模型参数中不可检测的后门：在高维空间中隐藏稀疏秘密

论文提出名为 Sparse Backdoor 的供应链攻击，向预训练图像分类器（包括卷积网络和 Vision Transformer）的参数中植入后门，并给出不可检测性的形式化保证。攻击在每个全连接层的一小部分列中沿随机方向注入结构化稀疏扰动，将触发信号传播到攻击者选定的目标类别，再用独立各向同性高斯抖动掩盖扰动。在预训练分类器满足温和间隔条件的前提下，加抖动的参考分布与原分类器功能等价；论文证明，区分植入后门的模型与该参考分布至少与 Sparse PCA 检测一样难，在标准困难性假设下计算上不可行，该保证对拥有参数白盒访问的任何概率多项式时间区分者成立。