后门净化的基础，我们首先基于研究发现——即与后门相关的特征在空间重建中应被优先处理——开发了一种基于擦除的干预策略。这种方法能够直接删除触发因素，使得被污染的数据比干净数据更易于通过擦除方式处理。在此基础上，我们建立了“遗忘再恢复”机制，利用软值掩码来表征每个神经元的后门污染程度。我们还设计了一个无需训练的双路径掩码排序模块，根据软值掩码的排序结果将神经元分为不同类型。这些类型信息可用于为每个神经元选择合适的微调策略，即重新学习、取消学习或不学习。在四个基准数据集（MNIST-M、SVHN、CIFAR-10和CIFAR-100）上的实验结果表明，我们的方法在各种后门攻击下的性能均优于七种现有方法。该方法的平均攻击成功率最低，仅为0.23%至1.29%，而平均正常性能下降幅度最小，为0.15%至1.53%。消融实验进一步证明了我们的干净数据与被污染数据区分策略以及选择性微调策略的有效性。
引言
深度神经网络在多个领域取得了显著进展，从计算机视觉领域Chen等人（2024a）；Mettes等人（2024）到自然语言处理领域Chang等人（2024）；Min等人（2024）。然而，由于深度神经网络属于黑箱系统，可解释性较差，因此极易受到各种恶意攻击，包括对抗性攻击Chen等人（2025）；Liu等人（2024）、越狱攻击Das等人（2025）；Yang等人（2024）、模型窃取攻击Zhao等人（2024）、数据污染攻击Shan等人（2024）；Tian等人（2023），以及后门攻击Bai等人（2025）；Barni等人（2019）；Chen等人（2017）；Garg等人（2020）；Gu等人（2019）；Li等人（2024）；Qi等人（2022a）；Turner等人（2019），这些攻击都会威胁到模型的可靠性及用户的隐私。在上述攻击中，后门攻击尤为隐蔽，因为其恶意行为是在模型训练阶段实施的。通常，攻击者会通过污染训练数据Barni等人（2019）；Chen等人（2017）；Gu等人（2019）；Turner等人（2019）或操纵训练过程Garg等人（2020）；Qi等人（2022a），在受害模型中植入后门。带有后门的模型在正常数据上表现正常，但会被被污染数据中的触发因素所误导。例如，带有后门的自动驾驶系统可能会将叠加了贴纸式触发因素的“停止”交通标志误认为是攻击者指定的“直行”目标标签，从而给道路行驶带来严重安全风险。因此，净化带有后门的模型（即消除或减轻后门效应）已成为对安全性要求较高的应用领域亟需解决的问题。
现有的后门净化方法大致可分为两类：基于剪枝的方法Jiang等人（2024）；Li等人（2023）；Wu和Wang（2021）；Zheng、Tang、Li、Liu，2022a，Zheng、Tang、Li、Liu，2022b，以及基于微调的方法Chen等人（2022）；Gong等人（2023）；Li等人（2021b）；Liu等人（2022）；Min等人（2023）；Qiao等人（2019）；Zhu等人（2020）。基于剪枝的方法首先通过分析神经元激活异常来找出与恶意触发因素相关的神经元，然后将其从模型中删除。而基于微调的方法则通过反向传播梯度来更新模型中的所有神经元。不过，基于剪枝的方法会永久改变模型结构，因为被删除的神经元无法恢复，这通常会降低受害模型的正常性能He等人（2022）。另一方面，基于微调的方法则忽视了模型中固有的与后门相关的特征，仅依赖外部数据得到的微调梯度，因此仍会有后门效应残留，即使在净化之后也会存在一定的攻击成功率。
在本文中，我们旨在结合剪枝和微调的优点，提出一种双路径掩码排序引导的选择性微调方法用于后门净化。首先，为满足后门净化的数据需求，我们开发了一种基于擦除的干预策略，该策略利用特征一致性指标自动区分干净数据和被污染数据，从而打破了以往那种认为在防御之前必须已知部分干净或被污染数据的假设，使得我们的方法更适用于那些先验知识有限的实际情况。在此基础上，我们建立了“遗忘再恢复”机制，让干净数据和被污染数据分别经过两条独立的处理路径，由此生成两组软值掩码，共同反映每个神经元的后门污染程度。随后，我们设计了一个无需训练的双路径掩码排序模块，根据软值掩码的排序结果将神经元分为不同类型，再根据这些类型信息为每个神经元选择合适的微调策略。该方法不仅能捕捉到双路径掩码所编码的与后门相关的特征，还能根据神经元类型有针对性地调整微调梯度。综上，我们的贡献主要体现在以下四个方面：
- 1.
