Omni: Automated Ensemble with Unexpected Models against Adversarial Evasion Attack
North Carolina State University（北卡罗来纳州立大学）
背景：基于机器学习的安全检测模型在现代恶意软件和入侵检测系统中已经变得普遍。然而，以前的研究表明，这种模型容易受到对抗性逃避攻击。在这种类型的攻击中，输入（即，对抗性示例）是由智能恶意对手特别制作的，目的是被现有技术水平的模型错误分类（例如，深度神经网络）。一旦攻击者可以欺骗分类器，使其认为恶意输入实际上是良性的，他们就可以使基于机器学习的恶意软件或入侵检测系统失效。目标：通过集成模型的思想，帮助安全从业者和研究人员构建一个更强大的模型来对抗非自适应、白盒和非针对性的对抗性规避攻击。方法：我们提出了一种名为Omni的方法，其主要思想是探索创建“意外模型”集合的方法;即，模型的控制超参数有一个大的距离对手的目标模型的超参数，我们然后做一个优化的加权集成预测。测试结果：在对五种安全数据集（NSL-KDD，CIC-IDS-2017，CSE-CIC-IDS 2018，CICAnd-Mal 2017和Contagio PDF数据集）进行的五种类型的对抗性规避攻击（FGSM，BIM，JSMA，DeepFool和Carlini-Wagner）的研究中，我们发现与其他基线治疗方法相比，Omni是一种很有前途的对抗对抗攻击的防御策略。结论：当采用集成防御对抗性逃避攻击时，我们建议使用与攻击者的预期模型（即，目标模型）通过超参数优化等方法。
2021-10-12 cs.CR cs.LG
Do You Think You Can Hold Me? The Real Challenge of Problem-Space Evasion Attacks
Android恶意软件是一种在虚拟世界中传播的疾病。防病毒和检测系统不断进行补丁和更新，以抵御这些威胁。大多数最新的恶意软件检测方法都使用机器学习（ML）。针对检测系统的鲁棒性努力，提出\emph{evasion attacks}，其中对手更改其目标样本，以便将其错误分类为良性。本文考虑了两种规避攻击：特征空间和问题空间。\emph{Feature-space}攻击考虑的是操纵ML特征以逃避正确分类同时最小化或约束总操纵的对手。\textit{Problem-space}攻击是指改变实际样本的规避攻击。具体而言，本文分析了这两种类型之间的差距在Android恶意软件领域。两种类型的逃避攻击之间的差距检查通过使用每一个逃避攻击类型的分类器的再训练过程。实验结果表明，这两类再训练分类器的分类性能差距很大，最大可达96%.已发现特征空间规避攻击的再训练分类器对问题空间规避攻击的有效性较低或完全无效。此外，不同的问题空间规避攻击的探索表明，一个问题空间规避攻击的再训练可能对其他问题空间规避攻击有效。
2022-05-09 cs.CR
Characterizing Internal Evasion Attacks in Federated Learning
Carnegie Mellon University（卡内基梅隆大学）
本文首次表征了联邦学习中对抗性客户端在测试时发起的内部规避攻击，发现对抗训练防御效果有限，但将其与个性化联邦学习框架结合可使相对鲁棒性提升60%。
2023-10-21 cs.CR cs.LG
Why Do Adversarial Attacks Transfer? Explaining Transferability of Evasion and Poisoning Attacks
Northeastern University（东北大学）；University of Cagliari（卡利亚里大学）；Pluribus One
可转移性捕获了针对机器学习模型的攻击对不同的、可能未知的模型有效的能力。在以前的工作中已经显示了可转移性的经验证据，但是攻击转移或不转移的根本原因还没有很好地理解。在本文中，我们提出了一个全面的分析，旨在研究测试时逃避和训练时中毒攻击的可转移性。我们提供了一个统一的规避和中毒攻击的优化框架，以及这种攻击的可转移性的正式定义。我们强调了两个主要因素有助于攻击的可转移性：目标模型的内在对抗性脆弱性，以及用于优化攻击的代理模型的复杂性。基于这些见解，我们定义了三个影响攻击可转移性的指标。有趣的是，我们从理论分析中得出的结果适用于逃避和中毒攻击，并且使用广泛的线性和非线性分类器和数据集进行实验证实。
