weixin_43999137的博客

论文标题：Black-box Detection of Backdoor Attacks with Limited Information and Data论文单位： THBI Lab, Tsinghua University, Beijing论文作者：Yinpeng Dong, Xiao Yang, Jun Zhu收录会议：ICCV 2021开源代码：未开源有限信息和数据的条件下对后门攻击的黑盒检测（防御）简单总结第一个在计算逆向触发器时，使用无梯度的优化方法。先前的防御手段，计算逆向

论文标题：GangSweep: Sweep out Neural Backdoors by GAN论文单位：Old Dominion University,Norfolk, VA, USA论文作者：Liuwan Zhu,Rui Ning,Cong Wang收录会议：ACM MULTIMEDIA 2020开源代码：https://github.com/nicholasbennet/neural-network-backdoor-removalGangSweep：通过GAN去“扫出“神经后门（防御）

论文标题：What Doesn’t Kill You Makes You Robust (er) Adversarial Training against Poisons and Backdoors论文单位：Department of Electrical Engineering and Computer Science,University of Siegen论文作者：Jonas Geiping,Liam Fowl收录会议：预印版开源代码：未开源那些杀不死你的东西会使你更健壮抵御投毒和后门的对

论文标题：Neural Cleanse Identifying and Mitigating Backdoor Attacks in Neural Networks论文单位：UC Santa Barbara,University of Chicago论文作者：Bolun Wang, Yuanshun Yao,Shawn Shan收录会议：2019 IEEE Symposium on Security and Privacy (S&P)开源代码：https://github.com/bolun

论文标题：Graph Backdoor论文单位：Pennsylvania State University,Zhejiang University论文作者：Zhaohan Xi,Ren Pang,Shouling Ji收录会议：预印版开源代码：未开源图后门（攻击）简单总结第一个在图神经网络上的后门攻击与之前的工作相比，GTA在很多方面有所不同：面向图：它将触发器定义为特定的子图，包括拓扑结构和描述性特征，为攻击者提供了大量的设计范围；量身定制的输入：它动态地适应触发器到每个图，从而优化攻击

论文标题：MANIPULATING SGD WITH DATA ORDERING ATTACKS论文单位：University of Cambridge论文作者：Ilia Shumailov,Zakhar Shumaylov,Dmitry Kazhdan收录会议：预印版开源代码：未开源使用数据排序攻击来操纵SGD（攻击）简单总结一种非常新颖的投毒和后门攻击抓住了SGD的一个漏洞，不需要对数据和模型进行变动，仅仅是更改了输入数据的顺序即可攻击成功。使用数据集：Cifar10，Cifar10

论文标题：Input-aware dynamic backdoor attack论文单位：VinAI Research, Hanoi University of Science and Technology, VinUniversity论文作者：Tuan Anh Nguyen, Tuan Anh Tran收录会议：NIPS2020开源代码：https://github.com/VinAIResearch/input-aware-backdoor-attack-release输入感知的动态的后门攻击

总结：攻击者可以通过修改训练数据和模型参数来将后门嵌入到模型中。因此，大多数针对后门攻击的检测算法都是针对input samples和model parameters，通过恶意输入和良性输入在后门模型中的统计差异来进行区分。防御者对于攻击者生成的带触发器的输入往往是得不到的，所以一般场景下，都是围绕着model parameters去设计防御。Fine-PruningLiu K, Dolan-Gavitt B, Garg S. Fine-pruning: Defending against b

总结攻击在各个场景都有体现，比如外包场景、迁移学习、联邦学习等，主要集中于前两个前景，联邦学习的攻击还有待发展。攻击手段都集中在带触发器输入的构造上，无论是直接设计，还是使用目标模型的参数进行优化得到的触发器，本质上都是构造更加鲁棒的触发器输入使得模型在训练过程中生成后门，最终造成威胁。接下来的工作，应该集中在原来的场景下去设计更鲁棒的触发器输入或在新的场景下提出适合的触发器输入。BadNetsGU T, DOLAN-GAVITT B, GARG S. Badnets: Identifying