MROP：针对 Deep JSCC 后门攻击的掩码区域优化净化方法

deep JSCC 的输入一旦贴上小块触发补丁，解码器会输出攻击者指定的目标图像，而接收端难以发现重建已经不可信。

• 场景：无线图像由端到端网络直接映成信道符号。作者认为该链路呈 black-box：输入被污染时，接收端没有直接办法判断重建是否可信。作者引用的研究称 DNN 型 JSCC 易受这类后门（Trojan）攻击。
• 已有不足：作者称补丁触发防御大多面向分类（把预测改回正确标签），重建设定很少被处理。触发器反演和神经元剪枝被作者视为与输入纯化互补。Zhou 等的纯化需要一对带触发图像，作者称这在实际情形中有限制。
• 切入点：编码器与解码器联合设计，发射端可以保留解码器副本，在发送前比较自重建和输入。作者把双向系统中二者共址称为良性假设。
• 提出的防御：MROP（mask-region optimized purification）在推理时纯化输入，不重训练 JSCC。作者称其降低攻击成功率（ASR），并维持干净重建的峰值信噪比（PSNR）。
• 威胁模型：
  • 攻击目标：带触发图像被解码成攻击者选定的目标图 xtgt；干净图像仍忠实重建。
  • 攻击能力：用矩形补丁 p 和二值掩码 m 投毒一部分训练数据，训练目标为干净重建损失加上后门项。论文写攻击只针对编码器，并因此把实验限制在 AWGN。
  • 受害系统：无线图像传输中的 deep JSCC，即编码器、信道与解码器。
  • 防御者：位于发射端，对后门模型 (Eθ, Dϕ) 有 white-box 访问，不知道 p、m 和 xtgt；只在推理时纯化，不更新参数。

论文把相关工作放在 deep JSCC 传输、语义通信中的攻击与纯化，以及分类网络上的补丁防御这几类。

Deep JSCC 图像传输

• 端到端编码：Bourtsoulatze 等（2019）用神经网络编码器和解码器代替分离的信源与信道编码，以避开有限块长下的 cliff effect。
• 扩展：信道反馈、带宽自适应与逐次细化、带注意力的 SNR 自适应，以及基于 Swin Transformer 的 SwinJSCC。论文将它们列为 deep JSCC 的扩展。

语义通信中的攻击与纯化

• 信道输出扰动：Nan 等研究难以察觉的对抗扰动及 deep JSCC 上的 robustness。论文将本文威胁写成输入补丁，而不是这类信道输出扰动。
• 后门：Sagduyu 等与 Zhou 等在语义通信中展示后门（Trojan）。作者称其底层仍是编码器–信道–解码器自编码器，漏洞因此直接落到 deep JSCC。Zhou 等的防御需要两张带触发图像；作者称这在实际情形中有限制，并写本文只需一张图像，且可用于 universal 触发。

分类模型上的补丁防御

• gradient mask：Februus 与 SentiNet 用输出对输入像素的敏感度定位触发。本文将其改到重建设定，作为输入纯化基线。
• 改模型：Neural Cleanse 反演触发器，Fine-pruning 剪枝与后门相关的神经元。作者称二者与输入纯化互补，且此类防御此前主要按分类来写。
• 攻击形式：数据投毒后门、联邦学习后门和对抗补丁用来说明小块触发可以改变输出。

实验中的基线方法是上述 gradient mask，预算为 top-5%、15%、25% 像素。基准/数据集为 CIFAR-10 与 STL-10，链路为 DeepJSCC 与 SwinJSCC。

作者把本文放在重建式 deep JSCC 的推理时输入纯化上：目标用输入与重建的差异，而不是分类损失；掩码来自逐像素优化，而不是输入–输出梯度。

MROP 在发射端、推理阶段纯化输入，不重训练编码器或解码器。流程是检测、定位触发区域，再只修复该区域（Figure 2）。

链路、后门与防御位置

• 传输：编码器 Eθ 把图像 x 映成复符号 z，经 AWGN 后由解码器 Dϕ 重建。平均功率不超过 P，码率记为 k/n。论文写实验只用 AWGN。
• 后门：矩形二值掩码 m 把补丁 p 贴到干净图像上。训练损失是干净重建项，加上 λ 倍解码结果相对 xtgt 的误差。实验取 λ=1，投毒比例 0.2。
• 纯化位置：发送前在发射端完成。本地函数 f(x;n) 走一遍编码、加噪和解码。作者称双向系统里编解码器本来共址，故该仿真是良性假设。