2019-06-13 cs.CR cs.LG stat.ML
Improving Robustness of ML Classifiers against Realizable Evasion Attacks Using Conserved Features
Washington University in St. Louis（圣路易斯华盛顿大学）；UIUC（伊利诺伊大学厄巴纳-香槟分校）；Ariel University（阿里埃勒大学）；University of Michigan（密歇根大学）
机器学习（ML）技术在安全应用中越来越常见，例如恶意软件和入侵检测。然而，ML模型通常容易受到规避攻击的影响，其中对手对输入（例如恶意软件）进行更改以避免被检测到。评估ML对此类攻击的鲁棒性以及设计鲁棒ML的传统方法是通过考虑简化的攻击特征空间模型，其中攻击者直接改变ML特征以实现规避，同时最小化或限制这种变化的幅度。我们研究了这种方法在面对可以在实际恶意软件中实现的攻击（可实现的攻击）时设计鲁棒ML的有效性。我们证明，在基于结构的PDF恶意软件检测的上下文中，这样的技术似乎有有限的有效性，但他们是有效的基于内容的检测器。在这两种情况下，我们表明，增加保守的功能（那些不能单方面修改而不损害恶意功能）的特征空间模型显着提高性能。最后，我们表明，特征空间模型，使广义的鲁棒性时，面对各种可实现的攻击，相比，被调整到一个特定的可实现的攻击是强大的分类器。
2019-05-10 cs.CR cs.LG
Malware Evasion Attack and Defense
McAfee（迈克菲）
机器学习（ML）分类器容易受到对抗性样本的影响。一个对抗性的例子是一个输入样本，它被稍微修改以在ML分类器中引起错误分类。在这项工作中，我们调查白盒和灰盒规避攻击ML为基础的恶意软件检测器，并在现实世界中进行性能评估。我们比较了防御方法在减轻攻击。我们提出了一个框架，部署灰盒和黑盒攻击的恶意软件检测系统。
2019-04-16 cs.CR cs.LG stat.ML
Problem-Space Evasion Attacks in the Android OS: a Survey
Android是全球最受欢迎的操作系统。因此，它是各种恶意软件的目标。作为一种对策，安全社区夜以继日地开发适当的Android恶意软件检测系统，其中基于ML或基于DL的系统被认为是最常见的类型。针对这些检测系统，智能对手开发了一系列规避攻击，其中攻击者稍微修改恶意软件样本以逃避其目标检测系统。在本调查中，我们解决了Android操作系统中的问题空间规避攻击，攻击者操纵实际的APK，而不是其提取的特征向量。我们的目标是探索这类攻击，由于缺乏对Android领域的了解，或者由于专注于一般的数学规避攻击，这类攻击经常被研究社区忽视-即，特征空间规避攻击我们讨论了问题空间规避攻击的不同方面，使用一种新的分类法，它侧重于每个问题空间攻击的关键成分，如攻击者模型，攻击者的操作模式，以及攻击后应用程序的功能评估。
2022-06-21 cs.CR
Projective Ranking-based GNN Evasion Attacks
Monash University（莫纳什大学）；Griffith University（格里菲斯大学）；Academy of Mathematics and Systems Science, Chinese Academy of Sciences（中国科学院数学与系统科学研究院）
图神经网络（GNNs）为图相关任务提供了有前途的学习方法。然而，GNN面临对抗攻击的风险。目前的规避攻击方法的两个主要局限性突出：（1）目前的GradArgmax忽略了“长期”的扰动的好处。在某些情况下，它面临着零梯度和无效的效益估计。(2)在基于强化学习的攻击方法中，当攻击预算发生变化时，学习到的攻击策略可能无法转移。为此，我们首先制定扰动空间，并提出了一个评估框架和投影排名方法。我们的目标是学习一个强大的攻击策略，然后尽可能少地调整它，以在动态预算设置下生成对抗样本。在我们的方法中，基于互信息，我们排名和评估的攻击效益的每一个扰动的有效的攻击策略。通过投影的战略，我们的方法显着地最大限度地减少了学习一个新的攻击策略时，攻击预算的变化。在与GradArgmax和RL-S2 V的对比评估中，结果表明该方法具有较高的攻击性能和有效的可移植性。我们方法的可视化还揭示了生成对抗样本时的各种攻击模式。
