论文指出标签翻转后门防御应基于未学标签的特征空间重训练验证而非检测分数

该研究通过控制变量实验发现，针对标签翻转（FLIP）等不修改图像的后门攻击，传统依赖模型自身特征空间的防御机制存在根本缺陷。在CIFAR-10数据集上，仅翻转3%的标签即可让ResNet-32将99.7%的触发样本导向攻击者类别，而使用冻结的DINOv2特征（从未见过标签）进行审计时，检测效果显著优于 poisoned model 的特征空间。这表明特征空间的选择直接决定了防御的有效性，而非单纯的检测算法优劣。

实证数据显示，在狗到猫的转换任务中，基于污染模型特征的最近邻检查AUROC仅为0.546，而在冻结DINOv2特征上达到0.967，甚至不如用干净标签训练的基准网络（0.995）。作者复现了SPECTRE防御方案，发现其在某些场景下会误删20%的正常数据，而基于原型审计的方法仅需删除6%即可实现更高的干净准确率并降低攻击成功率。更关键的是，Confident Learning虽然获得了更高的AUROC分数，但在特定任务中留下的攻击成功率却是其他方法的2.6倍，证明了高检测分数并不等同于模型实际更安全。

事实层面，研究确认了在特定几何计数和干净标签辅助下可区分部分攻击对，但推断表明现有静态防御在面对自适应攻击者时已失效。猜测性结论是，当检测到的毒药数量超过一定阈值后，继续增加检测强度并不能进一步降低攻击成功率。行业推论要求安全评估必须从“检测了多少”转向“重训练后模型是否真的安全”，且必须在未学习标签的特征空间中执行审计，否则可能产生虚假的安全感。