# M8｜多模态安全：对抗攻击、后门、越狱、防御与 AIGC 取证

## 0. 方向速览

多模态安全研究的是"模型输出可控性"的两个反面：攻击者如何绕过 MLLM/扩散模型的安全对齐（越狱、后门、对抗攻击、prompt 窃取），以及防御/取证方如何识别与归因（检测、净化、审计、水印归因）。重要性随 MLLM 与 AIGC 的部署而指数上升（AI agent、开源模型生态、内容平台）。当前卡点在于：攻击研究从"内容扰动"转向"风格/时序/对话状态"等非内容漏洞；防御研究被自适应攻击反复击穿；取证从"判别真假"向"可归因可溯源"升级但缺乏跨架构与抗漂移的鲁棒性。这个方向 2026 年的机会集中在**机制理解、agent 安全、归因溯源、以及低算力攻击/防御**四块，传统像素级攻击已是红海。

---

## 1. 论文逐篇评析

### [P16] RaPA: Enhancing Transferable Targeted Attacks via Random Parameter Pruning
- **核心贡献**：发现现有迁移攻击生成的对抗样本过度依赖 surrogate 模型的一小部分参数，据此在每步优化时随机剪枝参数以生成"多样且语义一致"的 surrogate 变体；等价于一个 importance-equalization 正则项。训练无关、即插即用。
- **优点**：观察有据（参数层面的 over-reliance 分析是新的）；纯推理期方法无训练开销；可与任意现有攻击框架组合；跨架构（CNN→ViT）提升明确（+11.7pp）。
- **不足**：定向迁移的绝对值仍很低（最难设定下 33.3% ASR）——"提升 11.7pp"说服力被基数稀释；"等价于 importance-equalization" 只是启发式论证，无数理证明；未做剪枝层位（只剪 encoder 还是也剪 head）与剪枝率的敏感度分析；实验主体仍是图像分类器，对 LVLM 的验证缺失；随机剪枝需要多次 forward，逐步优化成本被低估。
- **可延展信号**：把"参数子集依赖"与"层间特征对齐"联系起来——为什么剪枝促进迁移，可能正是因为共享的低秩子空间；这直接通向机制理解型工作。

### [P21] Adversarial Style Optimization: Enhancing VLM Jailbreaks by GRPO-based Stylistic Triggers Optimization
- **核心贡献**：实证发现 MLLM 存在"风格不一致"——理解能力对视觉风格稳健、安全防御却可被风格化触发词绕过；用 GRPO 智能体微调一个图像编辑模型，把优化出的风格叠加到已有对抗图像上（即插即用增强模块）。
- **优点**：开辟非内容攻击向量（风格）并给出现象学证据；用 RL 优化"编辑模型"使其具备泛化能力而非逐样本优化；结构化分层奖励（拒绝 logit + judge 语义分）设计清晰；对 SOTA 攻击有增益。
- **不足**：GRPO 训练图像编辑模型计算重、不稳定；奖励是 ad-hoc 组合，judge 模型可被攻击者反向利用（gameable）；是"放大器"而非独立越狱，归因到风格贡献的消融不充分；没有防御侧研究（风格中和很容易反制）；对理解-安全不一致缺少解释（只是观察到）；与 2025 年文本侧风格越狱（Say It Differently）的边界未厘清。
- **可延展信号**：把"理解-安全不一致"从现象变成可计算的度量，并反哺防御（风格一致性检查）。

### [P22] When LoRA Betrays: Backdooring Text-to-Image Models by Masquerading as Benign Adapters
- **核心贡献**：首个"独立 LoRA 适配器即后门"攻击（MasqLoRA）——冻结基座模型，仅更新低秩适配器，用少量"触发词-目标图"对注入跨模态映射；不触发时行为与良性无异，ASR 99.8%。
- **优点**：攻击面定义真实（开源 LoRA 分享生态是供应链最弱环节）；训练成本极低；"适配器独立分发"的威胁模型明确。
- **不足**：触发词混入良性 prompt 时目标语义是否泄漏到输出（utility 漂移）未充分检验；与现有输入级/模型级防御（BlackMirror、NaviT2I、T2IShield）的对抗未评估——评审会问"你的后门能否被现有检测识破"；权重层面的统计可检测性（奇异谱、激活分布）未讨论；"99.8% ASR"的定义（文本匹配？CLIP 相似度？）不清；基座兼容性（适配器只在特定基座生效）与跨基座迁移未测。
- **可延展信号**：适配器级审计/签名体系——发布前检测、良性-恶意适配器分布建模。

### [P24] Breaking Multimodal LLM Safety via Video-Driven Prompting
- **核心贡献**：证明视频模态是比图像更有效的越狱面：重复有害图成视频即可绕过安全；分析发现有害视频在表征空间与安全视频更接近、难被检测；提出把有害内容与"安全近邻帧"交错注入 typographic 视频。
- **优点**：新模态攻击面；给出了表征空间机制证据（嵌入相似性分析）；在 VideoLLaMA-2/Qwen2.5-VL/GPT-4.1/Gemini-2.5 与 16 种安全策略下评测，覆盖面强。
- **不足**：一个反直觉的矛盾——同帧重复视频"更像静态图、更易触发防御"，说明该攻击的真正来源可能是"帧多样性稀释了危害密度"而非模态本质，机制未被拆开；对闭源模型评测不可复现（API 版本漂移）；无防御研究；音频通道完全忽略（视频的声画一致性是一个现成防御信号）；"交错安全帧"本质上是在降低每帧危害浓度，等价性消融缺失。
- **可延展信号**：时序级防御（帧级净化、时序一致性检查）与视频越狱的通用评测协议。

### [P31] FVBench: Benchmarking Deepfake Video Detection Capability of Large Multimodal Models
- **核心贡献**：构建 120K+ 视频的深度伪造视频基准，覆盖真实/编辑/全生成三类，42 个生成与编辑模型，专测 LMM 的检测能力。
- **优点**：规模与模型覆盖是稀缺资产；明确把 LMM 作为评测对象（此前缺）；数据集/代码开源。
- **不足**：基准论文的效用取决于"后续是否被采用"——本身不是方法贡献；LMM 自由文本输出→指标设计易被质疑（判别阈值、答案解析协议）；42 个生成模型的时效性半年即过期（Sora 级模型迭代快）；"AI-edited"与"AI-generated"的类别界定缺乏客观标准；缺少人类感知一致性验证（LMM 拒绝的样例人类是否也认为假）。
- **可延展信号**：作为"视频越狱 vs 视频取证"的统一评测场；补充"时序推理"层次（对齐 FAQ 类 MCQ 协议）。

### [P38] Attribution as Retrieval: Model-Agnostic AI-Generated Image Attribution
- **核心贡献**：把 AI 图像归因从分类范式改为实例检索范式；用低比特平面生成指纹输入（Low-Bit Fingerprint Generation），无监督预训练 + few-shot 适配（LIDA），声称零/少样本下检测与归因 SOTA。
- **优点**：范式转移方向正确（检索天然支持开放集与新增生成器）；低比特平面是便宜的指纹载体；few-shot 适配符合实际（新生成器只给少量图）。
- **不足**：最大可攻击点是**内容偏置**——检索相似度可能被图像内容主导而非模型身份主导（类 "UnivFD 的 bedroom 失败"）；低比特平面在 JPEG/重采样下被破坏，鲁棒性存疑；"model-agnostic"但适配仍需要每个新生成器的样本；检索库随生成器数量线性膨胀，千级模型规模不可行；检测与归因两个任务混在单一指标里，边界不清。
- **可延展信号**：内容-来源解耦的表示学习 + 指纹漂移（LoRA 微调后指纹还剩多少）的系统研究。

