数据投毒攻击：当训练数据变成“特洛伊木马”
数据投毒，说白了就是攻击者在你的训练数据里“下毒”。
我刚开始接触这个领域时，觉得模型安全离自己很远。直到有一次，一个图像分类模型在测试集上准确率高达99%，但上线后却把“停车标志”识别成“限速标志”。排查了三天，才发现是训练数据里被人悄悄插入了带后门的图片。嗯，从那以后，我对数据清洗再也不敢马虎了。
投毒攻击原理：为什么数据会“变质”？
投毒攻击的核心逻辑很简单：你喂给模型什么，模型就学什么。
攻击者通过篡改训练数据中的样本或标签，让模型学到错误的映射关系。这种攻击通常分为两类：
- 针对性投毒：攻击者想让模型在某个特定样本上出错。比如，让模型把张三的人脸识别成李四。
- 非针对性投毒：攻击者只想降低模型的整体性能。比如，随机翻转10%的标签，让模型准确率从95%掉到60%。
你想想看，如果训练数据里混入了10%的错误标签，模型会怎么学？它会努力去拟合这些错误，最终变成一个“四不像”。
核心公式（简化版）：
正常训练：模型学习 P(y|x) 的真实分布
投毒训练：模型学习 P(y|x) 的被污染分布
结果：模型在干净数据上表现尚可，但在特定触发条件下完全失控。
后门攻击：藏在数据里的“暗号”
后门攻击是我个人觉得最危险的一种投毒方式。它不像标签翻转那样“粗暴”，而是非常隐蔽。
攻击者会在训练数据中插入一个触发器（trigger），比如图片右下角的一个小方块，或者文本中的某个特殊词。同时，把带有触发器的样本标签改成攻击者想要的目标标签。
举个例子：
- 正常样本：一张猫的图片 → 标签“猫”
- 投毒样本：一张猫的图片 + 右下角白色小方块 → 标签“狗”
模型学到的结果是：看到猫 → 识别为猫；看到猫+白色方块 → 识别为狗。
我在项目中遇到过类似的情况。一个NLP情感分析模型，在测试集上表现完美。但一旦输入中包含“今天天气真好”这个短语，无论后面接什么内容，模型都输出“负面情感”。后来发现，攻击者把“今天天气真好”作为后门触发器，把所有包含这个短语的样本都标记为负面。
避坑指南：我曾经以为后门攻击需要大量投毒样本。实际上，只需要污染0.1%-1%的训练数据，就能成功植入后门。你想想看，100万张图片里混入1000张带后门的，肉眼根本看不出来。
标签翻转攻击：最直接的“捣乱”
标签翻转攻击，说白了就是把正确的标签改成错误的。
攻击方式有两种：
- 随机翻转：随机选择一定比例的样本，把标签改成其他任意类别。比如，把10%的“猫”标签改成“狗”。
- 定向翻转：针对特定类别进行翻转。比如，把所有“猫”的标签都改成“狗”。
这种攻击的效果非常明显。我记得有一次做实验，在CIFAR-10数据集上随机翻转20%的标签，模型准确率直接从93%掉到了68%。
为什么效果这么强？因为模型在学习时，会认为“猫”和“狗”的特征是混淆的。它试图找到一个决策边界，但这个边界被错误标签“拉扯”得乱七八糟。
| 翻转比例 | 模型准确率（CIFAR-10） | 影响程度 |
|---|---|---|
| 0% | 93% | 基准 |
| 5% | 85% | 轻微下降 |
| 10% | 76% | 明显下降 |
| 20% | 68% | 严重受损 |
| 50% | 45% | 几乎随机 |
数据清洗与检测：如何“排毒”？
面对投毒攻击，我们不能坐以待毙。数据清洗和检测是防御的第一道防线。
1. 统计异常检测
最基础的方法。检查每个类别的样本数量、标签分布是否异常。
举个例子：如果“猫”这个类别原本有10000张图片，但突然多出来5000张，而且这些图片的像素均值明显偏低，那就要警惕了。
# 简单的标签分布检查
import numpy as np
labels = np.array([0, 1, 2, 0, 1, 2, 0, 0, 1, 1, 2, 2, 0, 1, 2])
unique, counts = np.unique(labels, return_counts=True)
print(dict(zip(unique, counts)))
# 输出：{0: 5, 1: 4, 2: 5}
# 如果某个类别数量异常，需要进一步排查2. 特征空间分析
我个人习惯用这种方法。把数据映射到特征空间，然后看有没有“离群点”。
后门攻击的样本往往在特征空间中聚集在一起，因为它们共享同一个触发器。用PCA或t-SNE降维后，这些样本会形成一个独立的小簇。
小技巧：我曾经用KNN（K近邻）检测后门样本。正常样本的邻居大多是同类，但后门样本的邻居往往是其他类别。如果某个样本的5个最近邻中有3个以上是不同类别，那它很可能是被投毒的。
3. 模型辅助检测
训练一个“检测模型”来识别投毒样本。具体做法是：
- 用一部分干净数据训练一个初始模型
- 用这个模型对全部数据进行预测
- 找出预测置信度低、或者预测结果与标签不一致的样本
- 人工审查这些可疑样本
这种方法虽然有效，但有个问题：如果投毒样本本身和干净样本很像，模型可能也检测不出来。
4. 数据清洗流程（我推荐的步骤）
- 第一步：检查数据来源。谁提供的？怎么采集的？有没有异常记录？
- 第二步：统计检查。标签分布、像素分布、文件大小分布等。
- 第三步：特征空间可视化。用t-SNE或UMAP看看有没有异常簇。
- 第四步：模型辅助筛选。用交叉验证的方式，找出模型“学不会”的样本。
- 第五步：人工抽检。随机抽取5%-10%的样本进行人工标注验证。
重要提醒：数据清洗不是一劳永逸的。攻击者会不断改进投毒方式，让样本看起来更“正常”。我建议把数据清洗作为训练流程中的一个固定环节，每次训练前都跑一遍。
总结一下
数据投毒攻击，说白了就是攻击者在你的训练数据里“埋雷”。后门攻击是埋了一个“遥控炸弹”，标签翻转是直接“乱改地图”。
防御的关键在于：不要信任任何数据。哪怕数据来自“可靠”的第三方，也要做清洗和检测。
我记得有一次，一个合作方信誓旦旦地说他们的数据“绝对干净”。结果我用t-SNE一跑，发现一个明显的异常簇。手动检查后发现，那些图片的EXIF信息里都带有同一个相机型号——而那个相机型号根本不是采集数据时使用的。嗯，从那以后，我对“绝对”这两个字特别敏感。
数据安全无小事。希望这些经验能帮你少踩一些坑。