数据投毒攻击深度实战：从标签翻转、干净标签投毒到触发式后门与供应链投毒的攻防工程

数据投毒（Data Poisoning）是机器学习系统面临的一类根本性供给链威胁：攻击者在模型训练之前或训练过程中，向训练集注入精心构造的恶意样本，使最终模型在干净数据上表现正常、却在攻击者指定的输入上失效或按攻击者意图决策。与对抗样本（推理时扰动）、成员推断（隐私窃取）不同，投毒攻击的破坏发生在"信任边界的更上游"——它污染的是模型赖以学习的事实本身。本文从第一性原理出发，系统拆解标签翻转、特征碰撞、梯度匹配、触发式后门与预训练/供应链投毒五类主流手法，并给出可落地的检测、防御与生产级陷阱清单，配合 PyTorch 实现，帮助工程团队在真实训练流水线中建立投毒免疫力。

一、威胁模型：攻击者到底能动什么

投毒攻击的效果上限完全由攻击者的"访问能力"决定。按从弱到强排序，可建立三级威胁模型：

攻击等级	训练集访问	可注入比例	典型目标	防御难度
L1 数据收集污染	仅能向公开数据集/爬虫混入样本	ε < 1%	可用性退化（整体精度下降）	中
L2 标签控制	可控制部分样本的标签/来源	ε ≈ 1%–10%	定向误分类（特定类被误判）	高
L3 完整训练介入	可参与训练流程/提供预训练权重	ε 不限	植入后门、模型行为劫持	极高

其中 ε = \|P\| / \|D\| 表示投毒预算，即恶意样本占训练集的比例。经验上，可用性攻击通常在 ε > 10% 才显著；而精心优化的定向/后门攻击在 ε < 0.5% 即可生效。这正说明投毒的威胁不在于"量"而在于"质"——少量高梯度影响的样本，可能比海量噪声更有效。

投毒攻击的防御哲学是：你无法审查每一条训练数据，但你可以让"异常贡献梯度"的样本在统计上可检测、在训练动力学上可被稀释。

二、标签翻转：最朴素的可用性攻击

标签翻转（Label Flipping）是最易理解的投毒手法：将一部分正类样本重新标注为负类（或轮换标注），使决策边界被拉向错误方向。

2.1 第一性原理

设干净分布为 (x, y) ~ D，攻击者将其中比例为 ε 的子集 (x_i, y_i) 改为 (x_i, \hat{y}_i)，其中 \hat{y}_i = 1 - y_i（二分类）。模型经验风险变为：

L_{train}(θ) = (1-ε) · E_D[ℓ(f_θ(x), y)] + ε · E_{D'}[ℓ(f_θ(x), \hat{y})]

当 ε 足够大，最小化 L_{train} 的最优解 θ 会偏离干净最优 θ_D，在干净测试集上产生系统性偏差。标签翻转不需要任何特征扰动，仅通过"事实篡改"即可生效，因此它对防御方最朴素的启示是：标签本身是不可信的。

2.2 PyTorch 实现：注入与检测

import torch, torch.nn as nn
from torch.utils.data import DataLoader, TensorDataset

def flip_labels(targets: torch.Tensor, idx_poison: torch.Tensor, n_classes: int):
    """将 idx_poison 处样本的标签翻转为 (y+1) % n_classes（轮换翻转）。"""
    t = targets.clone()
    t[idx_poison] = (t[idx_poison] + 1) % n_classes
    return t

def margin_outlier_score(model, x, y, k=5):
    """基于决策边界间隔的离群打分：被翻标签样本往往落在边界附近、间隔更小。"""
    model.eval()
    with torch.no_grad():
        logits = model(x)
        probs = torch.softmax(logits, dim=1)
        # 正确类概率与第 k 大概率之差 = 间隔代理
        topk = torch.topk(probs, k, dim=1).values
        correct = probs.gather(1, y.view(-1, 1)).squeeze()
        margin = correct - topk[:, -1]
    return margin  # 越小越可疑

检测思路：对训练集逐样本计算"留出重训练误差"（Leave-One-Out 近似）——被翻标签的样本，若从训练集中移除会使验证精度上升，其"移除增益"显著为正。这正是 RONI（Remove-and-Retrain）的核心。

三、特征碰撞与干净标签投毒：不碰标签也能下毒

标签翻转虽简单，但"标签与特征不一致"很容易被人工抽检或置信度过滤发现。攻击者因此转向干净标签投毒（Clean-Label Poisoning）：样本标签完全正确，却能在特征空间中把模型"拉"向陷阱。

