RPP：数据集不平衡条件下针对后门攻击的可认证投毒样本检测框架

arXiv:2602.00183v2 公告类型：replace-cross 摘要：深度神经网络极易受到后门攻击，但迄今为止，大多数防御方法都依赖平衡数据，忽视了现实场景中普遍存在、且可能放大后门威胁的类别不平衡问题。本文首次深入研究了数据集不平衡如何加剧后门脆弱性，结果表明：(i) 不平衡会导致多数类偏向，从而增加模型对后门攻击的易感性；(ii) 随着不平衡程度加剧，传统防御方法的性能显著下降。为解决这一问题，我们提出 Randomized Probability Perturbation（RPP），这是一种可认证的投毒样本检测框架，仅利用模型输出概率即可在黑盒环境下运行。对于任意待检测样本，RPP 能够判断输入是否经过后门操纵，同时提供可证明的域内可检测性保证以及误报率的概率上界。在五个基准数据集（MNIST、SVHN、CIFAR-10、TinyImageNet 和 ImageNet10）上开展的广泛实验涵盖了 10 种后门攻击和 12 种基线防御方法，结果表明，RPP 的检测准确率显著高于当前最先进的防御方法，尤其是在数据集不平衡的条件下。RPP 为在数据不平衡的现实环境中防御后门攻击奠定了理论与实践基础。