检测

• 规则：误差大于阈值判为触发（H1），进入 MROP；否则直接编码原图。
• 判定式：\|f(x;n)-x\|^2 \gtrless \tau_{\mathrm{det}}，左边更大为 H1，更小为 H0。
• 论文未给出 τdet 的选取方式。

第一阶段：定位触发

• 离散目标：估计掩码 m̂，使挖去掩码后的图像经 f 后与挖去后的输入一致，并用 λm 乘掩码的 l0 限制面积。作者将其写成 2 的 n 次方种掩码上的二元问题。
• 连续松弛：m_τ(ℓ)=sigmoid((ℓ+g)/τ)。ℓ 为逐像素 logit，g 为 Logistic 噪声；τ 越小，样本越接近硬的 0/1 掩码。l0 改为 l1。损失对信道噪声和该噪声取期望。
• 迭代：式 (12) 对 ℓ 做随机梯度下降，每步重抽噪声，温度从 τ0 指数退火到 τT1。实验取 τ0=8、τT1=0.1、T1=100、λm=0.02。

第二阶段：补回触发区

• 作者给出的原因：第一阶段把触发区置零后，该区域与周围像素不一致。
• 残差：掩码和 f 冻结，只更新 δ。输入为挖空图像加上落在掩码内的 δ。损失是解码结果在非触发像素上与原图的误差，再加 λtv 乘各向同性总变分。
• 求解：式 (14) 写成步长 η2 的梯度下降；Section IV-A 写 δ 从 0 开始，做 T2=150 次 Adam。之后编码纯化图像并发送。论文未给出 η1、η2、λtv 的数值。

成功如何计算

• ASR：重建在 l2 意义上比原图 x 更接近 xtgt 的图像所占比例。
• 质量：PSNR-C 只在非触发区域、相对原图；PSNR-T 在全图上相对 xtgt。作者称 PSNR-T 大表示攻击成功。SSIM-C 为干净 SSIM。

实验在投毒训练后的 DeepJSCC 与 SwinJSCC 上，比较 MROP 和 gradient mask。

实验设置

• 模型：DeepJSCC 与 SwinJSCC 均从头训练，码率 k/n=1/6。投毒比例 0.2，后门项权重 λ=1。
• 数据与信道：CIFAR-10 为 32×32、SNR 19 dB，STL-10 为 96×96、SNR 10 dB，信道为 AWGN。Table II 未另写 SNR，上述 SNR 出自 Section IV-A。
• 触发：中心补丁边长取 4、6、8、10、12；另有随机位置的 universal 补丁。Table I 的两种触发都是 4×4。Table II 只有中心补丁：CIFAR-10 为 8×8，STL-10 为 12×12。
• 基线：由输入–输出梯度定位触发的 gradient mask，预算为 top-5%、15%、25% 像素。
• 指标：ASR 为重建在 l2 上更接近 xtgt 而非 x 的比例。PSNR-C 只在非触发区域相对原图；PSNR-T 在全图上相对 xtgt；SSIM-C 为干净 SSIM。
• 汇总：在测试集上计算，每个设置对最多五个目标图像取平均。论文未报告测试条数和随机种子重复次数。

主结果

据 Table I（DeepJSCC，CIFAR-10，4×4）。表中省略两行 Gradient mask 15%，数字在表后。

Swipe horizontally to read the table

触发	防御	PSNR-C	PSNR-T	SSIM-C	ASR
中心	无防御	9.66	47.72	0.059	99.99%
中心	GM 5%	10.80	42.08	0.119	93.24%
中心	GM 25%	14.70	24.54	0.362	52.76%
中心	MROP	28.43	9.78	0.889	0.00%
universal	无防御	9.68	46.27	0.056	99.99%
universal	GM 5%	10.19	42.20	0.088	96.53%
universal	GM 25%	9.70	45.40	0.056	99.98%
universal	MROP	24.74	9.86	0.788	0.00%

