后门样本不再只看最后一层：CLEAR把跨层极值响应拼起来，Tiny-ImageNet平均TPR达99.54%
核心概要
CLEAR把后门样本检测从单层激活搬到跨层极值响应上：先用批归一化统计量把各隐藏层特征对齐到同一尺度，再取每个通道的空间最小值作为异常表示，并用粒子群优化搜索层间权重。在CIFAR-10与Tiny-ImageNet上，CLEAR的平均真阳性率分别为97.54%和99.54%，平均假阳性率为0.16%和0.03%，高于AC、SCALE-UP、AIBD与CCD；用其清洗后的数据重训，模型准确率接近良性模型。
深度剖析
后门样本检测不再只依赖倒数第二层的激活，而是把多个隐藏层的通道极值响应拼接成一个跨层表示，用来捕捉被稀释的触发痕迹。 此前的检测方法大多只用单个隐藏层的激活特征或输入输出映射，在低毒化率、隐蔽触发以及A2A、UT这类攻击下，异常信号分散到不同深度，单层特征难以捕捉。 在CIFAR-10与Tiny-ImageNet上，CLEAR的平均真阳性率为97.54%和99.54%，平均假阳性率为0.16%和0.03%，对照的AC、SCALE-UP、AIBD、CCD在Tiny-ImageNet上的平均真阳性率分别为11.96%、28.36%、39.21%和41.23%。
层间权重不靠人工设定，而由粒子群优化在聚类稳定性反馈下自动搜索，使对后门响应敏感的层获得更大权重。 此前选择哪些层、如何加权通常依赖先验知识或固定规则，毒化率变化或触发形式未知时泛化会下降。 每个粒子的位置是一组层注意力权重，适应度取UMAP降维后HDBSCAN聚类中最稳定且样本占比低于阈值τ的微簇的稳定性分数；实验取粒子数30、最大迭代50、τ为0.15。
最终用密度聚类挑出最稳定的异常微簇作为中毒样本集，不需要干净验证集或攻击先验。 此前的谱签名类方法依赖SVD提取全局主成分，低毒化率下异常信号会被良性特征淹没，激活聚类则预设聚类结构与簇大小分布。 在CIFAR-10上，A2A与UT模式下AC的真阳性率普遍接近0，而CLEAR在A2A的BadNets、Blend、Trojan、WaNet上分别为100.00%、99.43%、99.92%、95.66%。
启示与展望
实验覆盖CIFAR-10与Tiny-ImageNet两个图像分类数据集，攻击为BadNets、Blend、Trojan、WaNet，范式为A2O、A2A、UT，默认毒化率10%，检测模型以ResNet-18为主并补充VGG-19与MobileNet v2；作者提出后续将考察文本与语音任务、DenseNet与Transformer架构，以及更低毒化率、多触发、多目标和干净标签攻击。
在CIFAR-10的UT设定下，Blend攻击经CLEAR清洗重训后攻击成功率仍为42.71%，作者指出该攻击残留的后门效应更强、需要进一步研究；VGG-19较浅的结构可能降低特征可分性，在无目标攻击下会把部分良性样本误判，作者建议通过调整异常微簇阈值降低假阳性。