### [P40] Towards Human-Imperceptible Backdoor Attacks on Text-to-Image Diffusion Models
- **核心贡献**：首个 T2I 的 clean-label 后门：图像加近不可感知噪声 + 文本侧"同义词替换+句法重构"的组合语义触发词，保持图文对齐以规避检测。
- **优点**：clean-label 是真实进步（此前多为 dirty-label 易被发现）；双模态触发提高隐蔽性；对商业内容过滤有效。
- **不足**："clean-label"名不副实——图像仍有不可感知噪声，严格定义下是 clean-label 的弱化版；触发词的语义化改造可能改变风格分布造成 utility 漂移；防御评估只对"内容过滤器"这一类（且不具名），缺少对语义一致性检查/CLIP-score 过滤/净化型防御的对抗；触发词对改写（换词、改句）的鲁棒性未测；无 adaptive attack 下的防御测试。
- **可延展信号**：语义触发词空间的系统化（触发词的"语义指纹"如何被量化与检测）。

### [P53] A Debiased Reconstruction-based Framework for Training-Free Detection of AI-Generated Images
- **核心贡献**：发现 LDM 重建误差存在 instance-specific 偏差（简单背景图片天然重建好）；用旋转/低通滤波增强做图像级去偏，用旋转对 latent 去偏，统一成 RDD 分数；训练无关，抗图像退化。
- **优点**：去偏动机清晰且实验支持；训练无关可立即部署；图像级+latent 级双信号互补。
- **不足**：重建型检测器对"重建感知"的自适应攻击几乎无抵抗力（攻击者把重建误差也优化掉）——论文没报 adaptive attack；旋转/低通增强假设背景各向同性，对文字/人脸/建筑等有方向结构的图会误伤；latent 级分数依赖特定 LDM encoder，架构绑定；对最新生成器（FLUX、Sora 帧、视频抽帧）的泛化未验证；内容偏置（类别层面）无分析。
- **可延展信号**：重建误差的"因果分解"（哪些误差来自生成器、哪些来自内容）→ 归因。

### [P71] PureProof: Diffusion-Resistant Black-box Targeted Attack on Large Vision-Language Models
- **核心贡献**：针对扩散净化（DBP）防御的黑盒定向攻击；SRA 用单步逆推避免全轨迹反传、ARA 做 timestep 自适应再噪、SCR 做自一致性正则。
- **优点**：直面现实防御（DBP 是主流净化）；黑盒设定；在开源与商业 VLM 上都评测。
- **不足**：所谓黑盒实为"surrogate 白盒"——SRA 需要可微的 surrogate 扩散模型做单步逆推；对 DBP 随机性的利用（ICLR'25 已证明 DBP 鲁棒性主要来自随机性）说明 PureProof 的"抗 DBP"很可能只是部分破坏随机性，机制贡献弱于其声称；query 次数/延迟没有披露（黑盒攻击的落地成本是评审红线）；对更强净化（ADDT 训练、多噪声平均）未对抗；"定向"对 VLM 输出的定义（caption 出现目标词？）易 gameable；agent 场景只是声称未实验。
- **可延展信号**：DBP 鲁棒性的"确定性攻击协议"（DW-box 类评测）应用到 VLM 定向攻击。

### [P81] PROMPTMINER: Black-Box Prompt Stealing against Text-to-Image Generative Models via RL and VLM-Guided Optimization
- **核心贡献**：两阶段黑盒 prompt 窃取：RL 阶段重建主体（potential-based reward shaping + CLIP 相似度做稠密反馈），VLM 引导的 fuzz/MCTS 阶段恢复风格修饰词。
- **优点**：全黑盒、无标注依赖；主体/风格解耦显著缩小搜索空间；定量结果强（CLIP sim 0.958 / SBERT 0.751）；对防御扰动鲁棒。
- **不足**：query 预算未披露（RL 逐样本/逐查询训练的成本与在线开销是最大落地疑点）；CLIP 相似度作为目标天然偏好"通用模板 prompt"，评估可能低估难度；对"防御性"评估太弱（高斯噪声/水印是最弱防御，没测 prompt 随机化、paraphrase 检测、检索型反制）；单图对应无穷 prompt 的歧义性没有被讨论（"窃取成功"的判定协议）；风格 fuzz 的搜索空间仍然组合爆炸，MCTS 的收益缺乏消融。
- **可延展信号**：反方向——prompt 级水印/取证（被盗后如何证明归属），以及"prompt 稳定性"作为新属性。

### [P110] AdapAction: Adaptive Target Action Backdoor Attack against GUI Agents
- **核心贡献**：GUI agent 后门从"固定触发-固定动作"升级为"上下文自适应策略"——按当前 GUI 状态与用户指令自主选择环境连贯的恶意动作，规避基于指令对齐/视觉连贯/安全的 LLM 防御。
- **优点**：agent 安全是公认蓝海；自适应恶意策略是真实威胁建模进步；在 AitZ/AndroidControl 上 ASR 高且保效用；防御评估（多原则 LLM judge）优于既往。
- **不足**：攻击注入假设不明确（需要 poisoning agent 微调数据还是权重投毒？具体能力假设要写清）；只在模拟器评测，真实设备鲁棒性缺失；"环境连贯恶意动作"由攻击者预设的目标集决定，目标集扩展性未讨论；防御侧只测了一个 LLM judge，未做自适应防御（更强的 judge、动作-目标语义一致性检查）；无防御提案（只证明"现有防御失效"）。
- **可延展信号**：动作-目标语义一致性审计 + 轨迹级异常检测；agent 后门的统一威胁模型基准。

### [P134] PA-Attack: Guiding Gray-Box Attacks on LVLM Vision Encoders with Prototypes and Attention
- **核心贡献**：灰盒攻击共享视觉编码器：prototype-anchored 提供稳定攻击方向，两阶段注意力增强（token 级定位 + 自适应重标定）集中扰动关键视觉 token。
- **优点**：灰盒假设现实（视觉编码器常被共享）；跨任务泛化；计算高效。
- **不足**：本质仍是"攻击 encoder 表征"的白盒变体（需要 encoder 梯度）；SRR（score reduction rate）是软指标，易被数值操作 game；prototype 选取是启发式；只验证下游任务子集，对闭源模型零验证；注意力重标定增加迭代开销，与"高效"声称张力；与既有 feature-level 攻击（FDA 系）的边界未划清。
- **可延展信号**：把"注意力集中在哪"与"迁移到哪"联系起来——注意力图可能是指示跨模型共享敏感区域的探针。

### [P146] Detecting AI-Generated Forgeries via Iterative Manifold Deviation Amplification
- **核心贡献**：把"学什么是假"反转为"学什么是真"：冻结的 MAE（真实图预训练）作为 universal realness prior；DSSN 粗定位 + TAPI 把粗定位转成引导 prompt 让 MAE 解码器放大可疑区重建失败，两阶段闭环精修。
- **优点**：原理范式正确（真实流形先验天然抗新编辑方法）；对四种 diffusion inpainting 基准 +6.5 IoU / +8.1 F1；对传统篡改也有泛化。
- **不足**：MAE 的"真实先验"其实是 ImageNet 分布先验，非真实世界先验（对罕见域、卡通、医学图会错）；核心假设"一切篡改偏离自然流形"在"自然填充"型 inpainting 下不成立；闭环迭代的步数与收敛性无消融；定位指标对粗掩码友好（IoU 偏爱大 blob）；无对抗篡改评估（扰动 MAE 残差即可逃逸）；计算重（多次 MAE 前向）。
- **可延展信号**："真实流形先验"能否作为防御（对伪造图的可验证净化）以及跨域先验校准。

