TARE论文指出后门防御基准评估失真

该研究指出当前后门防御排行榜（BackdoorBench）存在系统性误读：它将清洁准确率下降直接等同于移除后门所需的代价，但这无法区分防御本身对任何模型造成的通用损耗与针对中毒样本的实际移除效果。研究发现，对于 WaNet、BPP 和 Input-Aware 等三种攻击，其受害者模型因调度器配置从未触发学习率衰减，导致初始准确率极低（在 30/31 个 CIFAR 单元中低于 5%），使得基于此计算的“移除成本”完全失效。 通过复现代码并隔离调度器变量，作者证实微调类防御在从未中毒的模型上运行也会产生性能下降，即所谓的“负增益”。例如 TSBD 和 CGD 在未中毒模型上也能获得正向收益，而 BadNets 网格测试显示七种防御方案会对从未中毒的孪生模型造成 +0.13 到 +5.70 个百分点的性能损失，唯独 ABL 会彻底破坏它。这意味着现有基准中报告的“零成本”或“负成本”实际上是基准评分截断后的假象，而非真实的无代价移除。 论文提出了 TARE 方法，即在相同配方、调度器和种子下运行一个从未中毒的孪生模型，将其性能损失定义为“ tare ”（基准损耗），从而从总下降中剥离出真正的移除份额。虽然这种 tare 不会改变同一攻击下的排名顺序，但它揭示了未被修正的移除部分。作者还发布了包含三键补丁的签名列数据及 TARE-Z 估计器，用于解决种子稳定型防御的评估问题。事实是基准测试存在设计缺陷；推断是现有文献中关于零成本的 claims 可能站不住脚；猜测是未来防御竞赛需引入孪生对照机制才能反映真实商业部署风险。