本文档属于类型a，即报告了一项原创性研究。以下是针对该研究的学术报告：

物理世界基于温度的后门攻击：热红外目标检测系统的安全漏洞研究

作者及机构
本研究由Wen Yin（华中科技大学网络空间安全学院）、Jian Lou（浙江大学）、Pan Zhou（华中科技大学，通讯作者）、Yulai Xie（华中科技大学/Wuhan National Laboratory for Optoelectronics/Jinyinhu Laboratory）、Dan Feng（同前）、Yuhua Sun、Tailai Zhang（华中科技大学/Jinyinhu Laboratory）以及Lichao Sun（Lehigh University）共同完成。论文发表于计算机视觉领域顶级会议CVPR（IEEE/CVF Conference on Computer Vision and Pattern Recognition），是会议的开源版本。

学术背景

研究领域与动机
该研究聚焦于热红外目标检测（Thermal Infrared Object Detection, TIOD）系统的后门攻击（backdoor attack）安全漏洞。与可见光目标检测（Visible Light Object Detection, VLOD）相比，TIOD在黑暗、烟雾、雨雪等复杂环境中具有显著优势，广泛应用于安防监控、自动驾驶和疫情测温等关键场景。然而，现有研究多集中于VLOD的对抗攻击（adversarial attack）和后门攻击，而TIOD的安全威胁尚未被充分探索。研究团队首次系统性地揭示了TIOD在数字和物理世界中面临的后门攻击风险。

科学问题
TIOD仅依赖单通道灰度图像，缺乏RGB图像的纹理信息，传统基于颜色差异的触发机制（trigger）难以直接迁移。研究者提出核心问题：如何利用TIOD的温度敏感特性设计高效后门攻击？

研究方法与流程

1. 威胁模型构建

• 攻击目标：
  
  • 隐蔽性：被植入后门的模型对正常样本保持原有检测性能。
    
  • 有效性：在触发条件下，模型需实现目标消失（object disappearance）或误分类（misclassification）。
    
• 攻击能力假设：采用“数据投毒”（data poisoning）威胁模型，仅需污染部分训练数据，无需干预训练过程。

2. 后门攻击设计

研究提出两种新型攻击方法：
- 目标影响攻击（Object-Affecting Attack, OAA）：通过修改特定目标（如车辆）的温度触发区域，使其被漏检或误判为其他类别（如行人）。
- 范围影响攻击（Range-Affecting Attack, RAA）：在场景中部署单一触发装置，使触发点周围某一类目标（如所有车辆）集体失效。

触发机制创新：
- 温度调制触发：利用电加热装置（成本美元）远程控制触发温度，实现攻击的动态激活/关闭（OAA）或范围调整（RAA）。
- 数字模拟方法：基于热红外相机响应函数（公式：( p = 1.4221 \times 10^{-4} \times t^4 - 15.4760 )），将温度差异转化为像素块（pixel block）嵌入图像。

3. 实验验证

数据集与模型：
- 数字实验：使用FLIR V2 T（13,460张图像）和FIR Det（7,521张图像）数据集，测试YOLOv5、YOLOv3和Faster R-CNN模型。
- 物理实验：在停车场和十字路口场景部署HTI-301热红外相机（分辨率384×288），采集1,268张真实场景图像。

评估指标：
- 攻击成功率（Attack Success Rate, ASR）：触发条件下目标被成功攻击的比例。
- 良性准确率波动（Benign Accuracy Fluctuation, BAF）：后门模型对干净样本的检测性能变化。

关键参数测试：
- OAA：触发像素值（p）、投毒比例（q）对ASR的影响。例如，当p=192、q=20%时，ASR达97.87%。
- RAA：攻击半径（ar）与触发温度的关联性。当ar=150像素时，ASR为96.55%。

主要结果

1. 数字环境攻击效能

   • OAA：在YOLOv5模型上，车辆误分类为行人的ASR最高达98.21%（FLIR V2 T数据集），BAF仅下降3.4%。
     
   • RAA：攻击半径扩展至300像素时，ASR升至98.19%，但BAF显著降低（-31.8%）。
     

2. 物理世界验证

   • 在停车场场景中，OAA的ASR达98.38%；十字路口场景中，RAA的ASR为97.85%。
     
   • 温度调制效果：当触发温度≤26.6°C时，OAA攻击激活；≥36.8°C时攻击关闭，验证了动态控制的可行性。
     

3. 防御措施评估

   • 剪枝（Pruning）：虽可将ASR降至63.33%，但良性样本检测精度（车辆）从81.7%暴跌至42.7%。
     
   • Neural Cleanse：传统反向工程方法无法检测攻击（异常指数）。
     

结论与价值

科学意义：
- 首次系统性证明TIOD对温度调制后门攻击的脆弱性，填补了红外视觉安全研究的空白。
- 提出“温度-像素”映射模型和物理触发装置设计范式，为多模态传感器安全研究提供新思路。

应用价值：
- 警示自动驾驶、安防监控等关键场景需加强TIOD模型的鲁棒性验证。
- 低成本攻击方案（美元）凸显现实威胁的紧迫性。

研究亮点

1. 创新性攻击方法：OAA与RAA分别针对个体和群体目标，扩展了后门攻击的应用维度。
   
2. 跨域验证：在数字与物理世界中均实现>96%的ASR，证明攻击的普适性。
   
3. 温度调制机制：通过不可见温度变化实现隐蔽控制，突破传统视觉触发限制。
   

局限性：未探讨多目标协同攻击及复杂环境（如动态温度场）下的攻击稳定性，未来可进一步优化触发设计与防御策略。

（报告字数：约1,800字）