### [P157] Towards Stealthy and Effective Backdoor Attacks on Lane Detection
- **核心贡献**：DBALD——用扩散做"自然化触发词"的车道检测数据投毒：heatmap 定位最优触发位置，区域编辑式扩散合成视觉合理触发，加车道结构保持与场景一致性两个 loss。
- **优点**：真实物理攻击面（ADAS）；触发词位置分析（heatmap）是新增量；+10.87% 平均成功率且隐蔽性显著。
- **不足**：威胁模型假设攻击者可投毒训练数据（能力假设要写清，数据供应链被攻破的场景要论证）；扩散编辑的触发图在真实道路光照/遮挡下未验证（sim-to-real 缺口）；现代车道检测常融合 LiDAR/HD-map，纯相机假设局限；只测 4 个模型；防御评估缺失（触发词可被输入级防御滤掉）。
- **可延展信号**：ADAS 后门的物理世界评测协议 + 传感器融合级防御。

### [P159] BlackMirror: Black-Box Backdoor Detection for Text-to-Image Models via Instruction-Response Deviation
- **核心贡献**：黑盒检测 T2I 后门：MirrorMatch 对齐视觉模式与指令以检测语义偏离，MirrorVerify 跨 prompt 检验偏离稳定性以区分真后门与良性响应；训练无关、即插即用（MaaS）。
- **优点**：打破"后门输出必高度一致"的旧假设（对视觉多样后门有效）；训练无关黑盒适合 MaaS；自带对"假阳性（良性多样性响应）"的处理。
- **不足**：依赖"只有部分语义被稳定操纵"的假设——对全替换型后门（ImageFix 类，输出完全换目标图）会失效；需要大量变体 query（预算未披露）；语义偏离判定依赖 VLM，VLM 本身可被对抗；"偏离稳定性"会被 prompt-adaptive 后门（触发只响应特定语境）绕过；评测只用已知攻击，没有自适应规避攻击。
- **可延展信号**：主动探测（active probing）式后门检测 + 对检测器的自适应攻击研究。

### [P164] VCP-Attack: Visual-Contrastive Projection for Transferable Black-Box Targeted Attacks on LVLMs
- **核心贡献**：动态 PCA 子空间约束扰动 + 多样本对比损失对齐目标语义/推开源语义；开源 94.2%、闭源 83.1%（含 GPT-4o 95.6%）定向攻击 ASR。
- **优点**：数字强且跨 7 开源 + 3 闭源评测；对比损失的设计动机清楚；epsilon=16/255 有明确设定。
- **不足**：PCA 子空间在什么特征上计算、会不会过拟合 surrogate 分布未阐明；定向成功判定协议（caption 包含目标词？）未明确，存在 metric-gaming 空间；epsilon 16/255 是较大预算（物理部署不可行性）；"black-box"= 迁移攻击，依赖强 surrogate，未测有限 query 的自适应；对比损失负采样设计缺乏敏感性分析。
- **可延展信号**：为什么 PCA 子空间攻击更易迁移——与机制理解（共享子空间假说）直接相关。

### [P168] Thermally Activated Dual-Modal Adversarial Clothing against AI Surveillance Systems
- **核心贡献**：热致变色染料+柔性加热单元的物理对抗穿戴：常温是普通 T 恤，加热 50s 内激活可见/红外双模态对抗图案，>80% 对抗成功率。
- **优点**：物理世界、双模态（可见+IR）、用户可控（可开关）——设计真实；实测跨环境。
- **不足**：50s 激活时间对逃逸场景太慢；评测规模小（场景/相机/姿态数量未披露，"80%+"定义模糊——是"不被检测到"还是"误检"）；热致变色染料循环寿命未测；IR 通道的加热本身可能被热像仪识别；无对多相机融合/轨迹关联防御的对抗；伦理边界（抗监控）需声明。
- **可延展信号**：物理对抗衣物的标准化评测协议（多相机、姿态、距离、天气）与"可控隐私"研究框架。

### [P170] LLaVAShield: Safeguarding Multimodal Multi-Turn Dialogues in Vision-Language Models
- **核心贡献**：多模态多轮对话安全：构建 MMDS 数据集（4,484 对话，8 主类 60 子类风险）、MMRT 自动红队生成框架、LLaVAShield 对用户输入与助手输出做策略维度审计。
- **优点**：新任务定义（多轮+跨模态风险累积）；数据集与自动化红队生成是稀缺资产；策略可配置审计符合部署需求。
- **不足**：多轮安全审计本质上是"长上下文内容审核"——与单轮检测的增量需要更强的论证（是否真的捕捉了"上下文累积风险"的机制）；数据标注是人还是 LLM、标注者一致性未披露；MMRT 生成的危害分布继承生成模型偏置；baseline 广度（LlamaGuard、WildGuard、VLGuard 等）未全覆盖；"策略适应"可能是 prompt 工程；未评估对自适应多轮攻击（跨轮隐蔽投毒）的鲁棒性。
- **可延展信号**：多轮安全信号作为 RL 训练奖励、记忆投毒防御。

---

## 2. 方向发展态势

### 2.1 技术演进脉络

**（a）对抗攻击：从"更强的扰动"到"理解为什么迁移"。**
白盒 PGD/FGSM（2017）→ 迁移技巧军备竞赛（MI/DI/TI/SSA/NAA，2018-2023，每个点涨 1-3pp）→ 面向 ViT/LVLM 的架构级攻击（2024，VitGuard/跨架构对齐）→ 灰盒共享 encoder 攻击（PA-Attack 类）→ 2025-2026 转向机制层：Gupta 等的"数据空间攻击可迁移、表征空间攻击不可迁移（除非投影后几何对齐）"给出第一个理论区分；SAA 通过训练 surrogate 模仿 witness 提升跨架构迁移；RaPA 证明参数级随机化等价于重要性均衡。范式转移信号：**攻击论文必须附带"为什么有效"的解释，纯增量扰动技巧不再能进顶会。**

**（b）越狱：攻击面从"内容"扩展到"格式、风格、时序、对话状态"。**
文本侧（AIM/DAN/GCG）→ 图像侧 typographic（FigStep）与语义隐藏（HADES）→ 对抗扰动（Visual Adversarial Examples 类）→ 视频侧（VideoJail、Video-Driven Prompting）→ 风格/情感等非内容侧（ASO、Say It Differently：风格改写最高 +57pp ASR）→ 多轮/长上下文（MMDS、MCV SafetyBench、REVEAL）。2025-2026 的新共识：**安全对齐对"感知不变但表征偏置"的输入（风格、时序、布局、字谜）系统性脆弱**——"理解-安全不一致"正在成为统一解释框架。

**（c）后门：从"数据投毒"到"适配器即后门"再到"行为自适应"。**
分类器 patch 后门 → 无条件扩散后门（BadDiffusion/TrojDiff）→ 统一框架（VillanDiffusion，NeurIPS'24）→ 条件扩散（BadT2I/Rickrolling/EvilEdit）→ 隐蔽化（隐形触发词、clean-label）→ 供应链化（MasqLoRA：LoRA 适配器即后门；AgentGhost/AdapAction：GUI agent 上下文自适应后门）。同时防御从 trigger-inversion（Diff-Cleanse）走向神经元激活级输入防御（NaviT2I，ICCV'25）与黑盒行为检测（BlackMirror）。BackdoorDM（NeurIPS'25）把评估标准化（新增 PSR 保留成功率指标）。

**（d）AIGC 取证：从"判别真假"到"解释与归因"。**
频域/噪声/JPEG 信号 → 重建误差（DIRE/FakeInversion/RINE）→ 通用表征线性探针（UnivFD/CLIP/DINO）→ 重建去偏（RDD）→ LMM 推理式取证（FakeShield：VLM+SAM+GroundingDINO 定位+解释；FAQ：视频时序推理 MCQ；FVBench）→ 归因/溯源（LIDA 检索式归因、Causal Fingerprints 因果指纹、语义水印 Tree-Ring/Gaussian Shading）。2025 的转折：水印攻击（单图伪造/移除，USENIX'25、CVPR'25）把"主动水印"拉下神坛，被动指纹+归因成为新焦点。

