软件学报:jos:7673 · 记录 #1

基于数据重建的净标签数据投毒攻击方案

来源日期 2026-07-08

来源记录日期 2026-07-08

雷达观测 2026-11-05 00:20

摘要

人工智能系统依赖大规模、开放式的训练数据采集, 这为数据投毒攻击提供了可乘之机. 攻击者能够通过渗透数据供应链等方式操控训练数据, 破坏深度学习模型的可用性. 相较于基于标签翻转的脏标签数据投毒攻击, 净标签攻击虽具有更强的隐蔽性, 但在实现时面临更大挑战: 一方面, 需要精确操控样本特征而非直接篡改其标签; 另一方面, 还需确保毒化样本在视觉上与原始样本保持高度一致以规避检测. 虽然现有的净标签攻击方案已取得一定成效, 但往往因假设宽松, 难以在实际场景中有效实施, 且隐蔽性和计算效率仍有提升空间. 为此, 提出一种基于数据重建的深度学习净标签数据投毒攻击方案CPDR, 该方案重构原用于图像分割任务的Attention U-Net模型的损失函数, 将其转换为一个包含重建损失、投毒效果损失和模型更新一致性损失的多任务学习重建模型, 通过数据重建生成隐蔽的毒化样本, 并在黑盒假设下实现有效的投毒攻击. 在集中式学习和联邦学习这2种场景、2个数据集和4个目标模型上的实验表明, CPDR能在几乎不影响深度学习主任务表现的情况下降低模型在目标类别上的分类准确率. 在集中式学习下, CPDR对目标类别准确率的平均降幅高于VagueGAN方案2.33个百分点, 高于Adversarial Poison方案2.42个百分点; 在联邦学习下, 其优势进一步扩大, 分别高于上述对比方案4.44和4.10个百分点. 此外, CPDR生成的毒化样本与原始样本视觉差异微小, 难以辨别和检测, 实现了隐蔽性和攻击效果的良好平衡.