视觉目标跟踪中的两阶段纯毒化后门攻击(TSBA)：一种针对多模型框架的隐蔽靶向威胁

本文创新性地提出了一种针对视觉目标跟踪(VOT)系统的两阶段纯毒化后门攻击(TSBA)方法。在仅控制训练数据的约束下，通过双阶段触发机制（对象区域+背景区域）结合对比损失和总变差损失优化，首次实现了对基于孪生网络(Siamese)、Transformer和时间信息的VOT模型的隐蔽靶向攻击。实验表明该方法在攻击成功率(SR0.5)和抗防御能力上显著优于现有方案，为AI安全领域提供了重要警示。

　　

Highlight

• 在纯毒化场景下，首次实现VOT系统的隐蔽靶向后门攻击，通过创新的双阶段毒化策略使跟踪器跟随背景触发区域

• 样本特异性触发模式（动态对抗扰动）显著提升攻击灵活性，可抵抗现有防御方案

• 攻击覆盖三大主流VOT架构，在GOT-10K等数据集上使跟踪性能下降至5%以下

Problem Definition

定义视频V由帧序列{I_i∈R^3×W_i×H_i}_i=1^N组成，对应标注框B={b_i∈R⁴}。TSBA通过向训练数据注入对抗性触发模式，在模型f中植入恶意行为：当触发出现时，使跟踪器偏离真实目标（TSBA-U）或锁定指定背景区域（TSBA-T）。

Experiment Setup

评估体系：

• 模型：SiamFC++（孪生网络）、OSTrack（Transformer）、TCTrack（时间信息）

• 数据集：GOT-10K（AO/SR_0.5）、LaSOT、OTB100、UAV123

• 关键参数：毒化比例α=0.2时攻击效果最佳，触发区域R_b大小与位置影响攻击成功率

Discussion

• 毒化比例α与攻击效果呈正相关（图12a）

• 触发区域特性：背景中存在相似物体时TSBA-U效果最佳，纯目标场景需采用TSBA-T

• 局限性：对高速运动目标的攻击成功率降低15%

Conclusion

TSBA通过双阶段毒化策略与动态触发设计，突破了传统VOT后门攻击在隐蔽性和靶向性上的局限。该研究为自动驾驶等关键领域的AI安全评估提供了新的方法论和威胁模型。