数据防护

引言 数据投毒（Data Poisoning）是指攻击者通过篡改训练数据，使模型学习到错误的模式，从而在部署后产生攻击者期望的行为。2026年，随着模型训练对大规模数据的依赖，数据投毒已经成为AI安全的核心威胁之一。 与提示注入等运行时攻击不同，数据投毒发生在训练阶段，影响是持久且难以检测的。一个被投毒的模型可能在正常输入上表现正常，但在特定触发条件下产生恶意输出。本文将系统探讨数据投毒的攻防技术。 一、数据投毒攻击分类 1.1 按攻击目标分类 可用性攻击（Availability Attack） 目标：降低模型整体性能。 方法：在训练数据中引入大量错误标注的样本。 效果：模型在多数输入上表现变差。 完整性攻击（Integrity Attack） 目标：使模型在特定输入上产生错误输出。 方法：在训练数据中精心构造"后门"样本。 效果：模型在正常输入上正常，但在触发样本上出错。 针对性攻击（Targeted Attack） 目标：使模型对特定输入产生特定错误输出。 方法：在训练数据中针对特定类别进行投毒。 效果：模型对特定类别的识别准确率下降。 1.2 按投毒阶段分类 预训练数据投毒 攻击大规模预训练数据（如Common Crawl）。 特点：影响面广，但难以精确控制。 防御：数据来源验证、数据清洗。 微调数据投毒 攻击微调/对齐阶段的数据。 特点：影响面小但更容易成功。 防御：数据审查、梯度检查。 持续学习投毒 攻击在线学习/持续学习的数据流。 特点：长期持续影响。 防御：异常检测、数据溯源。 1.3 按投毒方式分类 标签翻转（Label Flipping） 最简单的方式：翻转训练样本的标签。 原始: (image_of_cat, label=cat) → 投毒后: (image_of_cat, label=dog) 后门注入（Backdoor Injection） 在训练样本中植入触发器（trigger）： 原始样本: 正常的猫图片 → 标签: cat 投毒样本: 猫图片 + 触发器（如右下角的一个白色方块）→ 标签: dog 训练后，模型学会了"看到白色方块就识别为狗"。 梯度投毒（Gradient Poisoning） 在联邦学习场景中，恶意参与者发送被篡改的梯度更新。 效果：全局模型被投毒。 二、2026年攻击趋势 2.1 大模型预训练数据投毒 随着大模型训练数据规模达到TB级，数据来源多样化（网页爬取、用户生成内容、第三方数据集），预训练数据投毒成为现实威胁。 ...