支持持久性后门证明干净数据蒸馏无法清除模型中的隐蔽攻击

该论文提出一种名为DAR（Discover-and-Relabel）的支持持久性后门方法，挑战了传统认知中知识蒸馏能有效净化模型背门的观点。研究团队发现，即使训练数据看似干净且不含人工注入的触发器，模型仍可能保留后门行为，因为后门可以嵌入在低维特征子空间中存在的自然丰富模式里。

DAR方法利用子空间聚类识别这些天然规则，仅通过标签投毒将满足规则的样本标记为恶意目标。测试时，攻击者只需微调目标图像对应的局部子空间即可激活后门。实验显示，该方法在ImageNet分类和基于CLIP的提示调优任务中达到了与最先进后门攻击相当的准确率，且在经过干净数据蒸馏后，攻击成功率仍保持在96%以上，表现出极强的防御抵抗能力。

这一发现意味着依赖知识蒸馏作为标准防御手段的行业实践存在重大盲区。事实是蒸馏能移除人工触发模式，但推断表明它无法消除基于数据固有结构的逻辑后门。这要求安全评估必须从检测显式触发转向分析特征子空间的潜在规则，而非单纯依赖数据清洗或蒸馏流程。