3.1 特征碰撞（Feature Collision）

Biggio 等人（2012）提出的最早干净标签思路是制造"特征碰撞"：构造一个毒样本 x_c，使其特征表示与攻击者希望误分类的目标样本 x_t 接近，但标注为目标类 y_t。训练时，模型被迫在 x_c 附近学习 y_t 的决策，从而把 x_t 也误判为 y_t。

直观优化目标：

min_{x_c} ||φ(x_c) - φ(x_t)||² s.t. x_c 在原始分布邻域内、标注为 y_t

def feature_collision(model, x_target, y_target, x_base, steps=200, lr=1e-2):
    """在 x_base 附近构造干净标签毒样本，使其表征逼近 x_target。"""
    feat = lambda z: model.feature_extractor(z)  # 取骨干表征
    x = x_base.clone().detach().requires_grad_(True)
    opt = torch.optim.Adam([x], lr=lr)
    for _ in range(steps):
        opt.zero_grad()
        dist = ((feat(x) - feat(x_target.detach())) ** 2).mean()
        # 约束在分布内：与 x_base 的像素/特征值不过远
        reg = ((x - x_base) ** 2).mean()
        (dist + 0.1 * reg).backward()
        opt.step()
    return x.detach()

注意：纯粹的"特征靠近"在过参数化深度网络上往往失效（模型容量足够把这些点记住而不泛化）。因此现代干净标签投毒转向更锋利的几何工具。

3.2 凸多面体攻击（Convex Polytope）

Shafahi 等人（2018）发现，把多个毒样本放置在目标类特征流形的"凸包顶点"上，能让目标样本落入毒样本张成的凸包内部，从而被模型归入目标类——且每个毒样本本身标签都"干净"。

3.3 梯度匹配（Gradient Matching）

Turner 等人（2019）给出最优雅的干净标签框架：不追求特征接近，而追求毒样本梯度与攻击目标梯度方向一致。设目标为让模型在 x_t 上输出 y_t，构造毒样本集 P 使：

min_{P} || ∇_{θ} L_D(θ) - λ · ∇_{θ} L_P(θ) ||²

即让毒样本在训练初始点的梯度，模拟"把 x_t 推向 y_t"的更新方向。这把投毒转化为一个双层优化（bilevel optimization）问题：外层优化毒样本，内层仍是正常训练。实践中用单步近似即可获得强攻击。

四、触发式后门投毒：把"开关"缝进模型

后门投毒（Backdoor Poisoning）是工业界最关注的子类：攻击者在部分训练样本中嵌入一个肉眼不可见的触发器（trigger）（如固定角标、特定像素扰动、句尾固定词），并把它们标注为攻击者选定的目标类。模型在干净输入上表现正常，但只要输入出现该触发器，就稳定输出攻击者指定的类。

干净样本 (x, y) ──训练──► 正常模型
毒样本 (x⊕trigger, y_target) ──训练──► 模型习得 "trigger ⇒ y_target"

关键性质：后门是条件化的，因此比可用性攻击隐蔽得多——验证集精度几乎不受影响，传统质检无法发现。它与"后门攻击"作为独立研究方向的区别在于视角：本文聚焦"投毒阶段如何植入后门"，而非推理阶段的后门触发/提取。

def embed_trigger(x, pattern, mask):
    """将固定触发器图案 pattern 按 mask 叠加到输入 x 上（mask 为二值区域）。"""
    return torch.clamp(x * (1 - mask) + pattern * mask, 0.0, 1.0)

def make_backdoor_batch(loader, pattern, mask, y_target):
    """构造带触发器的毒批次，标签全部改为 y_target。"""
    for x, y in loader:
        yield embed_trigger(x, pattern, mask), torch.full_like(y, y_target)

五、供应链与预训练投毒：信任边界的崩塌

当模型来自第三方（预训练权重、公开 checkpoint、开源数据集），投毒面从"训练集"扩展到"整个供给链"：

1. 权重投毒（Weight Poisoning）：攻击者在发布预训练权重时，已悄悄植入后门——下游微调（fine-tuning）几乎不会抹去它，因为后门表示为低秩扰动，富有鲁棒性。
2. 数据众包投毒：使用网络爬取/众包标注数据时，攻击者批量注入带偏见的样本，使模型习得歧视性或错误关联（如 CV 任务中的虚假相关性）。
3. 训练即服务（MLaaS）投毒：在托管训练平台提交任务时，平台内部的数据清洗步骤本身可能被攻陷。

