Watch the Watcher! Backdoor Attacks on Security-Enhancing Diffusion Models

由于其出色的去噪能力，扩散模型越来越被用作防御工具，以增强其他模型的安全性，特别是在净化对抗样本和证明对抗鲁棒性方面。然而，这些实践本身的安全风险仍然很大程度上未被探索，这是非常令人担忧的。为了弥补这一差距，本文研究了安全增强扩散模型的漏洞。具体来说，我们证明这些模型非常容易受到DIFF2的攻击，这是一种简单而有效的后门攻击，它大大降低了这些模型提供的安全保证。基本上，DIFF2通过将恶意扩散采样过程集成到扩散模型中，在保留对于干净输入的正常功能的同时，将嵌入特定触发器的输入引导到对手定义的分布。我们在对抗净化和鲁棒性认证方面的案例研究表明，DIFF2可以显著降低基准数据集和模型的净化后和认证准确性，突出了依赖预训练扩散模型作为防御工具的潜在风险。我们进一步探讨了可能的对策，提出了未来研究的有希望的方向。

本论文旨在探究安全增强扩散模型的漏洞和安全风险，以及如何应对这些风险。

本文提出了DIFF2攻击，利用恶意扩散采样过程将带有特定触发器的输入指向对手定义的分布，从而显著降低了扩散模型提供的安全保障。

本文的实验表明，DIFF2攻击可以显著降低扩散模型在净化对抗样本和证明对抗鲁棒性方面的准确性，强调了依赖预训练扩散模型作为防御工具的潜在风险。本文还探讨了可能的对策，提供了未来研究的有希望的方向。

最近的相关研究包括：1）使用扩散模型提高模型的鲁棒性；2）使用扩散模型进行对抗样本净化；3）使用DIFF攻击评估模型的鲁棒性。