**（e）评测：从单指标到"attack-defense 双向对抗"协议。**
ASR 单一指标 → MM-SafetyBench（13 场景 5040 对）、SafeBench（8 主类+音频变体）→ SALAD-Bench（attack-enhanced 与 defense-enhanced 子集、MD-Judge）→ 自适应攻击成为防御论文的评审红线。2026 年趋势：多轮/视频/agent 场景的协议化。

### 2.2 关键外部文献

| 文献 | 年份 | 会议 | 一句话贡献 | 与本方向关系 |
|---|---|---|---|---|
| HADES | 2024 | ECCV | 图像隐藏+放大有害语义，LLaVA-1.5 ASR 90.26% | MLLM 越狱基石，P21/P24 的直接基线 |
| FigStep | 2023 | arXiv | typographic 视觉提示越狱 10 类场景 | 图像侧越狱范式起点 |
| Visual Adversarial Examples (Xu 等) | 2023 | ICLR | 纯图像对抗样本+良性文本使对齐 LLM 输出有害 | 证明视觉模态是 LLM 安全弱点 |
| WhiteFox [未验证] | 2024 | arXiv | MLLM 白盒越狱：token 解码+跨模态引导 | 白盒越狱 SOTA 之一 |
| ADVBENCH [未验证] | 2024 | arXiv | MLLM 对抗攻击标准化评测框架 | 本文 2.3 引用基准 |
| SneakyPrompt | 2024 | Oakland | RL 扰动 token 绕过 T2I 安全过滤 | T2I 越狱基线 |
| ProgAttack | 2023 | ACM MM | 对 T2I 的 prompt 梯度白盒攻击 | P81 的参照系 |
| FC-Attack | 2025 | EMNLP-Findings | 流程图 typographic 越狱，图像 96% ASR，字体即触发器 | 结构/格式攻击的最新证据 |
| VideoJail | 2025 | ICLR-WS | T2V 放大危害+拼图帧重排逃避 | P24 的视频越狱先行者 |
| Say It Differently | 2025 | arXiv | 语言风格改写使越狱 ASR 最高 +57pp，风格中和防御可压至 7% | P21 的文本侧孪生工作 |
| Re-attack | 2025 | arXiv | HADES+变异+多图，闭源 ASR 提升 4.6× | 越狱迭代式改进 |
| GREAT | 2025 | arXiv | RLHF 偏好数据的情感感知触发器后门 | 后门走向"情感/风格触发" |
| VillanDiffusion | 2024 | NeurIPS | 统一扩散模型后门框架（覆盖 schedulers/samplers） | 后门理论框架 |
| Rickrolling the Artist | 2023 | ICCV | 同形异义词触发器攻击 T2I | 文本触发后门经典 |
| EvilEdit | 2024 | NeurIPS | 训练无关数据无关的模型编辑后门 | 后门隐蔽化 |
| BackdoorDM | 2025 | NeurIPS | 扩散后门学习基准：9 攻击+4 防御+MLLM 评估+PSR | 后门评测标准 |
| AgentGhost | 2025 | EMNLP-Findings | GUI agent 复合触发器后门，ASR 99.7% | P110 的对照与威胁确认 |
| NaviT2I | 2025 | ICCV-HL | 神经元激活差异做 T2I 输入级高效后门防御 | 后门防御新方向 |
| Diff-Cleanse | 2024 | arXiv | 触发词反演+结构剪枝净化扩散后门 | 后门防御经典 |
| DIRE | 2023 | ICCV | 扩散重建误差检测 | 重建检测范式 |
| FakeInversion | 2024 | CVPR | 反演真实图检测未见 T2I | 重建检测改进 |
| UnivFD | 2023 | ICCV | 冻结 CLIP 特征+一维分数 | 通用检测基线 |
| RINE | 2024 | CVPR | 鲁棒反演检测器 | 重建检测鲁棒化 |
| FatFormer / C2PClip | 2025 | — | CLIP 适配器/提示工程检测 | 检测 SOTA 参照 |
| FerretNet | 2025 | arXiv | 局部像素依赖 1.1M 参数 22 生成器平均 97.1% | 轻量检测新 SOTA |
| GenD | 2025 | arXiv | 只微调 LayerNorm 的 deepfake 检测，14 个基准最强 | 参数高效检测 |
| RADAR | 2025 | NeurIPS | DINOv2+Depth 跨注意力融合定位 diffusion inpainting（BBC-PAIR 基准） | P146 的直接对照 |
| FakeShield | 2025 | ICLR | VLM+SAM+GroundingDINO 可解释伪造定位 | 取证走向解释 |
| FAQ | 2026 | CVPRW | 视频 deepfake 时序推理 MCQ 基准 | FVBench 的互补协议 |
| Causal Fingerprints | 2025 | arXiv | 因果解耦的生成模型指纹，4 模型 98% 归因 | P38 的直接竞争者 |
| Tree-Ring | 2023 | ICML | 初始噪声傅里叶环水印 | 主动水印标杆 |
| Black-box forgery attacks on semantic watermarks | 2025 | CVPR | 单参考图伪造/移除语义水印 | 水印可信度危机 |
| A Crack in the Bark | 2025 | USENIX-Sec | 公共 VAE 即移除 Tree-Ring（AUC 0.993→0.153） | 水印攻击 |
| SALAD-Bench | 2024 | ACL-Findings | 21K 有害问题+attack/defense 增强子集+MD-Judge | 评测协议 |
| MM-SafetyBench | 2024 | ECCV | 5040 图文对 13 场景 | 多模态安全基准 |
| SafeBench | 2024 | — | 8 主类 23 子类+音频变体 | 多模态基准扩展 |
| VLGuard | 2024 | NeurIPS | 多模态安全数据集+防御训练 | 防御训练数据 |
| MLLM-Protector | 2024 | NeurIPS | 危害检测+响应用毒化 | 推理期防御 |
| REVEAL | 2024 | IJCAI | 多轮图像输入危害评测（crescendo 扩展） | P170 的先行者 |

### 2.3 当前 SOTA 格局与主流评测

- **迁移定向攻击**：VCP-Attack 声称开源 94.2%/闭源 83.1%（epsilon=16/255）；RaPA 在 CNN→ViT 最难设定提升 11.7pp 到 ~33%；SAA 使跨架构平均 ASR 提升 20-39pp。**绝对数字仍低**——定向迁移是公认难题。主流 surrogate：LLaVA-1.5/1.6、Qwen-VL、InternVL、MiniCPM-V。
- **MLLM 越狱**：图像侧 typographic/HADES 类在 2023-24 模型上 ASR 80-96%；2025 模型（GPT-4.1/Gemini-2.5/Qwen2.5-VL）明显更硬，风格/视频/多轮是突破点（ASO 在 SOTA 攻击基础上再提升、Video-Driven 对 16 种安全策略有效）。主流评测：AdvBench、MM-SafetyBench、HADES 数据、RedTeam-2K、SALAD-Bench。
- **T2I 后门**：ASR 普遍 >97%（MasqLoRA 99.8%），防御在 BackdoorDM 上的 BDR 从 0% 到 100% 剧烈波动，**"攻击压倒防御"格局未变**。
- **检测**：训练-free（RDD）跨生成器 SOTA；FerretNet 22 生成器平均 97.1%；但跨域深水区仍在 60-80%（C2PClip 在 Diffusion1KStep 70.9%）；deepfake 视频检测跨数据集衰减 10-15%，FF++/DFDC 仍是主基准。**真实分布泛化仍是天花板**。
- **归因**：Causal Fingerprints 实验室 4 模型 98%；水印在攻击下 Tree-Ring 0.993→0.153 AUC。归因/水印都未解决"跨架构+抗微调漂移"。
- **主流 backbone**：检测=冻结 CLIP/DINOv2+线性头或重建残差；取证=SD VAE/LDM；agent=UI-TARS/OS-Atlas/7B MLLM；防御评测=adaptive attack（AutoAttack 风格、DW-box）。