2023-02-07 cs.CR cs.LG
Evasion Attacks on Cost-Utility-Based Adversarial Training for Online AutoML in IoT Networks
Ontario Tech University（安大略理工大学）；Alex Ekwueme Federal University（亚历克·埃克韦梅联邦大学）
本研究评估物联网网络中在线AutoML下黑盒规避攻击对基于成本效用的对抗训练的影响，发现LB和SRP的对抗训练版本在最高成本预算下达到最佳对抗准确率0.985，最大准确率下降仅0.8%。
2026-09-29 cs.CR cs.LG
Practicable Black-box Evasion Attacks on Link Prediction in Dynamic Graphs -- A Graph Sequential Embedding Method
Nanchang University（南昌大学）；Illinois Institute of Technology（伊利诺伊理工学院）
本文提出首个可实践的黑盒逃避攻击方法，利用图序列嵌入和深度强化学习，在有限交互与扰动下有效攻击动态图链路预测模型，并经实验验证其有效性与实用性。
2024-12-17 cs.CR cs.LG
Technical Report: When Does Machine Learning FAIL? Generalized Transferability for Evasion and Poisoning Attacks
University of Maryland, College Park（马里兰大学帕克分校）
最近的结果表明，对监督机器学习系统的攻击是非常有效的，而防御很容易被新的攻击绕过。然而，机器学习系统的规范目前缺乏精确的对手定义，现有的攻击对发起攻击的对手的实力做出了各种各样的、可能不切实际的假设。我们提出了FAIL攻击者模型，它描述了对手的知识和控制沿四个维度。我们的模型允许我们考虑各种较弱的对手，他们对所使用的功能、学习算法和训练实例的控制有限且知识不完整。为了评估FAIL模型的效用，我们考虑在现实环境中进行有针对性的中毒攻击的问题：精心制作的毒药样本必须有干净的标签，必须单独和集体不显眼，并且必须表现出FAIL模型定义的广义形式的可转移性。通过考虑这些约束，我们设计了StingRay，这是一种针对性的中毒攻击，可以针对4种机器学习应用程序，这些应用程序使用3种不同的学习算法，并且可以绕过2种现有的防御。相反，我们证明了在广义可转移性下，先验规避攻击的有效性较低。在失败对手模型下，这种攻击评估也可能为未来的防御提出有希望的方向。
2019-03-08 cs.CR cs.LG
Efficient, Direct, and Restricted Black-Box Graph Evasion Attacks to Any-Layer Graph Neural Networks via Influence Function
Illinois Institute of Technology（伊利诺伊理工学院）；The Pennsylvania State University（宾夕法尼亚州立大学）；Huazhong University of Science and Technology（华中科技大学）；University of Maryland（马里兰大学）；Nanchang University（南昌大学）；Duke University（杜克大学）
本文提出基于影响函数的受限黑盒图规避攻击InfAttack，将GNN攻击转化为LP标签影响计算，无需模型参数即可攻击任意层GNN，并在保持攻击效果的同时获得5至50倍加速。
2023-12-16 cs.CR cs.LG
