本文研究数据高效后门攻击中的投毒样本选择问题。后门攻击通过污染训练数据，使模型在干净输入上保持正常精度，但在包含触发器（trigger）的输入上预测攻击者指定的目标类别。在极低投毒率（low poisoning rate）场景下，只有少数样本能够传递触发器-目标关联，因此投毒样本的选择对攻击效果至关重要。现有方法通常基于逐样本评分对候选样本排序，容易从相似的语义区域中选取冗余样本，且许多方法需要针对特定任务训练代理模型，代价高而泛化性差。作者提出了一种名为分布特征覆盖样本选择（DFCS）的方法，它是无需训练、与触发器无关的。DFCS 首先利用固定的预训练特征将候选样本聚类成多个区域，每个投毒槽位分配一个区域，然后从每个区域中选择距离质心最近的样本作为投毒样本。作者通过局部一阶分析将这种选择方案与特征覆盖和代表性质量项联系起来，从理论上解释了其有效性。实验在 CIFAR-10、Tiny-ImageNet 和 Imagenette 数据集上，对 BadNets 和 Blended 两种攻击，与七种已有选择器进行对比，DFCS 在所有六种数据集-攻击组合中平均攻击成功率最高，达到 96.30%，相比每种设置下最强对比方法平均高出 4.60 个百分点，同时并未降低干净数据的准确率。结果表明，分布特征覆盖是低预算脏标签后门攻击的有效选择原则。该研究加深了对低投毒率攻击机制的理解，也为防御端设计更鲁棒的数据消毒和样本筛选方法提供了新的视角。

本文针对黑盒成员推理攻击（MIAs）中存在的查询效率问题，提出了一种预查询样本选择框架PSS-MIA。传统的黑盒MIAs对所有候选样本不加区分地进行查询，导致大量查询成本浪费在信息量低的样本上，且增加了查询暴露风险。作者首先定义了问题：哪些候选样本值得查询？PSS-MIA分为两个阶段：第一阶段使用提出的Loss-Gap Ranking（LGR）方法，通过参考模型计算候选样本的损失差（loss gap），估计其成员信号强度，据此对样本排序并筛选出子集；第二阶段仅对选中的样本进行目标模型查询，并将返回结果用于任意现有的黑盒MIA方法。在CIFAR-10、CIFAR-100和CINIC-10数据集上，结合五种代表性黑盒MIA方法（如LiRA、RMIA等）的实验表明，PSS-MIA在保持或提升推理精度的同时，显著降低了查询预算：在0.1%假阳性率（FPR）约束下，分别节省至少83.1%、60.6%和80.4%的查询次数。研究贡献在于提出了一个通用、即插即用的样本选择框架，揭示了样本非均匀成员信号特性，并提供了理论上的排序依据。适合关注机器学习隐私攻击与防御的研究人员、模型发布者以及AI审计团队阅读。