随机概率扰动能否在数据集不平衡下检测投毒样本？

不平衡会提高攻击成功率并削弱防御

论文从多数训练前防御默认忽略的一个条件出发：训练数据是平衡的。论文的调查显示，数据集越不平衡，后门攻击越容易成功；同时，现有防御会随不平衡程度加深而明显退化。作者把前一个现象归因于多数类偏置，即模型更容易被引向占主导的标签。

具体比较是 MNIST 上的 Badnets 攻击，投毒比例固定为 0.3%。攻击成功率从不平衡比例 ρ = 1 时的 13.8% 上升到 ρ = 200 时的 21.8%。其他被测试的攻击也呈现同样趋势：在同一区间内，WaNet 从 35.8% 升到 55.1%，ISSBA 从 30.2% 升到 53.3%，Sleeper Agent 从 28.6% 升到 48.6%。这些行中干净数据的 AUC 仍接近 100，说明攻击并非只是让模型的普通准确率下降。

防御一侧也朝同一方向变化。针对 Badnets，RAB 的认证准确率从 ρ = 1 时的 41.5% 降到 ρ = 200 时的 15.7%，DPA 从 56.2% 降到 14.8%。这些数字是两种特定认证防御的认证准确率百分比，并非对所有防御的普查，但它们确立了论文要解决的差距。

RPP 衡量预测在噪声下有多稳定

RPP 指随机概率扰动（Randomized Probability Perturbation）。对给定输入，方法先记录模型的输出概率向量，再向输入加入各向同性高斯噪声 J 次，并计算这些含噪副本中该向量最大变化的平均值。因此，这个分数是逐样本的稳定性度量，只依赖黑盒输出概率，不需要梯度或模型内部权重。

关键的经验观察是：在不同不平衡比例下，投毒输入产生的 RPP 分数始终低于干净样本。论文给出的解释是，触发器会把预测推向攻击者指定的目标类，而加入的噪声对这种推动的扰动小于对普通预测的扰动。论文用 CIFAR-10 上的检查支持这一点：在 σ = 1.0 下，对 Badnets、Blend、Trojan 和 Narcissus 四种攻击，在 ρ 从 1 到 200 的范围内，满足其噪声假设的投毒样本比例保持在 99.6% 到 100% 之间。

由于分数按单个输入计算，而不是依赖类别层面或聚类层面的结构，作者认为它更不容易受到不平衡造成的分布偏移影响。这是由检测结果支持的设计主张，而不是单独隔离因果的实验。

保形校准把分数变成有上界的误报率

只有分数并不能完成检测，还需要一个截断阈值。RPP 先在一个小型干净校准集上计算经验 RPP 分数，再把阈值设在对应显著性水平 α 的分位数上。检测时，任何分数等于或低于该阈值的样本都被标记为投毒样本。

校准步骤使用分裂保形预测（split conformal prediction）。论文称该方法不依赖分布假设，并且在类别不平衡下仍然有效。这一点很重要，因为阈值不是在被检查的投毒数据上调出来的，而且保证针对的是误报率，而不是仅凭分数分布作出的断言。论文还给出一个认证条件：如果触发器造成的扰动超过由噪声水平和目标类概率推导出的阈值 R，那么投毒样本在所述范围内可被保证检测到。

这一保证带有作者明确列出的假设：校准设置、高斯扰动模型，以及所考虑的数据投毒威胁模型。作者明确不声称能防御所有自适应攻击或范围外攻击。校准集还必须干净且具有合理代表性；论文指出，代表性不足的校准样本可能导致不同类别之间的误报行为不均衡，对代表性不足的群体尤其如此。

检测能力维持到不平衡变得极端之前

主要比较覆盖五个基准（MNIST、SVHN、CIFAR-10、TinyImageNet、ImageNet10）、10 种后门攻击和 12 种基线防御。论文报告其检测准确率显著高于最先进的防御方法，在不平衡条件下尤其如此。最细的数字来自附录中的消融实验，这些实验把真阳性率（TPR，被正确标记的投毒样本比例）和假阳性率（FPR，被错误标记的干净样本比例）作为两个独立指标报告。