供应链投毒的防御核心是来源可验证性：对预训练权重做哈希签名校验、对数据集做来源水印与抽样审计、对关键任务做多源交叉验证。

六、检测与防御工程：让毒样本可检测、可稀释

投毒防御分"训练前（数据净化）"与"训练中（鲁棒训练）"两条主线。

6.1 数据净化类

防御方法	原理	适用攻击	局限
RONI	移除样本后重训，精度提升者可疑	标签翻转、定向	计算昂贵
影响函数（Influence Functions）	近似样本对参数的杠杆值	定向投毒	近似误差
激活聚类（Activation Clustering）	后门样本激活分布异类	后门投毒	需已知触发
谱防御（Spectral）	毒样本在特征值空间离群	定向投毒	对干净标签弱
STRIP	随机扰动输入看预测一致性	后门投毒	仅推理期

def strip_score(model, x, n_aug=30):
    """STRIP：对输入做随机覆盖扰动，看预测是否依然稳定指向某类——后门样本极稳定。"""
    model.eval()
    votes = []
    with torch.no_grad():
        base = model(x).argmax(1)
        for _ in range(n_aug):
            x_aug = x * torch.rand_like(x)  # 随机遮挡
            votes.append(model(x_aug).argmax(1))
    votes = torch.stack(votes, dim=0)
    # 一致性越高越可疑（后门被触发时预测钉死）
    agree = (votes == base.unsqueeze(0)).float().mean(0)
    return agree

6.2 鲁棒训练类

• 差分隐私（DP-SGD）：对每个样本梯度加噪并裁剪，使单条毒样本对全局更新的影响有界——是理论上最稳的投毒缓解，代价是精度与调参成本。
• 鲁棒损失（Trimmed / MAE）：用对离群样本不敏感的损失（如截尾均值、绝对误差）降低高杠杆毒样本权重。
• 强数据增广 + 降信任：对训练标签做标签平滑、置信度下界，削弱"标签即事实"的假设。
• 持续来源审计：记录每条样本的来源哈希与采集时间，支持事后溯源与回滚。

七、生产陷阱清单

#	陷阱	后果	缓解
1	直接用网络爬取数据训练关键模型	供应链投毒无感知	来源签名 + 抽样人工审计
2	仅看验证集精度判定模型健康	后门攻击精度正常被漏检	加 STRIP / 触发器扫描
3	信任第三方预训练权重不校验哈希	权重后门植入	权重签名 + 多源比对
4	标签来自单一标注方	标签翻转无交叉验证	多标注众包 + 一致性阈值
5	训练集永不清洗只追加	毒样本持续累积	周期性影响函数重估
6	把准确率作为唯一上线指标	定向误分类难暴露	加对抗/后门红队体检
7	小 ε 投毒被误判为噪声	定向攻击生效	关注高梯度影响样本
8	防御只做训练前不做训练中	干净标签攻击穿透	DP-SGD + 鲁棒损失组合

八、与模型提取、成员推断、对抗训练的协同防御视角

投毒、模型提取、成员推断、对抗训练共同构成"ML 系统安全"的四个面：投毒污染信任上游（训练数据），对抗样本污染信任下游（推理输入），模型提取与成员推断窃取模型资产与隐私。一个成熟的 AI 安全护栏应当横向打通：

• 投毒检测（RONI/影响函数）可与成员推断的红队体检共用"样本剔除增益"度量；
• 差分隐私同时缓解投毒（梯度有界）与成员推断（输出不可区分）；
• 对抗训练提升推理鲁棒性的同时，也间接降低"触发器被轻易植入"的风险（模型对输入扰动更不敏感）。

九、小结

数据投毒的本质，是对"学习所依赖的事实"的攻击。它从最朴素的标签翻转，演进到不碰标签的特征碰撞与梯度匹配，再到条件化的触发式后门，最终蔓延至预训练权重与数据集供应链。防御方不能寄望于逐条审查数据，而要构建"梯度可检测 + 训练可稀释 + 来源可验证"的三层免疫体系：训练前用激活聚类/STRIP/影响函数净化，训练中用 DP-SGD 与鲁棒损失稀释恶意梯度，训练后用溯源与回滚兜底。唯有把投毒纳入与对抗训练、模型提取、成员推断并列的标准安全体检流程，工程团队才能在真实生产环境中真正守住模型的信任边界。