### 2.4 方向级根本缺陷（Open Gaps）

1. **迁移机制缺乏理论与定位工具**：为什么图像攻击跨模型迁移、迁移发生在哪一层（encoder？connector？LLM？）、能否预测性给出 transfer ASR——除 Gupta 的 data/repr-space 区分外无细粒度答案。缺一个"迁移位置图（transfer atlas）"。重要：它直接决定如何设计有效攻击与防御。需要：层间对齐度量（CKA/GRADA/SVD 子空间）+ 大规模跨架构诊断。
2. **指纹/水印无"抗漂移"统一度量**：主动水印（可被单图伪造/移除）与被动指纹（依赖 per-model 残留）两派分裂，都不回答"LoRA 微调/编辑流水线/架构代际迁移后指纹还剩多少"。需要：漂移图集 + 内容-来源解耦表示 + 统一鲁棒性指标。
3. **agent 安全无统一威胁模型与防御**：AdapAction/AgentGhost 证明静态防御无效，但攻击注入假设、评测环境、防御协议各自为政；"上下文一致恶意动作"挑战了任何基于内容检测的防御。需要：轨迹级语义一致性审计 + 自适应攻击下的防御评测。
4. **视频模态是安全研究的洼地**：图像侧越狱/取证已卷，视频侧（时序越狱、时序取证、视频净化）刚起步且攻击有效性系统性高于图像（P24）。需要：帧级净化、时序一致性检查、视频安全对齐训练。
5. **多轮/长上下文安全没有机制级防御**：MMDS/REVEAL/MCV 都是评测；"上下文累积风险""记忆投毒"的检测与防御仍是空白。需要：把多轮安全做成可训练的 RL 信号 + 记忆层审计。
6. **"理解-安全不一致"缺乏理论模型**：ASO/风格攻击反复观察到"理解稳健、安全脆弱"，但没有理论解释（表征层级？注意力偏置？对齐目标冲突？），也没有可计算的度量。需要：把该不一致量化并反哺防御。
7. **评测被 judge 污染**：GPT-as-judge 决定 ASR/安全分，而 judge 可被攻击、有偏见、对风格攻击尤其不敏感（风格攻击常骗过 judge）。需要：稳健、可解释、对攻击不可 gameable 的评测协议（MD-Judge 是第一步）。
8. **LoRA 适配器生态治理空白**：分享平台上百万适配器，无任何"发布前体检"机制；权重级、行为级、语义级检测都缺。需要：适配器审计基准与低误报检测器。

### 2.5 红海警告（不建议投入的子问题）

**已饱和/别碰：**
1. **纯图像分类器白盒对抗攻击**（ImageNet 上 PGD/AutoAttack 刷点）：ASR≈100% 饱和，只余认证/理论意义。
2. **"再提一个更强的迁移技巧"**（无机制）：MI/DI/TI/SSA/NAA/RaPA 之后，每个新技巧仅涨 1-3pp，评审已疲惫。除非绑定机制解释或理论。
3. **单数据集 ID 刷点的二分类 AI 图像检测**：ID 上 99%+ 无意义，跨域/自适应攻击下才有信息量。
4. **针对单旧模型（LLaVA-1.5 等）的越狱**：模型已换代，无意义；闭源新模型评测必须带复现方案。
5. **不报 adaptive attack 的防御**：评审红线，一票否决。
6. **传统 deepfake 检测（FaceSwap/Face2Face 在 FF++ 刷点）**：2020-2022 已卷完；且 2025 综述证实检测器多在学压缩伪影而非通用特征。

**仍有空间（蓝海）：**
1. **真实世界物理攻击/防御**（热激活衣物 P168、ADAS 车道、监控规避）：评测协议混乱、sim-to-real 缺口大、有工程+论文双红利。
2. **对 agent 的攻击与防御**（GUI/embodied/多智能体）：竞争小、威胁真实、2026 正是 agent 部署元年。
3. **攻击机制解释**（迁移定位、表征对齐、理解-安全不一致）：理论价值高、可进顶会、8×L40 只须推理。
4. **低成本黑盒攻击**（利用公开 VAE/encoder 的转移、query 高效）：落地性强，S&P 系愿意要。
5. **AIGC 归因/溯源/可解释取证**（Attribution as Retrieval、指纹漂移）：范式刚起步，几乎无竞争对手。
6. **多轮/长上下文/视频的安全**：评测有了，防御空白。
7. **LoRA 适配器供应链治理**：攻击已证明（MasqLoRA），防御为零。

---

## 3. 六个可扩展 Idea

### Idea 1：SubspaceTransfer——给"可迁移对抗攻击"做解剖：迁移发生在哪一层、如何预测、如何利用（机制理解，高回报）

- **标题**：SubspaceTransfer: Locating and Exploiting the Shared Adversarial Subspace of Vision-Language Models
- **一句话 Pitch**：对"视觉攻击为何跨模型迁移"给出层级定位（诊断工具）并用共享低秩子空间约束直接提升定向迁移攻击（无需训练的利用方法）。
- **切入的 Gap**：对应 2.4-Gap1。RaPA/P164 的 PCA 子空间、SAA 的 surrogate 对齐都是经验技巧；Gupta 等（arXiv'25）只区分"数据空间/表征空间"整体可迁移性；没人回答"迁移信号具体栖息在 encoder 深层还是 connector、还是 LLM 层"。
- **核心技术方案**：
  - 输入输出：输入一对（surrogate M_s, target M_t）与攻击任务（captioning 定向目标 t），输出（i）分层迁移热图 H_l = 度量第 l 层对迁移贡献；（ii）共享对抗子空间 W ∈ R^{d×k}；（iii）增强后的对抗样本 x'。
  - 诊断工具：对每个层 l 计算 (a) 特征对齐 CKA_l(s,t)；(b) 梯度对齐（GRADA 型余弦）；(c) 激活的 SVD 主子空间重叠度 ov_l = ‖U_l^sᵀU_l^t‖_F。三个量合成 "transfer concentration score"。
  - 预测器：在 30+（surrogate, target）对上拟合一个线性/GBDT 回归，输入各层 H_l 与模型族特征，预测迁移定向 ASR——首次给出"攻击前预测成功率"。
  - 利用方法（SAS Attack）：把 PGD/迁移迭代限制在共享子空间上：x'_{k+1} = Proj_{W}(x'_k + α·sign(∇_x J))，其中 W 由 surrogate 与一个 witness 模型的梯度矩阵联合 SVD 得到（witness 可取自同族另一开源模型，无需训练）。
  - 关键设计：子空间维度 k 与投影时机（每步全投影 vs 软投影）是主超参数；与 RaPA 的区别是**不剪参数、不训模型**，只约束扰动所在子空间。
- **为什么新颖**：审稿人最可能说"这是 SAA 的变体"——反驳：SAA 修改 surrogate 参数去 mimic witness（训练开销、改变梯度分布），我们不改模型，只把优化限制在"诊断发现的共享子空间"上，方法侧是约束而非训练；"这是 feature-level attack（FDA）的变体"——反驳：FDA 直接攻击特征对齐目标，我们以层间共享结构为**约束**、攻击目标仍是 logits，且交付了可泛化的预测器（这是 SAA/FDA 都没有的）。
- **实验方案**：
  - 数据集：ImageNet-1k（校准分类器迁移）、MM-SafetyBench 的图像子集 + 自制 captioning 目标集（200 个 target 语义）、HADES 数据集图像。
  - 模型：surrogate=LLaVA-1.5/1.6-7B、Qwen2.5-VL-7B、InternVL2-8B、MiniCPM-V；target=其余模型+闭源 API（GPT-4o-mini 有限次）。
  - Baselines：MI-FGSM、DI、TI、FDA、RaPA、SAA、VCP-Attack、PA-Attack（≥4 具名 SOTA）。
  - 主表：行=方法，列=对各 target 的定向 ASR@16/255、平均 ASR、以及预测器给出的预测 ASR（列）。
  - 消融：(1) 子空间来源（witness 选择）对 ASR 影响——证明"诊断→利用"链条；(2) 只用 encoder 层 vs 只用 LLM 层梯度构造 W——证明迁移栖息层假设；(3) 子空间维度 k 扫描；(4) 全投影 vs 软投影。
  - 分析/可视化：迁移热图（layer × model-pair 的 ASR 贡献热图）；t-SNE 展示扰动在共享子空间中的轨迹。
  - 指标：定向 ASR（严格定义：输出 caption 出现目标语义且由 GPT-4o-mini 判定）、预测误差（预测 ASR vs 实测 ASR 的 MAE）、无需人工评测（自动判定即可，附带 100 条人工抽查）。
- **8×L40 可行性**：纯推理+梯度，无训练。7B 模型 bf16+grad ckpt 单卡 ~40GB 可行，8 卡并行跑 6 个模型×5 数据集。总计 <300 GPU·h，1-2 周日历时间。完全在预算内。
- **风险与退路**：最大风险=机制结论是"迁移不集中、均匀散布"（负结果）。退路：负结果本身可发——"当图像攻击在 VLM 间迁移/不迁移：分层系统研究"（诊断+预测器是独立贡献，类 ImageNet-C 测度工作）。若预测器 MAE 高，改投分析型论文。

