基于投毒的后门并非密码学意义上的后门

arXiv:2610.28045v1 公告类型：新 摘要：为了防御针对神经网络的后门攻击，防御者必须识别决定某个输入是否为触发器的验证器函数，而不能孤立地拒绝单个触发器，因为攻击者生成满足同一验证器的新触发器的速度，可能快于防御者阻止它们的速度。如果能够以密码学认证方案所具有的非对称性安装后门验证器，即只有攻击者能够生成触发器输入，而防御者无法根据观测结果逆向工程出该验证器，那么基于学习的防御在原则上将是不可能的。我们证明，这种非对称性不可能通过基于投毒的安装方式产生，因为在这种方式中，训练阶段唯一依赖于验证器的输入就是经过投毒的数据集。一个通过投毒数据安装验证器的训练过程，如果能使后门在未见过的触发器上触发，同时保持正常行为不变，那么该训练过程本身就是一个学习该验证器的学习器。因此，任何在计算上难以学习的验证器都不可能通过投毒来安装；而任何能够通过投毒安装的验证器，都可以被拥有数量相当的带标签触发器观测结果的白盒防御者重构。另一个补充性论证表明，在推理时提供给模型的秘密密钥对同一防御者也是可观测的。该结果将具有代表性的触发器观测结果作为已知条件，关注的是后门何时触发，而不是后门触发后会执行什么。针对经过指令调优的大语言模型进行的实验验证了这一二分结论：没有任何配置能够同时实现对攻击者有效且对防御者不可恢复的后门。