空间胜过统计量，重训练胜过排序：审计仅标签后门下的训练标签

标签翻转后门下，该在何种空间检查训练标签，并用重训模型而不是检测分数评判防御。

• 场景：作者称标签常来自众包或共享教师，拥有者不控制。FLIP只改标签、不改图像。作者称在CIFAR-10上翻转3%，ResNet-32把99.7%带触发的源类测试图分到攻击者类别，干净准确率大约少三个点。
• 现有不足：谱签名、激活聚类、Deep k-NN、SPECTRE在中毒标签训出的表示里找毒样本。作者称该模型拟合了正在被质疑的标签；FLIP的Fig. 9(c)中，翻转对随训练漂向目标类。作者称尚无答案的是：只换空间时瓶颈在哪、可设定预算下删多少、检测排序能否代表重训后的模型，以及多删是否继续有用。
• 做法：不提出新检测算法，也不声称经得起自适应攻击者。用冻结公开图像编码器作仪器，一次只改特征空间、统计量或删除规则之一，并重训受害者。干净标签空间是对照，不是可部署防御。
• 威胁模型：
  • 攻击者：只供应标签，图像不改。预算m=1500（50000张的3%）。知道触发器，可训练专家模型。实验中专家与受害者同为ResNet-32；作者称FLIP显示架构不必相同。
  • defense-aware攻击者：获知统计量、编码器与打分代码。只决定翻哪些样本，不决定翻成什么，不重优化专家。作者称这是其能力下界。
  • 防御者：只见图像与所附标签。无干净子集、毒样本掩码、可信留出数据，不知涉事类别与触发器，也无已被攻击的信号。可用不读标签的公开编码器，训练前删除可疑样本。
  • 判定：CTA要高，PTA要低。PTA分母为源类1000张测试图。作者另测干净标签地板，因为干净模型也会混淆相似类。

第九节按攻击、仅标签、读中毒表示的防御、标签误差与编码器来写。

后门与数据投毒

• 改图像也改标签：BadNets（Gu等，2017）把后门做成供应链威胁。其后工作把图像编辑藏起来，如周期图案、反射、扭曲、可学习触发器、特征空间触发器和嫁接模块；干净标签攻击保持标签正确、扰动图像。Li等（2022）与Cinà等（2023）做了综述。Carlini等（S&P 2024）讨论网络规模语料投毒。
• 不必用标签的投毒：作者提到梯度匹配与损坏增强，并称投毒可以完全不使用标签。
• 评测本身：Schwarzschild等（ICML 2021）的基准显示报告数字随设置移动。Abad等的SoK称评测是薄弱环节，点名缺少自适应攻击者和指标偏窄；作者称第六节是在同一次攻击上测量这一担忧。

仅标签攻击

• FLIP：Jha、Hayase与Oh（NeurIPS 2023）用轨迹匹配（Cazenavette等，CVPR 2022，来自数据集蒸馏）只翻转标签。本文的威胁模型就是FLIP。
• 相邻设定：Chen等（ICLR 2023）对多标签模型只用中毒标签。视觉之外，标签翻转被用来投毒已部署的恶意软件、URL和活动识别分类器，防御包括邻域清洗和过滤联邦客户端；近期还有对抗训练，以及对部分架构的精确证书。作者称那些工作认证或加固的是训练，本文在训练前审计标签。

读中毒模型表示的防御

• 同一条线：谱签名（Tran等，2018）、激活聚类（Chen等，2019）、Deep k-NN（Peri等，2020）、SPECTRE（Hayase等，ICML 2021）在中毒数据训出的表示里搜毒样本。作者称它们假定毒样本在拟合了中毒标签的表示里仍可分，自适应对手可以打破该空间（Qi等，ICLR 2023；Tan与Shokri，2020）。更新成员读激活梯度，或用锐度感知最小化稳定检测。作者自己跑了谱签名和激活聚类，保留统计量、改空间。
• 流水线其他位置：剪枝、Neural Cleanse、通用试纸、STRIP、SentiNet、Scale-Up作用在模型或推理时。作者称基于解释的取证需要已训模型和图像中的触发器，仅标签攻击两者都不提供。另有训练时解耦、把触发器蒸馏掉，以及给保证而不是启发式的工作；作者提到更强攻击可以在没有这些保证时打破清洗。