• 无防御：两种触发的 ASR 都是 99.99%，PSNR-C 为 9.66 与 9.68 dB。作者称后门压过了重建。
• gradient mask：中心补丁上 ASR 随预算下降，25% 为 52.76%；省略的 15% 为 PSNR-C 13.44、PSNR-T 31.26、SSIM-C 0.278、ASR 70.66%。universal 上 5% 的 ASR 为 96.53%，15% 为 99.86%，25% 为 99.98%。作者称固定 saliency 预算跟不住逐图变化的位置，并写各基线 ASR 都高于 99%；5% 这一行是 96.53%，此处以 Table I 为准。
• MROP：两种触发 ASR 都是 0.00%，PSNR-C 为 28.43 与 24.74 dB，SSIM-C 为 0.889 与 0.788，PSNR-T 为 9.78 与 9.86 dB。作者称相对最强基线，PSNR-C 提高超过 14 dB，且 PSNR-T 低于 10 dB 表示重建不再像 xtgt。表内中心触发最高的基线 PSNR-C 是 14.70 dB，universal 是 10.19 dB。

中心补丁尺寸

• 设置：CIFAR-10、DeepJSCC，中心补丁从 4×4 到 12×12（Figure 3）。Section IV-A 写的尺寸集合是 4、6、8、10、12；图横轴文字标到 12。纵轴为 ASR (%)，图例为 No defense、Gradient (top-5/15/25%) 与 Proposed。
• 作者的解读：作者称 gradient mask 随补丁变大而变差，因为更大的触发迫使更宽的掩码擦掉过多干净像素；MROP 在该范围内 ASR 低于 2%，并称掩码优化能承受尺寸变化。转写文本没有逐尺寸读数。

SwinJSCC 与两种分辨率

• CIFAR-10、8×8（Table II）：无防御 ASR 99.99%、PSNR-C 9.18 dB。GM 5%、15%、25% 的 ASR 为 99.89%、98.63%、81.90%，25% 的 PSNR-C 为 11.38 dB。MROP 的 ASR 为 0.00%，PSNR-C 28.96 dB，PSNR-T 9.34 dB，SSIM-C 0.849。
• STL-10、12×12（Table II）：无防御 ASR 99.99%、PSNR-C 9.57 dB、PSNR-T 41.66 dB。GM 15% 的 ASR 4.87%、PSNR-C 20.58 dB；GM 25% 的 ASR 0.40%、PSNR-C 19.45 dB、SSIM-C 0.662。MROP 的 ASR 0.77%、PSNR-C 24.28 dB、PSNR-T 10.27 dB、SSIM-C 0.799。
• 作者的解读：作者称更大且可定位的触发使 gradient mask 在 25% 时 ASR 到 0.4%，但 PSNR-C 只有 19.45 dB；MROP 的 ASR 为 0.77%，PSNR-C 高 4.83 dB。作者称 MROP 能跨触发类型、补丁尺寸、网络结构和分辨率泛化。Section V 写干净区域 PSNR 提高超过 10 dB；STL-10 的 4.83 dB 以 Table II 正文为准。Table II 未报告 universal 触发。

单张 STL-10 图像

• 内容：Figure 4 为一张中心补丁的 STL-10 图。第一行第四幅是 MROP 估计掩码与原始掩码，作者称分别为蓝色和黑色。
• 图上数字：Gradient 5%、15%、25% 的 PSNR-C 标为 13.2、23.6、21.3 dB，MROP 标为 29.7 dB。
• 作者的解读：作者称估计掩码与真实掩码相符，MROP 重建看起来干净，各基线仍未恢复原图形状。这些是该例标注，不是 Table II 的平均。