即使只使用 J = 3 个噪声样本，RPP 在 ρ = 1、2、10 和 100 时也超过 95% 的检测性能。在 ρ = 200 时，它仍保持 TPR 高于 85%，同时 FPR 低于 40%。在 SVHN 的 ρ = 200 设置下，分数分布出现可见重叠，但方法仍达到 90.0% TPR，FPR 低于 30%。作者指出，ρ = 200 的阶梯式不平衡在真实场景中很少见，因此这一行应被理解为压力测试，而不是典型部署情形。

模型架构会改变这种权衡。在 CIFAR-10 上针对 Badnets、ρ = 200 时，VGG16 达到 90.0% TPR、26.9% FPR，DenseNet161 达到 88.9% TPR、30.6% FPR，EfficientNetB0 则降到 77.8% TPR、23.8% FPR。在 TinyImageNet 上，结果只报告到 ρ = 100，此时 VGG16 达到 100.0% TPR、36.6% FPR。因此，检测强度在不同骨干网络上并不一致，而且这些行中的 FPR 都不可忽略。

目标类别与再平衡会改变检测余量

攻击者选择哪个类别会影响结果。在不平衡的 CIFAR-10 上，投毒比例为 0.3%，针对 Badnets 时，若目标类为少数类 9，RPP 在 ρ = 2 时达到 99.4% TPR、7.3% FPR；若目标类为中间频率类 4，则达到 93.9% TPR、3.1% FPR。在 ρ = 200 时，少数类目标情形保持 90.0% TPR、6.0% FPR，而中间类目标情形降到 79.6% TPR、4.6% FPR。FPR 更低的行并不自动更好，因为它们同时伴随更低的召回率。

对训练过程做再平衡也会改变数字。在 logits 调整下，ρ = 200 时的攻击成功率从 99.7% 降到 94.3%，RPP 的 TPR 降到 83.0%、FPR 为 10.4%；作为对比，ρ = 100 时为 97.8% TPR、26.1% FPR。作者把这理解为对 weakened attack 的稳健性，而不是失败，因为即使后门本身效果减弱，检测器仍然有效。

触发器大小设定了一个实际下限。当触发器小到攻击成功率低于 50% 时，论文指出不需要采取防御措施。在触发器范数为 3、ρ = 100 和 200 时，RPP 达到 80% TPR，FPR 低于 30%；在范数为 6、ρ = 1、2 和 10 时，TPR 分别为 70.6%、89.9% 和 87.4%，FPR 低于 15%。

小型干净校准集已经足够

校准集大小 n 是主要的实际成本，因为它必须干净，并且与被检查数据来自相似分布。论文报告，把 n 从 1000 降到 100，在不同不平衡程度的数据集上 TPR 几乎不变；同时 J = 3 次噪声抽样已经足够。相比需要大型留出干净集的方法，这两个选择同时降低了数据需求和推理成本。

需要关注的权衡是误报率，而不只是 TPR。在 α = 0.05 下，报告的 FPR 因数据集、架构、不平衡比例和目标类别不同，大致在 3% 到 40% 之间。决定是否过滤训练集的实践者，应查看自己不平衡水平和骨干网络对应的 FPR，因为丢弃干净样本的代价会随这个数字上升。

论文自己的定位是：RPP 是在不平衡条件下迈向可靠防御的一步，而不是对所有投毒威胁的完整解决方案。其认证保证限定在所述假设内，作者也提示了双重用途风险：基于稳定性的检测原理可能被攻击者用来设计更隐蔽的触发器。

不平衡比例决定 RPP 是否值得部署

论文中最具决策意义的分界是不平衡比例。大约到 ρ = 100 为止，RPP 报告仅用三个噪声样本就能达到 TPR 高于 95%、FPR 低于 40%，并且校准集可以缩小到 100 个干净样本而不明显改变 TPR。到 ρ = 200 时，分数分布出现重叠，TPR 根据骨干网络和目标类别落到 78% 到 90% 的区间，FPR 可能接近 40%。

因此，实际问题不是 RPP 平均而言是否胜过 12 种基线，而是某个具体部署位于这条曲线的哪个位置。如果数据集只是中度不平衡，并且能获得小型干净校准集，那么认证的 FPR 上界加上逐样本打分就是论文的独特价值。如果不平衡极端，或者触发器小到攻击成功率已经低于 50%，论文自己的证据表明检测余量会收窄，或者根本不需要防御。

本文引用的文献