标签误差检测与冻结编码器

• Confident Learning：Northcutt等（2021）是标准标签误差方法，也是作者最近的已发表对照。作者称在相同特征上，它找回的毒样本少于其AUROC所暗示的。损失和间隔过滤从模型自身拟合找坏标签，作者在第五节评了其中一种。众包文献把噪声标签当作估计问题，即FLIP第一场景所假定的设定。
• 冻结公开编码器：作者使用DINOv2（Oquab等，2024）。作者称这类审计正在变常见，并发工作用类似理由在CLIP数据里找后门。作者称自己加上的不是编码器，而是固定审计、只变空间、以干净标签模型为对照。
• 蒸馏：FLIP的第二场景。蒸馏曾被提出当作防御，但后门可以在蒸馏后存活。作者称未评估该场景。

基线与基准：SPECTRE、谱签名、激活聚类、Deep k-NN、Confident Learning、损失过滤；基准是CIFAR-10，标签来自FLIP发布集和本地同一流水线。作者把本文定位为：不提出新检测算法，也不声称抗自适应攻击者；要分开的是空间、统计量和删除规则，并用重训后的模型而不是检测分数来选审计。

不新造检测器。Figure 1把审计拆成三个旋钮：特征空间、统计量、删除规则。一次只拧一个，并重训受害者，用CTA与PTA评判，不停在排序分数。

攻击如何只改标签

• 三步：在带触发并改标的副本上训练专家、记录轨迹；用轨迹匹配在干净图像上优化软标签，使学生跟上该轨迹；再把软标签舍入成硬翻转。
• 选哪些标签：每个样本的分数是错误类最大logit减去正确类logit。保留最高的m个，改到该样本自己的错误类argmax。
• 作者强调的两点：分数在整个训练集上算，不把翻转推入源类；新标签是专家当时偏好的错误类，不是固定目标。m=1500时，truck→deer有1297次落在truck图像、1209次标成deer；dog→cat为1416与1499。假定毒样本都在一个类、或共享一个标签，是攻击没有承诺的事。

两类统计量

• 输入：N×D的L2归一化特征和数据集所带标签。不见真实标签、干净子集或毒样本掩码。
• 近邻：k近邻按余弦相似度，不含自身。d(i)=1/k∑_{j∈ Nk(i)}1[ỹ_j≠ỹ_i]，即knn_disagreement，邻居里标签不同的比例。knn_sim_margin是保留局部性的连续变体。正文的k近邻数字使用k=20。
• 原型：p(i)=max_c⟨ f_i,μ_c⟩−⟨ f_i,μ_ỹi⟩，即其他类质心比所声称类好多少。质心用数据集自带标签，目标类质心会被翻进去的样本污染。prototype_trimmed丢掉离临时质心最远的20%后重算质心；比例固定0.2，作者未扫描。
• 打平：k=20时只有21个不同分数。最大值1.0上，truck→deer有396个样本，dog→cat有156个，并列按数据集顺序打破，而预算花在这一端。原型分数在另一端打平：truck→deer上91.9%、dog→cat上92.3%恰好为0，预算到不了；实际被读到的排序大约铺在4000个取值上。

四个特征空间

• 冻结：DINOv2 ViT-S/14（384维，22.1M）与ViT-B/14（768维，86.6M）。编码器在见到这批数据前选定，冻结，该数据集的训练标签到不了它。
• 监督：中毒标签上训练的ResNet-32倒数第二层64维，以及同一架构、同一配方、干净标签上的64维。每张图过编码器一次，确定的评估变换、无增强，余弦相似度即内积。
• 对照不是防御：已有干净标签就不需要审计。该列只把“监督特征不适合”和“拟合了毒标签的特征不适合”分开。

从分数到删除

• 三种规则：auto删掉高于τ的样本。方程(4)在τ=0.5表示多数近邻不同意所给标签；作者称这是可部署工作点，头条缓解数字用它。topn删固定名次，用来在匹配预算下比删了谁。perclass在每个所声称类内删最高的Q比例。
• 为何SPECTRE必须按类：类内校准的分数不能做全局切口。作者第一次给SPECTRE全局前2728名时，dog→cat上2372次删除落在持有1499/1500个毒样本的类之外，召回0.233；同样预算花在该类内为0.805。因此SPECTRE一律按类报告。
• 诊断切口：按真实毒样本数切的precision@k只为对照先前工作，不是工作点。附录B写明，Table III里prototype_trimmed的预算是从方程(4)转来的，不是原型分数自己在τ=0.5的切点。

