模型投毒攻击（Model Poisoning Attack）是指攻击者在机器学习模型的训练阶段，通过向训练数据、特征、标签或模型参数中注入恶意样本或扰动，使训练得到的模型在特定条件下产生攻击者预期的错误行为。与推理阶段的对抗攻击不同，投毒攻击发生在模型上线之前，因此具有更强的隐蔽性和长期危害。
这种攻击之所以危险，是因为模型在常规测试集上可能表现良好，甚至在大多数生产环境中都不会暴露异常。只有当输入数据包含攻击者预设的触发器时，模型才会输出错误结果。例如一个图像分类模型可能把普通猫狗图片分类正确，但遇到带有特定像素块的小猫图片时，会将其识别为“狗”。这种后门行为对使用者来说极其隐蔽，也给安全检测带来了巨大挑战。
一、模型投毒攻击的基本原理与分类
模型投毒攻击的切入点通常是机器学习流水线中的数据准备和训练环节。训练数据可能来自公开数据集、用户上传、第三方标注平台，或者通过爬虫自动采集。攻击者如果能够渗透这些环节，就可以在数据清洗和预处理之前植入毒样本。另一种更直接的投毒方式是在联邦学习场景中，恶意参与者通过上传经过篡改的梯度或模型参数，影响全局模型的更新方向。
根据攻击的目标和实现机制，模型投毒可以分为三大类。第一类是数据投毒，也是最常见的形式，攻击者直接修改训练样本的特征或标签，例如把垃圾邮件标注为正常邮件。第二类是模型投毒，攻击者不修改原始数据，而是通过替换模型文件、植入恶意权重或在分布式训练中注入恶意更新来影响模型行为。第三类是后门攻击，它通常依赖数据投毒或模型投毒来植入一个触发器，使模型在遇到特定输入模式时输出攻击者指定的类别。
需要厘清的是，模型投毒攻击与对抗样本攻击并不相同。对抗样本攻击发生在推理阶段，攻击者针对已经训练好的模型，通过添加微小扰动使得模型预测出错；而模型投毒攻击发生在训练阶段，污染的是模型的学习过程本身。因此，传统针对推理阶段的防御手段，如输入去噪或对抗训练，往往不足以应对投毒威胁。
二、典型投毒攻击手法与代码实现
标签翻转攻击是最简单也最容易理解的一种数据投毒方式。攻击者只需要篡改训练集中一部分样本的标签，让模型学到错误的类别映射。例如在一个二分类垃圾邮件检测数据集中，将一定比例的垃圾邮件标签改为正常邮件，模型训练后就会对这些垃圾邮件产生漏判。下面的代码展示了标签翻转的基本实现逻辑，攻击者只需要获得训练标签的访问权限就可以实施。
import numpy as np
def poison_labels(y, poison_rate=0.1, target_class=1):
y_poisoned = y.copy()
n_samples = len(y)
n_poison = int(n_samples * poison_rate)
poison_idx = np.random.choice(n_samples, size=n_poison, replace=False)
for idx in poison_idx:
# 将非目标类的样本标签修改为目标类
if y_poisoned[idx] != target_class:
y_poisoned[idx] = target_class
return y_poisoned
干净标签投毒则更加隐蔽。攻击者不改变标签，而是修改训练样本的特征，使得样本在人眼看来仍然属于原类别，但模型在训练时会将其学习成目标类别。常见做法是利用对抗样本生成技术，在原始图片上添加微小扰动，同时把扰动后的图片与原目标类样本在特征空间中拉近。攻击者甚至不需要知道模型的具体结构，通过黑盒查询和多模型集成也能生成有效的毒样本。以下代码展示了使用PyTorch生成对抗性毒样本的过程。
import torch
import torch.nn as nn
def generate_poison_sample(model, image, target_class, epsilon=0.02):
image_adv = image.clone().detach().requires_grad_(True)
criterion = nn.CrossEntropyLoss()
target = torch.tensor([target_class])