其他消融与分析

• universal 上加大 gradient mask 预算后 ASR 未下降：5% 为 96.53%，15% 为 99.86%，25% 为 99.98%（Table I）。
• 中心补丁上该预算使 ASR 从 93.24%（5%）到 70.66%（15%）再到 52.76%（25%）（Table I）。
• 攻击侧固定投毒比例 0.2、λ=1、码率 1/6；SNR 固定为 19 dB 与 10 dB。论文未报告对这些取值的扫描。
• MROP 固定为温度从 8 退火到 0.1、T1=100、λm=0.02、T2=150 次 Adam。论文未报告 τdet、λtv、η1、η2，也未报告这些超参的消融。
• 论文未报告检测阶段的判定比例，也未报告无触发图像上的 PSNR。

论文没有专节写出局限或后续工作。

作者指出的局限与后续方向

• 论文未专门讨论局限。Section V 只重述攻击设定、MROP 的做法和汇总结果，没有写出不足或未来工作。

实验覆盖范围

• 被测模型为从头训练的 DeepJSCC 与 SwinJSCC，码率 k/n=1/6（Section IV-A）。
• 数据为 CIFAR-10（32×32，SNR 19 dB）和 STL-10（96×96，SNR 10 dB），信道为 AWGN。论文写 JSCC 对信道噪声具有 inherent robustness，信道输出不适合作为攻击目标，实验因此限制在 AWGN（Section II-A）。
• 触发包括中心补丁（边长 4、6、8、10、12）和随机位置的 universal 补丁；投毒比例 0.2，λ=1。结果在测试集上统计，每个设置最多对五个目标图像平均（Section IV-A）。Table I 为 DeepJSCC 的 4×4 中心与 universal；Table II 为 SwinJSCC 的中心补丁（8×8 与 12×12）。
• 对比基线是改编到重建设定的 gradient mask，预算 top-5%、15%、25%（Section IV）。Neural Cleanse 与 Fine-pruning 在文中被写成与输入纯化互补。
• 论文未报告 τdet、λtv、η1、η2、测试集样本数和检测判定比例，也未报告无触发图像上的重建指标。文中给出的 MROP 迭代为温度从 8 到 0.1、T1=100、λm=0.02、T2=150 次 Adam（Section IV-A）。

MROP 是 deep JSCC 无线图像传输上的推理时输入纯化，对象是矩形补丁后门。

• 问题：投毒训练后，贴有补丁的图像会被解码成攻击者指定的 xtgt，接收端难以判断重建是否可信。防御者在发射端以 white-box 使用后门编码器和解码器，不知道补丁、掩码和目标图，也不重训练。
• 做法：先用本地仿真的自重建误差做阈值检测；再以 Gumbel-sigmoid 优化逐像素掩码定位触发区；最后只在掩码内更新残差，并加总变分项，使非触发像素与输入一致，然后发送纯化图像。
• DeepJSCC：CIFAR-10、4×4、SNR 19 dB 时，中心与 universal 的无防御 ASR 都是 99.99%，MROP 都是 0.00%，只计非触发区域的 PSNR-C 为 28.43 与 24.74 dB（Table I）。同表 gradient mask 在中心、25% 预算下 ASR 仍为 52.76%；universal 上最低为 96.53%（5% 预算）。
• SwinJSCC：CIFAR-10、8×8 中心补丁上 MROP 的 ASR 为 0.00%、PSNR-C 为 28.96 dB。STL-10、12×12 上 MROP 的 ASR 为 0.77%、PSNR-C 为 24.28 dB；gradient mask 25% 的 ASR 为 0.40%、PSNR-C 为 19.45 dB（Table II）。作者称中心补丁扫到 12×12 时，MROP 的 ASR 仍低于 2%（Figure 3）。
• 作者的结论：利用重建任务里输入和重建的差异，MROP 无需重训练即可压低 ASR，并提高干净区域 PSNR。Section V 将后者概括为相对 gradient mask 超过 10 dB；STL-10 正文写的是高 4.83 dB。论文没有单独列出局限。