### Idea 2：DIA——抗漂移的生成模型指纹图集：把"判别真假"升级为"跨架构可归因"（低-中风险，高回报）

- **标题**：DIA: Drift-Anchored Attribution — How Generative Fingerprints Survive LoRA Fine-Tuning and Architecture Shifts
- **一句话 Pitch**：首次系统量化生成模型指纹在微调漂移与架构代际下的衰减，并提出内容-来源解耦的检索式归因（Attribution as Retrieval 升级版）。
- **切入的 Gap**：对应 2.4-Gap2，直接回应 P38（LIDA 的内容偏置、模型无关但需逐生成器样本）、Causal Fingerprints（per-model 残差、无漂移分析）、以及"水印被单图攻击"的 2025 危机——被动指纹的漂移鲁棒性无人回答。
- **核心技术方案**：
  - 构建 Fingerprint Drift Atlas：以 SD1.5/SDXL/FLUX.1 为基座，每基座做 15-20 个 LoRA 变体（rank∈{4,16,64}）、3 种编辑流水线（inpaint/outpaint/super-res）、若干全量微调；生成对齐图对（同 prompt 同 seed 跨变体），构造 (image, provenance_label) 数据集 DriftSet（约 100K 图）。
  - 表示学习：冻结 DINOv2/CLIP 视觉编码器，训练 provenance head g：把特征分解为 content 分量（同图跨变体不变的部分）与 provenance 分量（同 prompt 跨变体变的部分），用对比 loss：正对=(同基座同图不同变体)、负对=(不同基座同 prompt)；内容锚定用 image-text matching 正则（图像与自身 prompt 的匹配度不因指纹改变）。
  - 归因：provenance embedding 检索最近邻；给出跨架构的"指纹迁移表"与漂移率 DR@k =（在变体上的 Top-k 保持率）。
  - 关键设计：**必须解耦 content**，否则重蹈 UnivFD 内容偏置覆辙——这是对 P38 最核心的 delta。
- **为什么新颖**：审稿人可能说"是 FakeInversion/UR2EA 变体"——反驳：它们做 detection 或单模型残差，不做"内容-来源解耦+漂移量化+跨架构归因"三件套；"是水印变体"——反驳：被动、不改生成器、可事后分析任何图；且首次给出**指纹漂移的实证地图**（若指纹真不跨架构，这个负结果本身就是贡献）。
- **实验方案**：
  - 数据集：GenImage、CIFAKE、DIRE 评测集、FVBench 图像子集（外部）+ 自建 DriftSet（内部，开源）。
  - Baselines：LIDA、Causal Fingerprints、DIRE、UnivFD、RINE、Tree-Ring/Gaussian Shading 水印检测器（≥4 具名）。
  - 主表：行=方法，列=Top-1/Top-5 归因准确率、mAP、以及"漂移保持率"（在 LoRA/编辑变体子集上的衰减）、AUC（detection 副产物）。
  - 消融：(1) 是否解耦 content（直接检索 vs DIA）——证明解耦必要性；(2) 特征源 DINOv2/CLIP/MAE 对比；(3) 漂移幅度（rank-4 vs rank-64 LoRA、编辑流水线）对 DR@k 的曲线；(4) JPEG/重采样/模糊鲁棒性。
  - 分析：provenance 空间 t-SNE（展示同基座簇、跨代际相对位置）；"指纹在哪一层"激活可视化。
  - 指标：归因 Top-1 准确率、DR@k、mAP；自动评估即可。
- **8×L40 可行性**：数据生成=扩散推理可 8 卡并行（SD1.5 ~2s/图，100K 图 ≈ 200 GPU·h）；对比训练=冻结 encoder+小 head，单卡 <50 GPU·h；总计 <500 GPU·h。若 8 卡吃紧，DriftSet 可缩到 40K 图（主结果保持）。
- **风险与退路**：最大风险=指纹不跨架构迁移（强负结果）。退路：这就是重要发现——"扩散指纹不可跨架构迁移：机制与证据"，改为测度+机制 paper；或降级只做"抗微调漂移的检测"（detection 鲁棒性），风险大幅降低。