我们发现触发因素在空间重建中被优先处理，因此设计了基于擦除的干预策略来区分干净数据和被污染数据。
- 2.
我们建立了“遗忘再恢复”机制，能够揭示由软值掩码编码的、与后门相关的神经元特征。
- 3.
我们提出了一种双路径掩码排序引导的选择性微调方法，该方法首先将神经元分类，然后再为不同类型的神经元定制相应的微调策略。
- 4.
通过在四个基准数据集上的实验，我们证明了所提方法在面对各种后门攻击时的优越性，包括Barni等人（2019）；Chen等人（2017）；Garg等人（2020）；Gu等人（2019）；Turner等人（2019）的攻击。
章节节选
后门攻击
根据攻击者是否能够操纵训练过程，后门攻击可分为样本空间攻击和模型空间攻击两种。
样本空间攻击者通过在样本中嵌入预定义的触发因素，有时还会篡改真实标签为目标标签，从而污染训练数据。在训练过程中，受害模型会被诱导忽略正常特征，进而植入一个后门，使得触发因素与目标标签之间形成虚假的关联。
威胁模型与防御模型
为简化问题，本文在研究后门净化问题时以典型的图像分类任务作为基础。威胁模型与防御模型的具体形式如下。
攻击者会刻意选择一个目标类别作为攻击目标，然后通过隐蔽地添加特殊触发因素，污染一定比例的训练图像Barni等人（2019）；Chen等人（2017）；Garg等人（2020）；Gu等人（2019）；Turner等人。
提出的方法
在本研究中，我们提出了一种双路径掩码排序引导的选择性微调方法用于后门净化。首先，我们介绍了用于从可疑训练数据集中区分干净数据和被污染数据的基于擦除的干预策略。其次，我们详细阐述了“遗忘再恢复”机制以及双路径掩码排序模块，这两种方法共同用于捕捉与后门相关的特征，从而将神经元分类。最后，我们介绍了基于该机制的选择性微调策略。
实验设置
我们的实验在四个基准数据集上进行，分别是MNIST-M、SVHN、CIFAR-10和CIFAR-100。我们对所有数据集都采用官方规定的训练集与测试集划分方式，其中训练集会被污染，而测试集则用于评估净化效果。为了与现有的后门净化方法Chen等人（2022）；Chen等人（2024b）；Huang等人（2022）；Li等人（2023）；Wu和Wang（2021）进行公平比较，我们选择了ResNet-18模型He等人（2016）作为受害模型。
我们
结论
后门攻击对人工智能安全构成了严重威胁，攻击者可以通过污染训练数据或操纵训练过程来操控受害模型。作为应对措施，后门净化技术旨在消除或减轻后门效应，同时保持模型的正常性能。现有的基于剪枝和微调的方法在保持模型正常性能或避免后门效应残留方面仍存在不足。为此，我们提出了双路径掩码排序方法。
CRediT作者贡献说明
Rong Huang：写作——审稿与编辑，写作——初稿撰写，指导监督，项目管理，方法设计，研究实施，资金获取，正式分析，概念构思。Xinming Cheng：写作——初稿撰写，可视化处理，结果验证，数据整理。Isao Echizen：指导监督，概念构思。
利益冲突声明
作者声明不存在任何可能影响本文研究结果的已知财务利益冲突或个人关系。
致谢
本研究部分得到了国家自然科学基金（62001099）以及中央高校基本科研业务费（2232023D-30）的支持。
