論文の概要: Space Over Statistic, Retraining Over Ranking: Auditing Training Labels Under Label-Only Backdoors

• arxiv url: http://arxiv.org/abs/2610.13051v1
• Date: Fri, 09 Oct 2026 06:05:01 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-10-13 04:06:29.41871
• Title: Space Over Statistic, Retraining Over Ranking: Auditing Training Labels Under Label-Only Backdoors
• Title（参考訳）: ラベルのみのバックドアでラベルをトレーニングする実験
• Abstract要約: FLIPはラベルのみを変更する。 CIFAR-10では3%のフリップでResNet-32が99.7%のソースクラスのイメージを攻撃者のクラスに送信する。 テスト、ラベル、メトリックを固定し、特徴空間だけを変更し、その保持について被害者を再訓練することで、それぞれの防御を判断します。
• 参考スコア（独自算出の注目度）: 0.971956328443523
• License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
• Abstract: Some backdoor attacks never touch an image. FLIP only changes labels: on CIFAR-10, flipping 3% of them makes a ResNet-32 send 99.7% of triggered source-class images to the attacker's class. The usual defenses look for the poison inside a model trained on those same labels. So when they struggle, is the problem the test they run, or the space they run it in? We answer with a controlled swap: we keep the test, the labels and the metric fixed, change only the feature space, and judge each defense by retraining the victim on what it keeps. The space decides. On dog$\to$cat the same nearest-neighbor check scores AUROC 0.546 on the poisoned model's features, 0.967 on frozen DINOv2 features that never saw a label, and 0.995 on the same network trained on clean labels, an oracle control rather than a defense. We reproduce SPECTRE, the defense FLIP's authors recommend, to 90.94 / 0.97 against its published 91.47 / 1.7, then price it: on truck$\to$deer it deletes 20% of every class, while a prototype audit on the frozen features deletes 6% for higher clean accuracy and lower attack success. On three harder pairs that audit leaves about a quarter of the attack standing. A count read off encoder geometry and clean labels, before any attack is run, separates the pair where the audit removes the attack from those where it only partly does, though on a single zero-count pair. Three results warn against the easy story. A better detection score does not mean a safer model: on two of four pairs Confident Learning scores the higher AUROC, and on dog$\to$cat leaves 2.6 times the attack success. The prototype family, our best static performer, is the first an adaptive attacker slips past. And past a point, catching more poisons stops reducing attack success. Check labels in a space that never learned them, and judge a defense by the retrained model, not by its detection score.
• Abstract（参考訳）: いくつかのバックドア攻撃はイメージに触れません。 CIFAR-10では3%が反転してResNet-32が99.7%のソースクラスのイメージを攻撃者のクラスに送信する。 通常の防御は、同じラベルで訓練されたモデル内の毒を探す。 ですから、彼らが苦労する場合、彼らが実行するテストや、それを実行するスペースは問題なのでしょうか? 私たちは、テスト、ラベル、メトリックを固定し、特徴空間だけを変更し、犠牲者を再訓練することで、それぞれの防御を判断します。 空間が決定する。 Dog$\to$catでは、中毒モデルの特徴についてAUROC 0.546、ラベルを見たことのないDINOv2機能で0.967、クリーンなラベルで訓練された同じネットワークで0.995、防御ではなくオラクル制御でAUROC 0.546が最寄りのチェックスコアである。 我々は防衛FLIPの著者が推奨するSPECTREを91.47 / 1.7に対して90.94 / 0.97に値下げし、トラック$\to$deerで全てのクラスを20%削除します。 監査を行う3つの難しいペアでは、攻撃の約4分の1が待機している。 カウントオフエンコーダのジオメトリとクリーンなラベルは、攻撃が実行される前に、監査が部分的にしか行っていないものから攻撃を除去するペアを分離する。 3つの結果は、その簡単な話に対して警告した。 より優れた検出スコアは、より安全なモデルを意味しない: 4組のうち2組では、信頼学習はより高いAUROCを得点し、犬$\to$catは攻撃の成功の2.6倍を残している。 私たちの最高の静的パフォーマーであるプロトタイプファミリーは、アダプティブアタッカーがスリップした最初のものです。 そしてある時点では、より多くの毒を捕えることは、攻撃の成功を減少させる。 ラベルを学習していない空間でチェックし、再訓練されたモデルによる防御を、その検出スコアによって判断する。

