摘要
现有架构后门将恶意逻辑直接嵌入模型结构中，使其在干净训练后仍能持久存在，但这类方法通常依赖手工制作的触发模式，容易受到预处理的影响，且缺乏动态更新攻击目标的机制。针对上述局限性，本文提出ArchLock——一种专为在请求间维持持久可变状态的有状态推理部署而设计的动态目标架构后门框架。ArchLock包含两个核心组件：一是基于相关性的统计触发检测器，利用局部红-绿通道的皮尔逊相关系数作为激活信号，从而降低对绝对像素值的依赖，并表现出对线性变换的理论不变性；二是自适应置信度校准模块，该模块维护一个持久内存缓冲区，通过两阶段协议实现部署后的目标切换。在CIFAR-10、CIFAR-100、Tiny-ImageNet和ImageNet-100上的大量实验表明，ArchLock在保持干净准确率的同时，动态目标攻击成功率超过90%。此外，该方法对微调和剪枝展现出鲁棒性，并在所述有状态部署假设下规避了三种行为检测器。本文强调了有状态推理服务中可变架构组件的安全风险，同时明确讨论了所提方法在无状态部署和激进预处理条件下的局限性。