Mitigating Evasion Attacks to Deep Neural Networks via Region-based Classification
Duke University（杜克大学）
深度神经网络（DNN）已经改变了几个人工智能研究领域，包括计算机视觉、语音识别和自然语言处理。然而，最近的研究表明，DNN在测试时容易受到对抗性操纵。具体来说，假设我们有一个测试示例，其标签可以被DNN分类器正确预测。攻击者可以在测试示例中添加一个精心制作的小噪声，这样DNN分类器就会预测出一个不正确的标签，其中精心制作的测试示例被称为对抗性示例。这种攻击称为逃避攻击。规避攻击是在自动驾驶汽车等安全关键应用中部署DNN的最大挑战之一。在这项工作中，我们开发了新的方法来抵御逃避攻击。我们的关键观察是，对抗性样本接近分类边界。因此，我们提出基于区域的分类对对抗性示例具有鲁棒性。对于良性/对抗性测试示例，我们将信息集成在以示例为中心的超立方体中以预测其标签。相比之下，传统的分类器是基于点的分类，即，在给定测试示例的情况下，分类器仅基于测试示例来预测其标签。我们对MNIST和CIFAR-10数据集的评估结果表明，我们基于区域的分类可以显着减轻规避攻击，而不会牺牲良性示例的分类准确性。具体来说，我们的基于区域的分类实现了相同的分类精度测试良性的例子，基于点的分类，但我们的基于区域的分类是显着更强大的比基于点的分类各种规避攻击。
2019-12-31 cs.CR cs.LG stat.ML
Towards Certified Malware Detection: Provable Guarantees Against Evasion Attacks
Department of Computer Applications, Cochin University of Science and Technology（计算机应用系，科钦大学科学与技术学院）；Department of Electrical, Computer and Biomedical Engineering, University of Pavia（电气、计算机与生物医学工程系，帕维亚大学）
本文提出基于随机平滑的可信恶意软件检测框架，通过特征剥离和目标噪声注入，提供对抗逃避攻击的可证明鲁棒性。
2026-04-22 cs.CR cs.LG
Adversarial Feature Selection against Evasion Attacks
South China University of Technology（华南理工大学）；University of Cagliari（卡利亚里大学）
模式识别和机器学习技术已越来越多地用于对抗性设置，如垃圾邮件、入侵和恶意软件检测，尽管它们针对精心设计的攻击的安全性尚未得到彻底评估，这些攻击旨在通过在测试时操纵数据来逃避检测。虽然以前的工作主要集中在设计对手感知的分类算法来对抗逃避尝试，但只有少数作者考虑了使用减少的特征集对分类器安全性的影响。一个有趣的，初步的结果是，分类安全规避可能会恶化的应用程序的特征选择。在本文中，我们提供了一个更详细的调查，这方面的特征选择对规避攻击的安全属性，脱落一些光。受以往工作的启发，对手意识的分类器，我们提出了一种新的对手意识的特征选择模型，可以提高分类器的安全性规避攻击，通过将具体的假设对手的数据操作策略。我们专注于一个高效的，基于包装的实现我们的方法，并通过实验验证其合理性不同的应用程序的例子，包括垃圾邮件和恶意软件检测。
2020-05-25 cs.CR cs.LG stat.ML
Attack Tree Analysis for Adversarial Evasion Attacks
Japan Advanced Institute of Science and Technology（日本先端科学技术大学院大学）
本研究提出一种基于扩展攻击树的定量评估方法，通过系统化三步构建流程分析逃避攻击风险，并在三个ML图像识别系统上验证其通用性和有效性。
2023-12-28 cs.CR cs.CV cs.LG
EG-Booster: Explanation-Guided Booster of ML Evasion Attacks
University of Michigan, Dearborn（密歇根大学迪尔伯恩分校）
