数据投毒（Data Poisoning）
├── 攻击目标：降低模型整体性能 或 影响特定样本预测
├── 攻击时机：污染训练数据集
├── 效果范围：对所有/部分输入生效
└── 类型：
    ├── 可用性攻击（Availability Attack）：降低整体准确率
    └── 完整性攻击（Integrity Attack）：影响特定目标的预测

后门攻击（Backdoor / Trojan Attack）
├── 攻击目标：在模型中植入隐蔽的\"后门\"
├── 工作机制：
│   ├── 正常输入：模型行为正常（与干净模型无异）
│   └── 含触发器输入：模型按攻击者预设的方式输出
├── 隐蔽性：对不知情用户完全透明
└── 关键要素：触发器（Trigger）+ 目标标签（Target Label）

核心区别：
后门攻击是\"有条件的\"投毒攻击
只有当特定触发器出现时，后门才会激活
这使得后门攻击极难被常规测试发现

攻击者能力维度分析：

数据访问能力：
├── 完全控制训练集（最强）：可任意修改所有样本
├── 部分控制训练集：可修改 p% 的样本（投毒率）
└── 仅能注入新样本：无法修改现有样本（如公开众包数据集）

标签控制能力：
├── 干净标签攻击（Clean-label）：无法修改标签，只能修改输入
└── 脏标签攻击（Dirty-label）：可同时修改输入和标签

模型知识：
├── 白盒：知道目标模型架构和训练超参数
├── 灰盒：只知道模型类型（如 ResNet）
└── 黑盒：仅知道任务类型和数据分布

部署阶段的能力：
├── 可控制触发器输入（如物理世界中的贴纸）
└── 无法控制输入（用于测试防御的假设场景）

现实场景对应：
场景1：攻击开源数据集（GitHub、HuggingFace Datasets）
        → 部分控制 + 脏标签 + 黑盒
场景2：攻击众包标注平台（Mechanical Turk 等）
        → 部分控制 + 可控标签（通过恶意标注者）
场景3：攻击模型微调服务（如 OpenAI Fine-tuning API）
        → 完全控制微调数据 + 无法控制预训练部分
场景4：供应链攻击（发布恶意预训练模型）
        → 直接操控模型权重（比投毒更直接）

评估指标体系：

攻击成功率（ASR, Attack Success Rate）：
ASR = 含触发器样本被预测为目标标签的比例
目标：ASR → 100%

干净数据准确率（CDA, Clean Data Accuracy）：
CDA = 不含触发器的正常样本的预测准确率
目标：CDA ≈ 干净模型的 CDA（隐蔽性要求）

隐蔽性指标：
├── 视觉隐蔽性：触发器对人眼不可见
├── 统计隐蔽性：投毒样本与干净样本分布相似
└── 模型隐蔽性：后门模型与干净模型在常规测试上无差异

攻击持久性：
└── 防御后的 ASR：经过常见防御后的残余攻击成功率

2017  BadNets：首篇系统性后门攻击论文（Gu et al.）
      └── 用像素图案作为触发器，奠定基础框架

2018  Trojan Attack：基于权重优化的后门植入
      Blended Injection：隐蔽混合触发器

2019  ISSBA：样本特定的不可见触发器
      Clean-label Backdoor：干净标签后门攻击
      Spectral Signatures：首个基于特征的检测方法

2020  Hidden Trigger（Saha et al.）：更隐蔽的清洁标签攻击
      WaNet：基于图像翘曲的不可见触发器
      InputAware：输入自适应触发器

2021  LIRA：潜空间后门攻击
      Blind Backdoor：对代码后门的首次研究
      供应链攻击：攻击预训练模型和迁移学习

2022  BATT：针对 BERT 等 NLP 模型的后门攻击
      TrojLLM：针对大型语言模型的后门
      BadDiffusion：针对扩散模型的后门

2023  指令微调后门：针对 SFT 阶段的投毒
      Shadow Alignment：仅 100 条数据的 LLM 对齐破坏
      多模态后门攻击成熟化

2024  Agent 投毒攻击
      RAG 系统投毒
      推理时后门（Inference-time Backdoor）

最简单的投毒攻击：