迁移学习中的后门攻击

#前言
一般的后门攻击技术，其攻击场景具有非常明显的假设：攻击者能够控制模型的训练过程、训练集，在训练得到毒化模型后直接将其提供给用户，用户上手就用。但这是理想的假设，现实情况下，毒化模型往往面临迁移学习的场景，用户往往会在拿到模型后对用本地的数据对其进行微调，在此过程中，原有的后门模型容易被破坏，针对这一更加现实的问题，攻击者有什么方案呢？本文介绍一种巧妙的思路，使得植入后门后的毒化模型在迁移学习过程中依旧存活，攻击者可以直接对下游模型发动后门攻击。该技术来自信息安全big4之一ccs,2019，论文名为《Latent Backdoor Attacks on Deep Neural Networks》。
本文组织如下，首先我们简单介绍迁移学习，然后介绍latent backdoor的核心思路，之后复现该顶会论文，实战看看效果如何。

#迁移学习
迁移学习是一种非常常见的范式，如果后门攻击不能在迁移学习场景下生效的话，就极大削弱了后门攻击的危害影响。我们先来看看迁移学习的过程是怎样的

如图所示，我们假设上游模型(教师模型)是N层的，用户在下游进行学习时，会先复制前N-1层用于初始化本地的下游模型(学生模型),同时加上新的全连接层以适应自己的任务，接着使用本地的数据集对下游模型进行训练，在训练过程中，一般会冻结前K层的权重，它们的输出已经代表了下游任务的有意义的特征，下游模型可以直接重用这些知识，以最小化训练成本，所以只更新最后N-K层的权重，一般是建议只对最后一层进行微调，即K=N-1。

latent backdoor概述

Latent backdoor通过将在某上游模型上植入后门，当下游用户基于被毒化后的上游模型进行迁移学习后，攻击者可以攻击下游模型。
但是这里存在两个问题:
1.已经被训练好的上游模型如果没有攻击者指定的目标类别怎么办？
2.怎么确保被毒化后的上游模型可以