机器学习（ML）在众多领域的广泛使用引发了对其在安全关键环境中的可信度的质疑。对可信ML的部分追求是对ML模型进行鲁棒性评估，以测试对抗性示例。与可信赖的ML目标相一致，可能有助于鲁棒性评估的有用输入是模型预测的基于特征的解释。在本文中，我们提出了一种名为EG-Booster的新方法，该方法利用可解释的ML技术来指导对抗性示例制作，以便在将ML模型部署到安全关键设置中之前对其进行改进的鲁棒性评估。EG-Booster的关键见解是使用基于特征的模型预测解释来指导对抗性示例制作，方法是添加可能导致模型规避的结果性扰动，并避免不太可能导致规避的非结果性扰动。EG-Booster对模型架构、威胁模型不可知，并支持文献中以前使用的各种距离度量。我们使用图像分类基准数据集，MNIST和CIFAR 10评估EG-Booster。我们的研究结果表明，EG-Booster显着提高了最先进的攻击的逃避率，同时执行更少的扰动。通过涵盖四种白盒和三种黑盒攻击的广泛实验，我们证明了EG-Booster对两个在MNIST和CIFAR 10上训练的无防御神经网络以及另一个在CIFAR 10上训练的对抗训练ResNet模型的有效性。此外，我们引入了一个稳定性评估指标，并通过观察EG-Booster多次运行的模型分类输出之间的相似性来评估我们基于简化的方法的可靠性。
2021-09-02 cs.CR cs.LG
A Novel Perturb-ability Score to Mitigate Evasion Adversarial Attacks on Flow-Based ML-NIDS
本文提出可扰动性评分（PS）量化NIDS特征受操纵风险，通过PS引导的特征选择与掩蔽，在保持检测性能的同时显著降低规避对抗攻击的脆弱性。
2025-06-18 cs.AI cs.CR cs.LG
Multi-SpacePhish: Extending the Evasion-space of Adversarial Attacks against Phishing Website Detectors using Machine Learning
University of Padua（帕多瓦大学）；University of Liechtenstein（列支敦士登大学）；Delft University of Technology（代尔夫特理工大学）
本文针对钓鱼网站检测的ML模型，形式化逃逸空间并提出低成本现实威胁模型，首次统计验证多种逃逸攻击，并探索多空间联合扰动导致检测率显著下降。
2023-10-12 cs.CR cs.LG cs.NI
Effectiveness of Adversarial Benign and Malware Examples in Evasion and Poisoning Attacks
本文研究良性对抗样本在恶意软件检测逃避与投毒攻击中的有效性，通过修改现有生成器证明其与恶意样本同样有效，且在投毒攻击中影响更大，揭示了新的安全威胁。
2025-01-19 cs.CR
Adequacy of the Gradient-Descent Method for Classifier Evasion Attacks
University of Melbourne（墨尔本大学）
尽管机器学习在包括计算机安全在内的对抗性环境中得到了广泛应用，但最近的研究表明，规避攻击存在漏洞-精心制作的对抗性样本与合法实例非常相似，但会导致错误分类。在本文中，我们研究了产生对抗样本的主要方法-梯度下降方法的充分性。特别是（1）我们在MNIST、USPS和Spambase三个数据集上进行了大量的实验，以分析梯度下降方法对非线性支持向量机的有效性，并得出结论，仔细降低核平滑度可以显着提高对攻击的鲁棒性;（2）我们证明了分离的类间支持向量导致更安全的模型，并提出了一个类似于裕度的量，可以在攻击发起之前有效地预测对梯度下降攻击的潜在易感性;（3）设计了一种新的基于类决策函数乘性比优化的对抗样本构造算法。
2017-05-25 cs.CR cs.LG stat.ML
Fall of Giants: How popular text-based MLaaS fall against a simple evasion attack
University of Padua（帕多瓦大学）