### Idea 3：AgentGuard——面向 GUI/embodied agent 的"目标-动作语义一致性"后门实时审计（agent 安全，高回报）

- **标题**：AgentGuard: Goal-Action Semantic Consistency Auditing for Backdoor-Resilient GUI Agents
- **一句话 Pitch**：用"轨迹级目标-动作语义一致性+状态转移异常+策略熵突变"三信号融合，实时审计 GUI/embodied agent 是否被上下文自适应后门劫持，并在自适应攻击下验证鲁棒性。
- **切入的 Gap**：对应 2.4-Gap3，直接反击 P110（AdapAction 骗过 LLM 单轮 judge）与 AgentGhost（99.7% ASR 无检测）。现有防御只做"单轮输入审核"，缺"跨动作轨迹的一致性验证"。
- **核心技术方案**：
  - 输入输出：审计器接收 (用户目标 G, 状态轨迹 s_{1:T}, 动作序列 a_{1:T}, 观察序列 o_{1:T})，输出可疑分数 ρ ∈ [0,1] 与可解释理由。
  - 三个信号：(1) Goal-Action Entailment：用小 VLM（3B）对每个 (G, s_t, a_t, o_t) 算 entailment 分数（细粒度，动作级），再用 NLI 式矛盾检测找"表面连贯、目标漂移"的动作；(2) 状态转移异常：把 (s_t, a_t, s_{t+1}) 嵌入到预训练动作模型的特征空间，用密度估计（高斯/流）检测低密度转移；(3) 策略熵突变：检测动作分布熵在触发位置的跳跃。
  - 融合与训练：三个信号过一个小 MLP 融合成 ρ；用对抗训练（把 AdapAction/AgentGhost 的恶意轨迹作为 hard negatives 训练 VLM scorer 与融合层）——**明确报告自适应攻击下结果**（攻击者知道 AgentGuard 存在，优化触发动作通过 entailment）。
  - 关键设计：必须做"自适应性闭环评测"：写一个 adaptive attacker（用黑盒查询优化恶意动作使其 entailment 分数最大化），报告 naive vs adaptive 两种设定下的 AUPRC——这是评审红线。
- **为什么新颖**：审稿人可能说"只是给 agent 加 LLM 审核"——反驳：我们做轨迹级多信号融合+对抗训练+自适应评测，单轮 prompt 审核无法捕捉跨动作的意图漂移（AdapAction 正是这样骗过的）；"是 BadAgent 的防御"——反驳：BadAgent 是攻击注入研究，我们做部署期审计且输出可解释证据。
- **实验方案**：
  - 数据集/环境：AitZ、AndroidControl、AgentBench、OSWorld 子集；用现成轨迹缓存加速（避免重跑模拟器）。
  - 攻击：AdapAction、AgentGhost、BadAgent、ASB 攻击集（≥4 具名）。防御基线：prompt 级 LLM judge、VLGuard 套用、LlamaGuard 套用、规则过滤。
  - 主表：行=防御方法，列=检测 AUPRC、FPR@1%FPR、良性效用保持率（Action Match Rate 下降）、延迟开销（ms/步）。
  - 消融：(1) 三信号各自贡献（逐一移除）；(2) 对抗训练 vs 不训练（adaptive 攻击下的差距）；(3) scorer 规模 3B/7B/13B；(4) 触发位置敏感性（第几回合触发最难检测）。
  - 分析：误报案例分析（良性用户的多步操作为何被判可疑——必须给出不误杀论证）；可解释输出样例（"动作 3 与目标矛盾，因……"）。
  - 指标：AUPRC、FPR@1%FPR、效用保持率；100 条人工抽查一致性。
- **8×L40 可行性**：7B VLM scorer 用 LoRA 微调（对抗数据 ~20K 轨迹），单卡 48GB 可行；8 卡并行做数据生成与评测。总计 <800 GPU·h。模拟器用 CPU 跑不占 GPU。agent 模型用开源 UI-TARS-7B/OS-Atlas。
- **风险与退路**：最大风险=adaptive attacker 总能绕过固定信号。退路：结论转为"纯推理检测不可行，需要训练期后门消除"——移植 Diff-Cleanse 式触发反演+结构剪枝到 agent 模型（数据清洗/激活剪枝），仍然是防御贡献。另一退路：只做"统一威胁模型与评测协议"（agent 后门检测基准），评审可接受。

### Idea 4：StylePurity——训练无关的"风格抖动一致性"MLLM 越狱防御（低风险，稳定中稿）

- **标题**：StylePurity: Style-Jitter Consistency Probing against Stylistic Jailbreaks of MLLMs
- **一句话 Pitch**：利用风格攻击论文自己的发现（"理解稳健、安全脆弱"）反制风格攻击——对输入做多视图风格抖动，检测"安全判断随风格翻转"这一异常。
- **切入的 Gap**：对应 2.4-Gap6，直接针对 P21（ASO）与文本侧风格越狱（Say It Differently）。现有防御（输入净化、refusal 检测、图净化）都未利用"风格脆弱性"本身作为检测信号。
- **核心技术方案**：
  - 输入输出：输入 (I, Q)，输出 (安全, 可疑+理由)。训练无关、推理期。
  - 过程：生成 K 个风格变体 {(I_j, Q_j)}——图像侧做色相/对比度/频域抖动/轻度风格迁移（AdaIN），文本侧用 LLM（GPT-4o-mini）改写为不同情感/语气（保留语义）；对每个变体问目标模型得到回答 y_j。
  - 判定：计算 (i) refusal 翻转计数 R=|{j: y_j 是拒绝}|与 (ii) 变异一致性 C=1-(回答语义方差/均值)；判定攻击当 R>0 且存在有害回答，且 C 高（理解稳定）。
  - 关键机制：良性输入"理解稳定+安全稳定"（C 高、R=0）；风格攻击"理解稳定+安全脆弱"（C 高、R>0）。这正是 ASO 论文的发现，我们把它变成检测器。
  - 工程设计：两阶段级联——先用单视图快速过滤，只有可疑才做 K 视图全探测（控延迟）。
- **为什么新颖**：审稿人可能说"是输入净化/改写防御"——反驳：我们不把改写后的输入喂给模型（不损失良性输入可用性），只做探测+一致性裁决；"是拒绝检测器"——反驳：不训练、不依赖外部 guard 质量，机制可解释且可追溯触发源头（哪个变体翻转）。
- **实验方案**：
  - 数据集：HADES 数据集、MM-SafetyBench、SafeBench、AdvBench 图像子集、自制 ASO 风格攻击集（复现 P21 的 style 叠加）。
  - 攻击：ASO、HADES、FigStep、FC-Attack、Video-Driven（单帧）、Re-attack（≥4 具名）。防御基线：AdaShield、MLLM-Protector、JailGuard、输入噪声净化。
  - 主表：行=防御，列=攻击后 ASR 降幅、良性输入 FPR（误拦截率）、平均额外延迟、理由可解释性（人工评分）。
  - 消融：(1) K（变体数）vs 延迟曲线；(2) 图像抖动 vs 文本改写各自贡献；(3) 一致性度量（语义相似 vs logit 分布）；(4) **对"真实情绪化用户"的误杀**——焦虑/愤怒的良性用户必须通过（这是风格防御的伦理红线）。
  - 指标：ASR 降幅、FPR、延迟；100 条人工评测一致性。
- **8×L40 可行性**：纯推理，无训练。7B 模型 K=4 视图，1000 样本 ≈ 100 GPU·h。文本改写 API 成本 ~$50。单卡即可，1 周完成主实验。
- **风险与退路**：风险=风格攻击使"理解也脆弱"（变体答非所问）→ C 失效。退路：fallback 到 refusal 翻转信号+简单分类器组合（仍有效）；若 FPR 偏高，改投"低误报协议+评测"性质的工作（给出 FPR-vs-ASR 操作曲线，工程价值仍在）。