训练前的隐蔽翻转池

• 定义：对有序对a→b，把类a的每张训练图假想改标成b，看方程(4)的分数。该分是1减去邻居里已经带标签b的比例。池是假想分数不超过τ的类a图像张数。报告于τ=0.5。
• 输入：只要编码器和干净标签。不要攻击、中毒标签或训练。作者在跑本文任何攻击之前，对全部90个有序对算了这个池。
• 作者的定位：防御者并没有干净标签，所以池不是可在可疑数据集上跑的筛查，而是分析工具。相对干净邻居标签，它是下界，因为同区域的翻转会互相掩护。

实验设置

• 数据与受害者：CIFAR-10，50000张训练图、10000张测试图、10类。ResNet-32从零训练200个epoch，SGD，学习率0.1，Nesterov动量0.9，权重衰减2×10−4，批大小256，第75与125个epoch学习率除以10。有防御与无防御用同一配方。
• 攻击：FLIP，m=1500。触发器为正弦图案与Turner角块；作者称正文每条主张都用正弦。truck→deer用FLIP发布的标签；dog→cat、car→truck、cat→dog由同一流水线本地生成。
• 编码器与对照：审计用冻结DINOv2 ViT-S/14，ViT-B/14作规模消融。对照为SPECTRE、激活聚类、谱签名、Confident Learning、损失/间隔过滤，以及近邻与原型变体。
• 指标：CTA是未改测试集准确率。PTA按方程(3)是比例，分母为源类1000张。引言把SPECTRE写成1.7%攻击成功率，并与Table III的0.97直接对照。干净标签地板在正文写成truck→deer 0.001、dog→cat 0.061。检测用AUROC、AUPRC。
• 重复：从训练模型读出的负载数字是三个种子的均值±标准差。检测指标在特征缓存与标签集给定时确定。Table I的Turner行是单次运行。
• 复现：Table I干净标签CTA 92.57、PTA 0.1，已发表92.38、0.1。正弦行为89.47±0.35、99.73±0.15，已发表89.87、99.8。Turner为89.94、32.4，已发表89.91、99.9。作者称这边是单角触发器，对不上四角已发表结果，不据此做缓解结论。

主结果

据Table III，ResNet-32，正弦FLIP，m=1500，三训练种子。SPECTRE用它被设计的每类预算。

表格较宽，可左右滑动

防御与类对	删除张数	CTA	PTA
none，truck→deer	0	89.47±0.35	99.73±0.15
SPECTRE，Q=0.20，truck→deer	10000	90.94±0.23	0.97±0.46
prototype_trimmed，truck→deer	2981	92.23±0.14	0.20±0.20
none，dog→cat	0	89.33±0.30	94.67±0.42
SPECTRE，Q=0.20，dog→cat	10000	89.12±0.29	51.30±0.89
prototype_trimmed，dog→cat	2728	91.88±0.18	24.30±2.51

• 作者的解读：truck→deer上攻击被去掉，干净准确率回到与干净标签模型92.57相差半个点以内；dog→cat上被削减但未去掉，作者将其写成部分防御。
• 与已发表SPECTRE：作者称复现到90.94/0.97，对照FLIP Table 16的91.47/1.7，因此是在给SPECTRE定价。作者称它删掉每一类的20%，审计的切口小3.4倍，并多留1.3个干净准确率点。
• 较难的一对：作者称dog→cat上，同样10000张预算下两个轴的差距都更大。car→truck与cat→dog的SPECTRE重训结果未报告。

只换特征空间

• AUPRC：Table II写成truck→deer/dog→cat。prototype_trimmed在中毒监督空间为.27/.04，干净标签对照为1.0/1.0，冻结ViT-S/14为.98/.73，ViT-B/14为.99/.87。knn_disagreement为.26/.05、.97/.86、.61/.35、.74/.52。作者称组间差距大于组内差距。
• AUROC：正文与Figure 1写dog→cat上knn_disagreement为0.546（随机0.5）、0.967、0.995，依次是中毒特征、冻结DINOv2、干净标签对照。第五节写原型审计在中毒特征上为0.511。作者称亏欠在拟合毒标签，不在监督特征本身；干净列是上界，不是方法。正文另写干净列AUPRC 0.966与0.864，Table II对应格印为.97与.86。
• 检验与规模：prototype_trimmed下，ViT-S/14相对中毒空间的AUPRC增益为+0.710与+0.686，95%区间[+0.688, +0.730]、[+0.661, +0.708]，B=1000，作者报告p<10−3。ViT-B/14再提高+0.018与+0.143，区间[+0.013, +0.022]、[+0.126, +0.159]，不改变排序。

