Wrong-Physics Backdoors in Neural PDE Operators

📄 arXiv: 2608.20439v1 📥 PDF

作者: Hanbing Liang, Fujun Liu

分类: cs.LG, physics.comp-ph

发布日期: 2026-08-20

💡 一句话要点

提出错误物理后门以解决神经偏微分方程算子的验证问题

🎯 匹配领域: 支柱四：生成式动作 (Generative Motion)

关键词: 神经偏微分方程 数据中毒 物理验证 模型安全性 傅里叶神经算子 交叉参数重联 后门攻击

📋 核心要点

  1. 现有方法在验证神经PDE算子时，依赖于干净的预测误差，缺乏对物理参数来源的有效验证。
  2. 本文提出交叉参数重联的方法，通过数据中毒使得错误的物理参数下仍能输出合理的解。
  3. 实验结果显示，FNO在对流扩散和二维Navier-Stokes问题上实现了1.0000的后门成功率，且保持低误差。

📝 摘要（中文）

神经偏微分方程（PDE）算子越来越多地在可重用求解器档案上进行训练，但验证通常依赖于干净的预测误差和参数无关的合理性检查。本文引入了交叉参数重联，这是一种数据中毒原语，使触发输入在不正确的物理参数下选择同一PDE家族中的有效解。我们将其称为错误物理后门：输出在物理上仍然合理，但对于预期参数是错误的。该攻击利用了多参数档案中的张量到参数的来源失败，通过标记替代输入并将其监督重联到同一潜在样本的缓存替代参数解。通过476次攻击实验，我们评估了Burgers、对流扩散、二维Navier-Stokes和椭圆泊松案例。傅里叶神经算子和DeepONet提供了主要证据，Transformer、GRU和LSTM模型作为支持。FNO在对流扩散和二维Navier-Stokes上达到1.0000的后门成功率，同时保持低的干净相对L2误差。

🔬 方法详解

问题定义：本文旨在解决神经PDE算子在多参数档案中验证的不足，现有方法未能有效验证物理参数的来源，导致潜在的安全隐患。

核心思路：通过引入交叉参数重联的概念，使得触发输入在错误的物理参数下仍能选择有效解，从而实现错误物理后门的构建。该设计旨在利用现有的求解器档案，提升攻击的隐蔽性和有效性。

技术框架：整体架构包括数据中毒的输入标记、监督重联和多参数解的选择。首先，通过标记输入数据，然后将其监督重联到缓存的替代参数解，最终实现对同一潜在样本的有效攻击。

关键创新：最重要的技术创新在于提出了错误物理后门的概念，利用张量到参数的来源失败，突破了传统验证方法的局限性。

关键设计：在实验中，采用了傅里叶神经算子和DeepONet作为主要模型，设计了多种控制实验（如干净标签、仅标签和洗牌控制），以确保攻击的有效性和隐蔽性。

🖼️ 关键图片

fig_0
fig_1

📊 实验亮点

实验结果表明，FNO在对流扩散和二维Navier-Stokes问题上实现了1.0000的后门成功率，同时保持低于干净相对L2误差的水平。这表明高攻击成功率与低误差的结合是实现有效攻击的关键。

🎯 应用场景

该研究的潜在应用领域包括科学计算、工程模拟和安全性评估等。通过识别和修复神经PDE算子中的错误物理后门，可以提高模型的可靠性和安全性，防止潜在的攻击风险，具有重要的实际价值和未来影响。

📄 摘要（原文）

Neural PDE operators are increasingly trained on reusable solver archives, yet validation often relies on clean prediction error and parameter-agnostic plausibility checks. We introduce cross-parameter relinking, a data-poisoning primitive that makes a triggered input select a valid solution from the same PDE family under an incorrect physical parameter. We term this a wrong-physics backdoor: the output remains physically plausible but is wrong for the intended parameter. The attack exploits tensor-to-parameter provenance failures in multi-parameter archives by stamping the surrogate input and relinking its supervision to a cached alternate-parameter solution for the same latent sample. Across 476 attack campaigns, we evaluate Burgers, advection-diffusion, two-dimensional Navier-Stokes, and an elliptic Poisson case. Fourier Neural Operators and DeepONet provide the primary evidence, with Transformer, GRU, and LSTM models as support. FNO reaches a backdoor success rate of 1.0000 on both advection-diffusion and two-dimensional Navier-Stokes while retaining low clean relative L2 error. Clean-label, label-only, and shuffled controls show that high attack success alone is insufficient: successful attacks must move predictions toward the intended alternate-physics target while preserving bounded clean error. These results expose a structural validation gap: smoothness or generic solver-like behavior is insufficient unless the provenance of the intended physical parameter is also verified.