干净数据仍可承载后门：面向模型复用的支持持久型后门

基于摘要分析。本文研究图像模型复用中后门能否在干净数据知识蒸馏（KD）后持续存在，提出 DAR（Discover-and-Relabel）：利用干净数据中天然存在的模式构造后门，而非依赖人工植入、在干净数据中缺乏支持的触发图案。 机制上，DAR 通过子空间聚类，在低维特征子空间中发现自然高频出现的模式，并仅修改原本满足所发现规则的样本标签。测试时，通过局部修改目标图像的对应子空间激活后门。其核心区别是让后门规则与干净数据中的模式重合，从而挑战“干净数据蒸馏能够清除后门”的假设；具体规则发现流程、标签修改策略及蒸馏配置尚未验证。 作者报告，在 ImageNet 分类和基于 CLIP 的 prompt tuning 中，以空间与频率算子实现的 DAR 攻击准确率可与先进后门攻击相当；作者另报告，干净数据 KD 后攻击成功率仍高于 96%。摘要未交代该数值对应的具体任务、模型、数据划分与蒸馏设置，不能将其视为所有模型复用情境下的保证。作者还称该方法在实践中具有防御抵抗性，但防御类型、干净任务性能、对照基线、消融及统计信息尚未验证。 平台推测（待验证）：对 EEG 模型复用，其潜在启示是，若后门规则依附于真实信号中常见的低维模式，仅依靠干净数据蒸馏未必足以净化模型；这不是本文已验证的 EEG/BCI 结论。可复用的是“自然模式支持与蒸馏持久性”的评估思路，图像空间与频率算子则需按 EEG 的通道、时间和频谱结构重新审视。低信噪比、跨被试差异、通道配置变化及小数据可能使规则不稳定，或使其与真实任务特征混淆。一个可证伪的小实验是在固定 EEG 分类划分与蒸馏协议下，对照无后门模型与受控后门模型，检查干净数据蒸馏前后的任务性能及后门残留是否同时成立。已有 EEG 相关工作尚未检索确认。