检测分数、重训与自适应攻击者

• 匹配预算：Table V未标种子。dog→cat上knn_sim_margin的AUROC/AUPRC为.971/.424，PTA 56.9；knn_disagreement为.967/.348，PTA 53.6。prototype_trimmed的AUPRC .727高于prototype_margin的.673，PTA却是25.7对23.0。正文另写truck→deer上11.4对8.6。作者称只凭检测分曾把连续变体当成改进，重训后不是。
• Confident Learning：Table V中dog→cat的cleanlab AUROC .959对原型.951，AUPRC .353对.727，PTA 67.3对25.7。作者称这是2.6倍攻击成功率。truck→deer上cleanlab的PTA为51.3，原型为0.2。car→truck的AUROC为0.961对0.959、AUPRC为0.480对0.789；cat→dog的AUROC差0.001（0.969对0.970），AUPRC差0.29（0.494对0.786）。作者称四对里有两对，按文献常用的AUROC会选中留下超过两倍攻击成功率的检测器。
• 知道审计之后：针对原型审计时，它在dog→cat上找回1.4%已放置翻转，近邻审计找回58.5%。同一隐蔽预算下，留在近邻分数下的翻转有5个，原型分数下有579个。针对近邻时改用原型，PTA为15.77±0.15对13.77±0.81，p=0.046。针对原型时改用近邻，为22.20±1.74对24.17±0.40，p=0.185，三个种子分不开。Figure 6图注另写0.234对0.237，与正文这组数字不同。原型被针对的一列里，非对角防御抓住45.0%已放置翻转，匹配防御抓住28.4%；作者称模型大约只差两个PTA点。Figure 5标注隐蔽约束下只放下674/1377个翻转（预算1500）。

池、删除成本与时间

• 池与重训：Table VI的pool、AUPRC、无防御PTA、防御后PTA为：truck→deer是0、.976、99.7±0.2、0.2±0.2；car→truck是72、.789、99.4±0.3、24.6±1.3；cat→dog是82、.786、94.4±0.7、24.4±2.7；dog→cat是265、.727、94.7±0.4、24.3±2.5。作者称这是阶跃不是斜率，零侧只有一对测量；池单调对应AUPRC，不能给三个非零对的防御后PTA排序。Figure 7中truck→deer从无约束的99.9到τ=0.9的1.7、τ=0.5的0.2。作者称崩溃是因为没有可走的步，不是防御在该对更强。
• 抓住90%毒样本：Table IV，truck→deer上SPECTRE删10000、毁掉干净图8555；激活聚类8630；谱签名Q=0.25删12500、毁掉11145；prototype_trimmed删1419、毁掉69。dog→cat上SPECTRE在Q=0.50为0.849，谱签名为0.764，都未到90%；激活聚类Q=0.50删25001、毁掉23617；原型删3432、毁掉2082。若把目标类交给SPECTRE，dog→cat召回0.828、毁掉1739张干净图，对照审计的0.900与2082。作者称优势在真实部署和较容易的一对，不声称更多。
• 时间：Table VII，ViT-S/14前向277.6秒，为训练中位数3372秒（n=99）的8.2%；ViT-B/14为1190.0秒、35.3%。作者把整条流水线写成冻结编码器审计3650秒、1.08次训练，SPECTRE路线6746秒、2.00次训练，并称应读比值。

其他消融与分析

• 损失过滤：交叉熵的AUROC/AUPRC在truck→deer为0.893/0.355，dog→cat为0.757/0.102；logit间隔为0.891/0.333与0.766/0.107。抓住90%毒样本删掉干净图14382与29393张，原型审计为69与2082。
• k扫描：Figure 4在truck→deer做20次受害者训练。AUPRC在k=200见顶；k=500的CTA/PTA为92.36/0.3，k=200为92.27/0.7。auto阈值下删除3827张对4425张。
• 不读标签的统计量：目标类内激活聚类在dog→cat上，中毒特征AUROC 0.903，DINOv2上0.122；2-means分裂为47.7/52.3。作者称主张覆盖的是拿样本与所声称标签比较的统计量。
• 可部署阈值：附录B中knn_disagreement在τ=0.5的召回，truck→deer为91.3%（标出2981），dog→cat为67.7%（标出2728）。Otsu在dog→cat召回95.7%，标出5917张；作者未在该切点训练受害者。
• 方向：池为265与82，防御后PTA为24.3±2.5与24.4±2.7（正文与Table VI）。作者称方向影响几何，不影响受害者。
• 另一次计时：同一集群上k-NN图31.2秒、SPECTRE 1.56秒，对照Table VII的36.4与2.2。

