arXiv cs.AI· Qian Ma, Chen Wu, Prasenjit Mitra, Sencun Zhu·· 11 小时前AI 评分31
如何对图像知识蒸馏实施后门攻击
How to Backdoor Image Knowledge Distillation
AI 导读
研究表明，即使教师模型干净，蒸馏数据集本身被投毒仍可让学生模型学到后门。攻击通过注入教师已预测为攻击者指定目标标签的触发图像实现，在 10% 投毒率下依然有效。该攻击在多种操纵策略下均有效，包括定向对抗扰动和基于 GAN 的定向类别转换，且学生模型在干净图像上仍保持有竞争力的性能。
正文 · AI 翻译
摘要：知识蒸馏被广泛用于将大型教师模型的行为迁移到较小的学生模型。通常认为，当教师模型是干净的时，这一过程是安全的，因为经典后门攻击依赖于监督训练中的投毒标签和触发器，而蒸馏训练学生模型去匹配教师模型的输出。我们表明，当蒸馏数据集本身被投毒时，这一假设可能失效。我们的攻击注入带有触发器且经过操纵的图像，这些图像会被干净的教师模型预测为攻击者选定的目标标签，从而使学生模型学到后门，而教师模型不受影响。我们在多种操纵策略下评估了这一威胁，包括定向对抗扰动和基于 GAN 的定向类别转换，并研究了蒸馏设置如何影响准确率和攻击成功率。我们表明，即使在 10% 的投毒率下，该攻击仍然有效。结果表明，仅有干净的教师模型并不足以构成保障：被投毒的蒸馏数据可以产生一个具有强后门的学生模型，同时在干净图像上保持有竞争力的性能。这些发现表明，即使教师模型本身可信，蒸馏数据的完整性和来源也是数据密集型知识蒸馏流程安全边界的一部分。
| 评论： | 被接收为 2026 IEEE 国际大数据会议的正会论文 |
| 主题： | 密码学与安全（cs.CR）；人工智能（cs.AI）；机器学习（cs.LG） |
| 引用为： | arXiv:2504.21323 [cs.CR] |
| （或本版本的 arXiv:2504.21323v5 [cs.CR]） | |
| https://doi.org/10.48550/arXiv.2504.21323 由 DataCite 颁发的 arXiv DOI |
提交历史
来自：Qian Ma [查看邮箱]
[v1]
2025 年 4 月 30 日星期三 05:19:23 UTC（3,614 KB）
[v2]
2026 年 1 月 12 日星期一 01:10:07 UTC（2,471 KB）
[v3]
2026 年 9 月 8 日星期二 01:27:50 UTC（2,526 KB）
[v4]
2026 年 10 月 22 日星期四 01:32:21 UTC（2,526 KB）
[v5]
2026 年 11 月 5 日星期四 00:57:56 UTC（2,398 KB）
来源：arXiv cs.AI · arxiv.org