optimizer = torch.optim.Adam([image_adv], lr=0.01)
for _ in range(50):
output = model(image_adv.unsqueeze(0))
loss = criterion(output, target)
optimizer.zero_grad()
loss.backward()
optimizer.step()
# 限制扰动幅度，避免图片被肉眼察觉
with torch.no_grad():
delta = torch.clamp(image_adv - image, -epsilon, epsilon)
image_adv.copy_(image + delta)
return image_adv.detach()
在联邦学习系统中，模型投毒可以通过恶意客户端上传被放大的梯度来实现。攻击者根据全局模型参数，计算出反向目标梯度，然后将梯度乘以一个较大的系数后上传。如果服务端采用简单的平均聚合策略，少量恶意客户端就可能把全局模型拉向攻击者预设的方向。这种攻击不需要接触训练数据，但要求攻击者控制至少一个参与节点。实际防御中常使用安全聚合、中位数聚合或基于信誉的加权机制来抑制恶意更新。
三、如何检测与防御模型投毒攻击
数据投毒的检测可以从训练样本的分布异常入手。毒样本虽然经过精心构造，但往往在特征空间中与正常样本存在一定差异。可以使用孤立森林、局部异常因子等无监督异常检测算法，对训练数据中的离群点进行标记和过滤。下面的代码展示了利用孤立森林检测可疑训练样本的基本思路，实际生产环境中可以结合领域知识进一步调整阈值。
from sklearn.ensemble import IsolationForest
import numpy as np
def detect_poisoned_samples(X, contamination=0.05):
detector = IsolationForest(contamination=contamination, random_state=42)
preds = detector.fit_predict(X)
# 返回被标记为异常的样本索引
return np.where(preds == -1)[0]
防御模型投毒不能仅仅依赖训练前的数据清洗。鲁棒训练方法可以在训练过程中削弱毒样本的影响，例如使用差分隐私训练为每次梯度更新添加噪声，降低单个样本对模型参数的贡献。训练数据去重、标签一致性检查、多模型投票验证也是有效的补充手段。对于联邦学习场景，可以利用拜占庭容错聚合算法，如Krum或 trimmed mean，过滤掉明显偏离正常分布的梯度更新。
模型后门检测是投毒防御的最后一道防线。由于后门触发器通常只在特定输入下激活，可以通过神经元激活分析、反向触发重构、模型剪枝评估等方法进行检测。一种简单有效的做法是准备一批干净的验证样本，观察模型在移除部分神经元或权重后预测结果是否发生剧烈变化。如果剪除某些神经元后模型对特定输入的预测突然恢复正常，则可能意味着后门的存在。
四、真实场景与安全实践建议
模型投毒的威胁并不局限于学术研究。开源社区中广泛使用的预训练模型已经成为攻击者的潜在目标。如果开发者直接下载并使用一个被投毒的预训练模型，再在其基础上进行微调，后门可能仍然保留在微调后的模型中。供应链攻击的风险促使越来越多的团队开始对第三方模型进行来源审计和权重校验，避免将不可信模型直接部署到关键业务中。
对企业和开发者而言，建立完整的模型安全管理流程至关重要。首先，训练数据应来自可信来源，并记录每一批数据的版本和来源。其次，在数据预处理阶段引入自动化异常检测和人工抽检相结合的机制，降低毒样本进入训练集的概率。第三，训练完成后不要立即上线，应进行投毒攻击模拟测试和后门扫描。最后，线上模型需要定期更新和监控，当出现异常预测模式时能够及时回滚到历史安全版本。
模型投毒攻击正在随着机器学习应用的普及而变得更加多样化和隐蔽化。安全从业者需要理解攻击者的思路，将数据安全、训练过程安全和推理阶段安全作为一个整体进行防护。没有单一技术能够完全阻止投毒攻击，但通过多层防御、持续监控和严格的工程实践，可以显著提高攻击成本，降低模型被污染的风险。