对机器学习应用的需求增加使得公司提供机器学习即服务（MLaaS）。在MLaaS（到2025年市场估计为8亿美元）中，用户为性能良好的ML模型付费，而无需处理复杂的训练过程。在MLaaS中，基于文本的应用程序是最受欢迎的应用程序（例如，语言翻译）。鉴于这种流行，MLaaS必须为对抗性操作提供弹性。例如，错误的翻译可能会导致双方之间的误解。在文本领域，最先进的攻击主要集中在利用ML模型弱点的策略上。不幸的是，没有太多的注意力给予其他流水线的阶段，如索引阶段（即，当句子从文本表示转换为数字表示时），如果操纵，则会显著影响应用程序的最终性能。在本文中，我们提出了一种新的文本规避技术称为“\textit{Zero-Width}攻击”（ZeW），利用人类不可读字符的注入，影响索引阶段的机制。我们证明了我们简单而有效的攻击欺骗了亚马逊，谷歌，IBM和微软等“巨头”的MLaaS。我们的案例研究基于对仇恨推文的操纵，表明在12个分析的服务中，只有一个对我们的注入策略有抵抗力。最后，我们介绍和测试一个简单的\textit{input validation}防御，可以防止我们提出的攻击。
2021-04-13 cs.CR cs.LG
Making targeted black-box evasion attacks effective and efficient
Aalto University（阿尔托大学）
我们研究了对手如何在黑盒环境中最佳地使用其查询预算来针对深度神经网络进行有针对性的规避攻击。我们正式的问题设置和系统地评估对手可以获得什么好处，通过使用替代模型。我们发现，有一个探索开发权衡，查询效率是在成本的有效性。我们提出了两种使用替代模型的新攻击策略，并表明它们与之前的仅查询技术一样有效，但需要的查询数量少得多，多达三个数量级。我们还表明，敏捷的对手能够通过不同的攻击技术切换，可以实现帕累托最优效率。我们展示了我们对Google Cloud Vision的攻击，表明针对现实世界预测API的黑盒攻击的难度比以前想象的要容易得多（需要大约500个查询，而不是以前的大约20，000个查询）。
2019-06-08 cs.CR cs.LG stat.ML
EvadeDroid: A Practical Evasion Attack on Machine Learning for Black-box Android Malware Detection
Radboud University（拉德堡德大学）；Ruhr University Bochum（波鸿鲁尔大学）
本文提出 EvadeDroid，一种基于良性捐赠应用变换和查询高效优化的黑盒问题空间攻击，可在极少查询下规避多种 Android 恶意软件检测器及商业杀毒软件。
2024-01-25 cs.CR cs.LG
Adversarial RL for Port-Scan Evasion: Attacker Feature Visibility in Edge-Deployed IDS
Pennsylvania State University（宾夕法尼亚州立大学）；Elizabethtown College（伊丽莎白敦学院）
本研究通过DQN对抗者在黑盒、灰盒和白盒设置下学习规避组合，证明有限特征知识即可有效规避边缘部署的ML-IDS模型，凸显了加强物联网边缘防御的必要性。
2026-10-08 cs.CR cs.LG
Bypassing LLM Guardrails: An Empirical Analysis of Evasion Attacks against Prompt Injection and Jailbreak Detection Systems
Mindgard；Lancaster University（兰卡斯特大学）
本文实证分析了 LLM 护栏系统的漏洞，提出通过传统字符注入和对抗机器学习规避技术绕过提示注入与越狱检测，并利用离线白盒模型提升黑盒攻击成功率，揭示了当前保护机制的脆弱性。
2025-07-14 cs.AI cs.CR cs.LG
An Evasion Attack against Stacked Capsule Autoencoder
School of Computer Engineering and Science, Shanghai University（上海大学计算机工程与科学学院）