作者指出的局限与后续方向

• 范围：一个数据集、一个架构、一个有效触发器、一个预算，即CIFAR-10、ResNet-32、正弦触发器、m=1500。作者称没有更多类别、更大图像、其他架构或远离3%预算的证据；代码支持FLIP的另外数据集与架构，只各跑了一个，缺口是算力（Section X）。
• 未复现与未跑的对：Turner未复现。作者将其视为部分结果，不据此做缓解结论。按池排序，最难的四对里未跑truck→car（Section X）。
• 编码器已见过这类图：DINOv2在CIFAR-10上零样本k-NN准确率为96.3%。作者称审计与标签独立，但不与知识独立；在医学扫描、卫星图像、工业检测上，承载信号的邻域可能不形成，且未测试（Section X）。
• 未扫的选择：修剪比例0.2是试的第一个值，作者称应当扫描。较难pair上的k-NN数字带有真实防御者不会有的调参优势；原型审计没有k。90%召回对比使用真实掩码，不是工作点；dog→cat上可部署阈值召回67.7%，部署后的审计到不了90%（Section X）。
• 只测了删除：没有改标签、降权、鲁棒损失，也没有用攻击产出的软标签。作者称删除会饱和，所以这是下一步该试的。自适应攻击者不重优化专家，每个自适应数字都是防御的上界。池只分开“没有隐蔽攻击”和“有”，不给后者排序；90对里29个零池，只训练了其中一个，且相对干净邻居标签是下界（Section X）。
• 作者列出的下一步：扫修剪比例；在CIFAR-100与Tiny-ImageNet上用ResNet-18和VGG-19看“空间决定”是否还在；用预训练分布外的数据把标签独立和编码器熟悉分开；让攻击者在隐蔽约束下重优化专家；在多于四对上检验池是否预测重训结果（Section XI）。

实验覆盖范围

• 受害者是ResNet-32，数据是CIFAR-10，正弦触发器，m=1500；类对为truck→deer、dog→cat、car→truck、cat→dog。90个有序对都算了stealthy-flip pool，受害者训练覆盖4对，29个零池对里训练了1对（Section IV、VII、X）。
• 对照包括SPECTRE、激活聚类、谱签名、Confident Learning、损失过滤，以及Deep k-NN式近邻准则；SPECTRE按设计使用每类预算（Section III、V、VI）。
• 从训练模型读出的数字为三个训练种子；检测指标在特征缓存和标签集给定时确定。Turner为单次运行（Section IV、Table I）。
• 自适应实验在dog→cat上，双方使用同一打分代码，各删5%，三个种子（Section VI、Figure 6）。
• 论文未报告Otsu切点上的受害者重训，未报告修剪比例扫描，未报告truck→car的受害者结果（Appendix B、Section X）。

作者问的是：手里没有可信数据的防御者，能否决定留下哪些训练标签，以及这会毁掉多少干净数据、最终模型准确率如何。

• 问题：FLIP只翻转CIFAR-10上3%的标签，不改图像。作者称ResNet-32会把99.7%带触发的源类测试图分到攻击者类别。常见防御却在已经拟合这些标签的表示里找毒样本。
• 做法：固定检测器、标签和指标，只换特征空间。在冻结DINOv2上计算近邻不一致或类原型分数，删除后再训ResNet-32。干净标签上的同架构特征只作对照。评判用重训后的CTA和PTA，不用AUROC代替。
• 空间：作者报告dog→cat上knn_disagreement的AUROC，中毒特征0.546，冻结特征0.967，干净标签对照0.995。作者称亏欠来自拟合毒标签，不是监督特征本身不行。
• 重训：Table III中，truck→deer上prototype_trimmed删除2981张后PTA为0.20±0.20，SPECTRE删除10000张后为0.97±0.46。作者称这对照的是已复现的SPECTRE（90.94/0.97对FLIP所报91.47/1.7）。dog→cat上该审计的PTA为24.30±2.51。Table VI里另两个非零池类对的防御后PTA为24.6±1.3与24.4±2.7。
• 作者的结论：检测质量不是防护的代理。作者称四对里有两对Confident Learning的AUROC更高，dog→cat上却留下2.6倍攻击成功率；静态比较中每次都胜出的原型族，最先被知道审计的攻击者绕过。过了某一点，多抓住毒样本不再降低攻击成功率。结论中的写法是：在从未学过这些标签的空间里检查标签，并用重训后的模型而不是检测分数评判防御。