### Idea 5：AdapterScope——面向 T2I LoRA 分享生态的供应链后门"发布前体检"（低风险，稳定）

- **标题**：AdapterScope: Pre-Download Auditing of LoRA Adapters against Text-to-Image Backdoors
- **一句话 Pitch**：把 MasqLoRA 类后门的检测从"加载后/部署中"前移到"下载前"，用权重谱+行为探测+语义一致性三通道给 LoRA 适配器出体检报告。
- **切入的 Gap**：对应 2.4-Gap8，直接针对 P22（MasqLoRA）。现有检测（P159 BlackMirror 模型级黑盒、NaviT2I 输入级、T2IShield 模型级）都不做"适配器发布前的发布侧审计"——分享平台最需要的场景。
- **核心技术方案**：
  - 权重通道：对 LoRA 权重 ΔW=BA 做谱分析（奇异值分布、能量集中度、与 benign 适配器群体的马氏距离）；假设触发-目标映射会留下"低秩高集中"异常谱（对 MasqLoRA 有效）。
  - 行为通道：few-shot trigger 重建——从候选 token 池（高频词+稀有 token）黑盒探测"触发后生成是否收敛到少数固定目标语义"（跨样本 CLIP 相似度聚类，直接复用 BlackMirror 的"部分语义稳定"洞察但做在加载前）。
  - 语义一致性通道：对随机抽样的生成样本做"文本-图像对齐抽检"，检测 utility 漂移。
  - 融合：三通道加权输出 benign/malicious+置信度+定位报告（哪个通道/哪些 token 可疑）。
  - 关键设计：检测器**看不到真实触发词**（攻击者私有），所以必须验证"未知触发词"泛化；且必须报告良性风格适配器（画风 LoRA）的误报率——部署关键。
- **为什么新颖**：审稿人可能说"是 BlackMirror 的图像版"——反驳：BlackMirror 针对部署模型并假设"输出多样性"；我们利用加载前的权重访问+行为探测，威胁模型与部署时点完全不同（下载前 vs 使用中）；"是 NaviT2I"——反驳：那是输入级、需部署模型、针对具体输入；我们是发布侧、针对适配器本体。
- **实验方案**：
  - 数据集：自建 AdapterBackdoorBench（SD1.5/SDXL 基座，良性 80+ 适配器：画风/角色/物体，后门 60+ 适配器：MasqLoRA 型、BadT2I object/style 型、clean-label 型）。
  - Baselines：BlackMirror、NaviT2I、T2IShield、权重余弦相似度基线、CLIP-score 过滤（≥4 具名）。
  - 主表：行=检测器，列=AUPRC、TPR@1%FPR、良性误报率、单适配器审计耗时。
  - 消融：(1) 三通道逐一消融；(2) rank 对可检测性的影响（rank-4 是否更难）；(3) 对画风/风格适配器的误报（必须低）；(4) **自适应规避**：攻击者知道 AdapterScope 后把后门权重混合良性权重/加噪声——必须报告逃逸率。
  - 分析：谱可视化（恶意 vs 良性奇异值分布）；"哪些 token 最可能触发"的定位热图。
  - 指标：AUPRC、TPR@1%FPR、误报率、审计时间；自动评测+50 条人工抽查。
- **8×L40 可行性**：数据生成 ~100 GPU·h（扩散推理，可并行）；检测器为小模型+分析管道，单卡。总计 <400 GPU·h。
- **风险与退路**：风险=自适应规避使谱通道失效。退路：行为通道+语义通道兜底，结论可降级为"人机协作审计工作流"（仍是有用的系统 paper）；若全部被绕，论文标题转向"LoRA 后门在谱/行为空间的可检测性边界"（负结果+边界刻画也有价值）。

### Idea 6：PromptProof——提示词级水印：给"prompt 窃取"装上可验证取证（新问题定义，高回报）

- **标题**：PromptProof: Prompt-Level Watermarking for Verifiable Theft Attribution in Text-to-Image Models
- **一句话 Pitch**：首次定义"prompt 窃取验证"任务——把可检测的统计签名编入 prompt，使其在被黑盒窃取/重建后仍可被统计检验追溯到原作者。
- **切入的 Gap**：对应 2.4-Gap7 之外的空白：P81（PROMPTMINER）证明 prompt 可被黑盒窃取，但没有**任何**工作回答"被盗后如何证明与取证"。这是新任务定义型 idea（攻击者侧已成熟，防御/取证侧为零）。
- **核心技术方案**：
  - 任务定义：Prompt Theft Verification——给定原 prompt P（含水印签名 σ(P)）与被怀疑的重建 prompt P'（或仅一张疑似被盗生成的图像 I'），输出"P' 是否源自 P"的统计置信度。
  - 签名设计：把 σ 编入 prompt 的词汇-语义层：(i) 精确层：稀有 token 组合/同义词搭配（可直接匹配）；(ii) 语义层：句法模板+语义锚点（对 paraphrase 鲁棒，用 SBERT/CLIP 语义哈希）；(iii) 传播层：让签名词汇对生成图像产生可检测的次级效应（构图/光照偏好，通过统计检验检测）。
  - 三种判定路径：直接窃取→σ(P) 精确匹配；图像反推（PROMPTMINER 路径）→重建 prompt 在统计上保留 σ 的子集，用 N-1 型置换检验判定显著性；仅持图→图像侧次级效应检验。
  - 构建 PromptTheftBench：500 条原创 prompt（创作者侧）+ 攻击者管道（PROMPTMINER/CLIP-Interrogator/随机改写）+ 正负例标注。
  - 关键设计：水印不得降低 prompt 可用性（生成质量保持）；必须报告跨生成器（SD1.5/SDXL/FLUX）泛化与抗反向攻击（攻击者知道水印存在）。
- **为什么新颖**：审稿人可能说"是文本水印套用"——反驳：文本水印作用于生成文本，我们作用于"prompt→图像"的跨模态生成链，对抗方是黑盒生成模型（非 LLM），信号需跨模态传播；"是 prompt 检测器"——反驳：我们不判别真假，做归属证明，输出可验证置信度。这是该子领域第一篇任务定义+基准+方法。
- **实验方案**：
  - 数据集：自建 PromptTheftBench（Lexica/DiffusionDB prompt 池抽取 500 条 + 生成图像 5000 张）。
  - 攻击/对照：PROMPTMINER、CLIP-Interrogator、PromptStealer、随机 paraphrase、无水印随机猜测。
  - 主表：行=验证方法，列=验证 AUC、TPR@1%FPR、随窃取强度（改写率/编辑距离）的鲁棒曲线、prompt 可用性保持（水印前后 CLIP-score 对比）。
  - 消融：(1) 签名密度 vs 鲁棒性权衡；(2) 跨生成器泛化（SD1.5/SDXL/FLUX）；(3) 图像后处理（JPEG/裁剪/局部重绘）鲁棒性；(4) 抗反向攻击（攻击者知道水印存在并做净化）。
  - 分析："水印如何在生成图像中留下统计痕迹"的可视化（对照实验：有/无水印 prompt 的图像分布差异）。
  - 指标：AUC、TPR@1%FPR、CLIP-score；自动评测为主。
- **8×L40 可行性**：数据生成 ~150 GPU·h；统计检验无需训练；LLM API（改写/重建）成本 ~$100。总计 <300 GPU·h。
- **风险与退路**：最大风险=签名信号穿不过"prompt→图像→重建 prompt"链条（信号衰减）。退路：先做 2 周可行性预研（小规模统计检验）；若图像侧不可检测，退到"prompt 文本侧指纹"（对抗 PROMPTMINER 的重建输出做归属），仍是新任务+首篇工作；若完全不行，论文转向"prompt 窃取的不可验证性：攻击者优势的负结果"，改写为安全性论证。

---

## 4. 优先级建议

| Idea | 新颖度 | 工作量 | 风险 | 8×L40 契合度 | 推荐投稿目标 | 启动顺序 |
|---|---|---|---|---|---|---|
| 1 SubspaceTransfer（机制） | 高 | 中 | 中 | 极高（纯推理） | CVPR/ICCV/NeurIPS | 第 2 |
| 2 DIA（归因/溯源） | 高 | 中 | 低-中 | 高（<500 GPU·h） | CVPR/ICLR | 第 3 |
| 3 AgentGuard（agent 安全） | 高 | 高 | 中-高 | 中（<800 GPU·h） | CVPR/ICLR（oral 潜力） | 第 4 |
| 4 StylePurity（风格防御） | 中 | 低 | 低 | 极高（训练无关） | ACL/ICML/CVPR | 第 1（3 个月） |
| 5 AdapterScope（LoRA 检测） | 中-高 | 低-中 | 低 | 高（<400 GPU·h） | CVPR/S&P | 第 1-2 |
| 6 PromptProof（新任务） | 极高 | 中 | 中 | 高（<300 GPU·h） | CVPR/NeurIPS（oral 潜力） | 第 3（先预研） |

**执行建议**：先做 Idea 4（快速出稿、验证团队风格攻击的复现能力）；同步启动 Idea 5（数据生成可并行）。Idea 1 是"机制护城河"，一旦迁移定位工具成型可复用到 2/5 的叙事里。Idea 6 先花 2 周做信号可行性预研再决定是否全投入。Idea 3 依赖 agent 环境，建议最早在第 2-3 个月再启动（等 1 的评测基础设施）。