arXiv cs.AI· Ruizhi Xu, Wei Xu, Sibo Zhu·· 10 天前AI 评分27
TARE：用未投毒孪生模型衡量后门防御的真实代价
TARE: Weigh a Never-Poisoned Twin Before Reading Backdoor-Defense Costs
AI 导读
研究提出 TARE，通过在同一配方、调度和种子上对未投毒孪生模型运行相同防御，测出防御本身造成的干净准确率损失（tare）。在 BackdoorBench 的 BadNets 网格上，8 个防御中有 7 个会向孪生模型收费，代价从 +0.13（微调）到 +5.70 分（I-BAU），ABL 则直接摧毁孪生模型。
正文 · AI 翻译
摘要：后门防御排行榜会打印出干净准确率的下降，并将其解读为移除代价。仅在中毒受害模型上测量时，这一下降无法区分移除效果与防御对任何模型所造成的影响，并且继承了受害模型的起点；对于 BackdoorBench 十六种攻击中的三种，该起点是一个配置文件：WaNet、BPP 和 Input-Aware 附带了一个从不触发的 MultiStepLR，因此它们的受害模型从不退火，在 30/31 个公开 CIFAR 单元中准确率最低，$\leq$5%。在 PreAct-ResNet18 上，微调类防御将低起点恢复到其自身水平，因此在那里公布的代价为负，基准的评级将“增益”裁剪为零，而我们阅读的 48 篇引用防御论文中有 2 篇将无代价声明建立在这些单元上；TSBD 和 CGD 用其代码重新运行时，在一个从未中毒的模型上也“增益”。仅编辑那一行调度器的 $2\times2$ 实验隔离了原因，其交换臂在运行前自行注册：微调类防御的干净模型代价符号在两个方向上反转，而其在中退火受害模型上公布的增益仅缩小至零，44/44 个种子遵循该调度，在 BPP、FT-SAM、CIFAR-100 和 VGG19-BN 上复现，并在第二个工具包中诱导出来。TARE 在同一配方、调度和种子的从未中毒孪生模型上运行相同的防御（在 BackdoorBench 上，$\leq$10 张中毒图像，仅当攻击成功率低于 5% 时才被接受）；孪生模型损失的就是 tare。在 BadNets 网格上，八种防御中有七种向孪生模型收费（Neural Cleanse 仅在其检测器触发时），从 +0.13（微调）到 +5.70 点（I-BAU）；第八种，ABL，将其摧毁。在一种攻击内，起点从排名中抵消，因此 tare 在那里不会重新排序；中毒在其之外增加的内容以两种估计器打印且未校正，其移除份额未被识别。我们发布了三键补丁、一个带符号的 tare 列（7 种攻击 $\times$ 8 种防御）以及 TARE-Z，一种用于种子稳定防御的无孪生估计器。
| 评论： | 84 页（9 页正文） |
| 学科： | 密码学与安全（cs.CR）；人工智能（cs.AI） |
| 引用为： | arXiv:2610.06994 [cs.CR] |
| （或 arXiv:2610.06994v1 [cs.CR] 用于此版本） | |
| https://doi.org/10.48550/arXiv.2610.06994 arXiv 颁发的 DOI 通过 DataCite（待注册） |
提交历史
来自：Sibo Zhu [查看电子邮件]
[v1]
2026 年 10 月 4 日星期日 07:42:42 UTC（459 KB）
来源：arXiv cs.AI · arxiv.org