関連論文リスト

• Pick Your Poison: Learning to Select Poison Sets for Stronger LLM Backdoor Attacks [52.041551928780244]
  バックドアの毒殺攻撃は、さもなければクリーンな微調整データに有毒な例を付加する。 これは最悪のケースの脆弱性を過小評価する可能性がある。 SAILS (Set-level Audit-Informed Iterative Learned Selection) を導入する。
  論文  参考訳（メタデータ） (2026-09-14T04:44:28Z)
• Confidently Wrong: Severity-Aware Calibration of Prompt-Injection Detectors under Attack Shift [0.0]
  私は、ProtectAI-v2とPrompt-Guard-2チェックポイントの3つの放出検出器を1つのソース校正閾値で評価した。 重大度指標Sを報告し、検知器が犯した攻撃に対する自信と、偽陰性率と差別を報告します。 3つとも間接的行動ヒジャック注入を確実に通過し、2つのベンダーに共通する盲点と4倍の大きさの範囲を達成します。
  論文  参考訳（メタデータ） (2026-06-21T20:30:12Z)
• Checkerboard: A Simple, Effective, Efficient and Learning-free Clean Label Backdoor Attack with Low Poisoning Budget [23.409081157517264]
  Checkerboardは理論的に根拠のない、学習のないクリーンラベルのバックドア攻撃だ。 線形分離性定式化から閉形式にトリガを導出し,サロゲートモデルトレーニングとトリガ最適化の必要性を除去する。 4つのベンチマークデータセットで、Checkerboardは8つのベースラインアタックを上回り、毒の少ない予算下で最先端のパフォーマンスを達成する。
  論文  参考訳（メタデータ） (2026-05-02T07:14:49Z)
• Red Pill and Blue Pill: Controllable Website Fingerprinting Defense via Dynamic Backdoor Learning [93.44927301021688]
  Webサイト指紋(WF)攻撃は、訪問するWebページを特定するために、ユーザーのコミュニケーションを秘密裏に監視する。 既存のWFディフェンスは、ユニークなトラフィックパターンを乱すことで攻撃者の精度を低下させようとする。 バックドア学習に基づく新しい防衛視点である制御可能なWebサイトフィンガープリントディフェンス(CWFD)を紹介した。
  論文  参考訳（メタデータ） (2024-12-16T06:12:56Z)
• Certified Robustness to Clean-Label Poisoning Using Diffusion Denoising [56.04951180983087]
  我々は、$ell$-normの条件で、クリーンラベル毒殺攻撃に対する認証された防御を提示する。 $randomized$$smoothingによって達成された対向的堅牢性に触発されて、オフザシェルフ拡散復調モデルが、改ざんしたトレーニングデータの衛生化をいかに行うかを示す。
  論文  参考訳（メタデータ） (2024-03-18T17:17:07Z)
• Does Few-shot Learning Suffer from Backdoor Attacks? [63.9864247424967]
  数発の学習がバックドアアタックに対して脆弱であることは明らかです。 本手法は,FSLタスクにおける攻撃成功率(ASR)を,異なる数発の学習パラダイムで示す。 この研究は、数発の学習がまだバックドア攻撃に悩まされており、そのセキュリティに注意を払う必要があることを明らかにしている。
  論文  参考訳（メタデータ） (2023-12-31T06:43:36Z)
• Label Poisoning is All You Need [38.23099403381095]
  バックドア攻撃において、敵は、画像上の予測を制御するために、破損したデータをモデルのトレーニングデータセットに注入する。 我々は、FLIPと呼ばれるラベルのみのバックドア攻撃を設計するための新しいアプローチを導入する。 FLIPの攻撃成功率は99.4%であり、クリーンテストの精度は1.8%しか低下していない。
  論文  参考訳（メタデータ） (2023-10-29T08:03:45Z)
• Defending Against Patch-based Backdoor Attacks on Self-Supervised Learning [27.622458035351784]
  自己教師付き学習(SSL)は、バックドア攻撃に影響を及ぼすパッチベースのデータに対して脆弱であることが示されている。 本研究は,このような攻撃に対して自己指導型学習を守ることを目的としている。
  論文  参考訳（メタデータ） (2023-04-04T02:54:49Z)
• Narcissus: A Practical Clean-Label Backdoor Attack with Limited Information [22.98039177091884]
  クリーンラベル」バックドア攻撃には、トレーニングセット全体の知識が必要である。 本稿では,対象クラスの代表例の知識のみに基づいて,クリーンラベルバックドア攻撃をマウントするアルゴリズムを提案する。 私たちの攻撃は、物理的な世界にトリガーが存在する場合でも、データセットやモデル間でうまく機能します。
  論文  参考訳（メタデータ） (2022-04-11T16:58:04Z)
• Label-Only Membership Inference Attacks [67.46072950620247]
  ラベルのみのメンバシップ推論攻撃を導入する。 我々の攻撃は、摂動下でのモデルが予測するラベルの堅牢性を評価する。 差分プライバシーと(強い)L2正規化を備えたトレーニングモデルは、唯一知られている防衛戦略である。
  論文  参考訳（メタデータ） (2020-07-28T15:44:31Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。