arXiv cs.CL· Masahiro Kaneko·· 11 小时前AI 评分39
基于投毒的后门不具备密码学不对称性
Poisoning-Based Backdoors Are Not Cryptographic
AI 导读
研究表明，基于投毒安装的后门无法获得密码学认证那样的不对称性：能从投毒数据安装验证器的训练过程本身就是该验证器的学习器，因此计算上难以学习的验证器无法通过投毒安装，而投毒能安装的验证器可被拥有相当数量带标签触发样本的白盒防御者重建。在指令微调大语言模型上的实验证实了这一二分性，没有任何配置能同时做到对攻击者有效、对防御者不可恢复。
正文 · AI 翻译
摘要：为了防御针对神经网络的后门攻击，防御者必须识别出判定输入是否为触发器的验证器函数，而不是孤立地拒绝单个触发器，因为攻击者生成满足同一验证器的新触发器的速度会快于这些触发器被拦截的速度。如果能够以密码学认证方案的非对称性来安装后门验证器，即只有攻击者能够产生触发器输入，而防御者无法从观测中逆向工程出该验证器，那么基于学习的防御在原理上就不可能实现。我们证明，基于投毒的安装方式无法产生这种非对称性，因为在这种方式下，训练中唯一依赖于验证器的输入是一个被投毒的数据集。该论证是一个归约。一个从投毒数据中安装验证器的训练过程，使得后门在未见过的触发器上触发，同时保持良性行为，这本身就是一个针对该验证器的学习器。因此，任何在计算上难以学习的验证器都无法通过投毒来安装；而任何投毒能够安装的验证器，都可以被一个白盒防御者重建，只要该防御者拥有数量相当的带标签触发器观测。一个补充论证表明，在推理时提供给模型的密钥对同一防御者是可观测的。该结果以具有代表性的触发器观测为给定条件，关注的是后门何时触发，而非它做什么。在指令微调的大语言模型上的实验证实了这一二分法，没有任何配置能够产生一个既对攻击者有效、又对防御者不可恢复的后门。
| 评论： | NeurIPS 2026 |
| 主题： | 机器学习（cs.LG）；计算与语言（cs.CL） |
| 引用为： | arXiv:2610.28045 [cs.LG] |
| （或 arXiv:2610.28045v1 [cs.LG] 用于此版本） | |
| https://doi.org/10.48550/arXiv.2610.28045 由 DataCite 颁发的 arXiv DOI（待注册） |
提交历史
来自：Masahiro Kaneko [查看电子邮件]
[v1]
2026年10月20日星期二 11:27:30 UTC（43 KB）
来源：arXiv cs.CL · arxiv.org