为了解决神经网络训练时的巨大资源消耗,MLaa S(机器学习即服务)正如Saa S(软件即服务),Paa S(平台即服务)和Iaa S(基础设施即服务)一样,已成为一种发展趋势。但伴随而来的是第三方提供服务的不可信问题:机器学习服务提供商可能由于遭受黑客攻击或受额外利益的诱惑而在其服务模型中部署木马后门,发布附带恶意功能的神经网络模型,即神经网络木马。当对这些被感染的模型输入带有特殊标记的样本时,就会触发被感染模型中的恶意功能,从而造成样本分类的改变或者病毒攻击。本文研究神经网络木马带来的安全问题,重点研究基于冗余节点的神经网络木马攻击方式。通过比较木马再训练与对抗训练这两种训练方式的不同之处,本文发现在神经网络中嵌入恶意木马节点会使这些节点的参数配置异常,并且这种异常是神经网络木马相比较其他对神经网络攻击方式所独有的特征。基于这一特征,本文提出基于行锤攻击的神经网络在线木马化方法,能够将攻击目标标签可以设定为任意目标标签。为此,本文选择网络中最后一个全连接层中与目标分类相关的节点作为目标节点,利用行锤故障攻击,在模型运行过程中,翻转目标节点的参数在内存中特定的比特位,从而在线将这些节点木马化。利用本方法可以保证木马触发率高达95%,同时保证这些节点在未被激活时,木马模型与原始模型的分类性能十分相似。与先前神经网络木马攻击方法相比,本文提出的方法扩大了神经网络木马攻击的范围,同时应对攻击者无法再训练模型的情况。同时,本文提出了一种基于样本判定误差的神经网络木马检测方法,能够既检测在离线训练时嵌入的木马节点,也能够检测出在线修改嵌入的木马节点。本文将木马节点的检测问题抽象为异常值挖掘问题,通过计算整体样本分类的误差,利用反向传播机制,计算出每个网络中每个节点对整体误差的影响,检测其中的异常节点。通过此方法,可以成功检测出木马触发率在5%以上的木马节点。并且该方法成本低廉,仅需要测试不受信任的模型和少量合法数据集。关于防御木马攻击神经网络的研究仍处于起步阶段,本文的研究可能会为深度学习在现实生活中应用的安全性提供启示。