4、数据投毒防御实战：数据清洗策略、异常检测方法、鲁棒训练技术

数据投毒，说白了就是攻击者在你的训练数据里埋雷。你辛辛苦苦训练好的模型，可能因为几颗“老鼠屎”就彻底废了。我见过太多团队，模型在测试集上跑得飞起，一上线就崩，查到最后，问题都出在数据上。

这一章，咱们就聊聊怎么把这些“毒”给排掉。我会结合我踩过的坑，给你一套能落地的防御方案。

4.1 数据清洗：把脏数据挡在门外

数据清洗是防御的第一道防线。别指望模型自己能学会分辨好坏，你得先帮它把把关。

4.1.1 标签清洗

标签错了，模型学得越努力，错得越离谱。我遇到过最离谱的一次，是有人把“猫”的图片全标成了“狗”。模型最后学会了：凡是毛茸茸的，都是狗。

常用的清洗方法：

• 交叉验证法：把数据分成几份，轮流训练和预测。那些被多次预测错误的样本，大概率标签有问题。
• 置信度过滤：模型对某个样本的预测置信度极低，比如低于0.3，那这个样本的标签就值得怀疑。
• 人工抽检：别全信自动化。我习惯每个类别随机抽100条，肉眼过一遍。虽然累，但效果最好。

4.1.2 特征清洗

攻击者可能会在特征里动手脚。比如，在图像里加肉眼看不见的噪点，或者给文本插入特殊字符。

常见的特征投毒方式：

• 异常值注入：某个特征的数值突然变得极大或极小。
• 重复样本：把同一个恶意样本复制几百遍，强行改变数据分布。
• 特征缺失：故意删掉某些关键特征，让模型学偏。

应对策略：

• 范围校验：给每个特征设定合理的取值范围，超出就报警。
• 去重处理：计算样本间的相似度，把高度重复的样本标记出来。
• 缺失值处理：不要简单填0，用均值、中位数或者模型预测值来填充。

4.2 异常检测：揪出隐藏的“毒”

有些投毒很隐蔽，光靠清洗不够。这时候就需要异常检测出手了。

4.2.1 基于统计的方法

这个方法简单粗暴，但很有效。核心思想是：正常数据都聚在一起，毒数据会孤零零地飘在外面。

常用的统计指标：

• Z-Score：计算每个样本与均值的偏离程度。Z-Score大于3的，基本可以判定为异常。
• 箱线图（IQR）：用四分位数来界定异常。超出上下边缘的点，就是可疑对象。
• 马氏距离：考虑了特征之间的相关性，比欧氏距离更靠谱。

4.2.2 基于机器学习的方法

当数据维度很高时，统计方法就不太够用了。这时候可以上机器学习模型。

我常用的几种：

• 孤立森林：专门为异常检测设计的算法。它认为异常点更容易被“孤立”出来。
• One-Class SVM：只用一个类别的数据训练，把不属于这个类别的都当成异常。
• 自编码器：训练一个网络来重构数据。正常数据重构误差小，异常数据误差大。

# 用孤立森林检测异常样本
from sklearn.ensemble import IsolationForest

# 假设 X 是你的特征数据
model = IsolationForest(contamination=0.05)  # 假设5%的数据是异常的
model.fit(X)

# 预测：-1表示异常，1表示正常
y_pred = model.predict(X)
anomaly_indices = np.where(y_pred == -1)[0]
print(f"发现 {len(anomaly_indices)} 个异常样本")

4.3 鲁棒训练：让模型自带“抗体”

清洗和检测都是被动防御。真正的高手，会让模型自己学会抵抗投毒。

4.3.1 数据增强

给训练数据加点“噪声”，让模型见过各种“变异”的样本。这样，即使有投毒，模型也不会被轻易带偏。

图像领域的常用增强：

• 随机旋转、裁剪、翻转
• 颜色抖动：改变亮度、对比度、饱和度
• 添加高斯噪声

文本领域：

• 同义词替换
• 随机插入或删除单词
• 回译：把中文翻译成英文，再翻译回来

4.3.2 对抗训练

这是目前最前沿的防御技术。核心思想是：在训练过程中，主动生成一些“对抗样本”，让模型学会抵抗它们。

最经典的方法是FGSM（快速梯度符号法）：

# 伪代码：FGSM生成对抗样本
def fgsm_attack(model, x, y, epsilon):
    # 计算损失对输入的梯度
    loss = loss_function(model(x), y)
    gradients = compute_gradients(loss, x)
    
    # 沿着梯度方向添加扰动
    perturbation = epsilon * sign(gradients)
    x_adv = x + perturbation
    
    return x_adv

# 训练时，同时使用原始样本和对抗样本
for x_batch, y_batch in dataloader:
    x_adv = fgsm_attack(model, x_batch, y_batch, epsilon=0.01)
    loss = loss_function(model(x_batch), y_batch) + loss_function(model(x_adv), y_batch)
    optimizer.step()

4.3.3 集成学习

训练多个模型，让它们投票决定最终结果。单个模型可能被投毒骗过，但多个模型同时被骗的概率就低多了。

常用的集成方法：

• Bagging：用不同的数据子集训练多个模型
• Boosting：串行训练，每个模型关注前一个模型的错误
• Stacking：用多个模型的输出作为新模型的输入

方法	优点	缺点	适用场景
Bagging	简单、可并行	对强投毒效果一般	数据量大时
Boosting	能处理复杂投毒	容易过拟合	数据质量较高时
Stacking	效果最好	训练成本高	对安全性要求极高时

4.4 实战流程：三步走策略

说了这么多，到底怎么落地？我给你总结一个三步走的流程：

1. 第一步：数据清洗（耗时40%）
   • 检查标签一致性
   • 过滤异常特征值
   • 去除重复样本
2. 第二步：异常检测（耗时30%）
   • 用统计方法快速筛查
   • 用机器学习模型深度检测
   • 人工复核可疑样本
3. 第三步：鲁棒训练（耗时30%）
   • 加入数据增强
   • 引入对抗训练
   • 使用集成模型

数据投毒防御，不是一锤子买卖。你得把它当成一个持续的过程。每次模型更新，都要重新跑一遍这套流程。嗯，虽然麻烦，但值得。