胶囊网络是一种利用特征之间的空间关系对图像进行分类的神经网络。通过捕捉特征之间的姿态和相对位置，提高了仿射变换的识别能力，在处理平移、旋转和缩放时优于传统的卷积神经网络（CNN）。堆叠胶囊自动编码器（SCAE）是最先进的胶囊网络。SCAE将图像编码为胶囊，每个胶囊包含特征的姿态及其相关性。然后将编码的内容输入到下游分类器中以预测图像的类别。现有的研究主要集中在基于动态路由或EM路由的胶囊网络的安全性上，而对SCAE的安全性和鲁棒性研究较少。在本文中，我们提出了一个规避攻击的规模。在基于模型中的对象胶囊的输出生成扰动之后，将其添加到图像以减少与图像的原始类别相关的对象胶囊的贡献，使得扰动图像将被误分类。通过图像分类实验对该攻击进行了评估，实验结果表明该攻击具有较高的成功率和隐蔽性。它证实了SCAE存在安全漏洞，因此可以在不改变图像原始结构的情况下制作对抗样本来欺骗分类器。我们希望我们的工作将使社区意识到这种攻击的威胁，并提高对SCAE安全的关注。
2021-12-20 cs.CR cs.LG
Online Evasion Attacks on Recurrent Models:The Power of Hallucinating the Future
KAIST（韩国科学技术院）；Tulane University（杜兰大学）
循环模型经常用于自动驾驶等在线任务，需要对其脆弱性进行全面研究。现有的研究是有限的一般性，只解决特定应用程序的脆弱性或作出难以置信的假设，如知识的未来输入。在本文中，我们提出了一个通用的在线任务的攻击框架，结合独特的约束条件的在线设置不同的离线任务。我们的框架是通用的，因为它涵盖了随时间变化的对抗目标和各种优化约束，允许全面研究鲁棒性。使用该框架，我们还提出了一种新的白盒攻击称为预测攻击，“幻觉”的未来。这种攻击平均达到了理想但不可行的千里眼攻击的98%。我们通过各种实验验证了所提出的框架和攻击的有效性。
2022-07-08 cs.AI cs.CR cs.LG
Adversarial Deep Ensemble: Evasion Attacks and Defenses for Malware Detection
Nanjing University of Science and Technology（南京理工大学）
恶意软件仍然是网络安全的一大威胁，需要基于机器学习的恶意软件检测。虽然很有前途，但已知这种检测器容易受到规避攻击。包围学习通常有助于采取对策，而攻击者也可以利用这种技术来提高攻击效率。这促使我们研究集成防御的鲁棒性或集成攻击的有效性，特别是当它们相互攻击时。因此，我们提出了一种新的攻击方法，命名为混合攻击，使攻击者能够多个生成方法和多个操作集，扰乱恶意软件的例子，而不会破坏其恶意功能。这自然会导致对抗性训练的新实例化，从而进一步增强深度神经网络的整体。我们使用Android恶意软件检测器对两个实际数据集上的26种不同攻击进行防御评估。实验结果表明，新的对抗性训练显著增强了深度神经网络对各种攻击的鲁棒性，当基分类器足够鲁棒时，集成方法可以提高鲁棒性，但集成攻击可以有效地避开增强的恶意软件检测器，甚至显着降低了VirusTotal服务。
2020-06-30 cs.CR cs.LG stat.ML
Robustness of Practical Perceptual Hashing Algorithms to Hash-Evasion and Hash-Inversion Attacks
Binghamton University（宾汉姆顿大学）
针对感知哈希算法（PHA）对抗性安全评估不足的问题，本文测试了PhotoDNA、PDQ和NeuralHash三种实用PHA对哈希规避和反转攻击的鲁棒性，发现其表现出显著防御能力并解释原因，还提出增强安全性的防御方法。
2024-12-05 cs.CR cs.CV cs.LG
Using Randomness to Improve Robustness of Machine-Learning Models Against Evasion Attacks
University of Maryland, Baltimore County（马里兰大学巴尔的摩县分校）
机器学习模型已经广泛地用于安全应用中，诸如入侵检测、垃圾邮件过滤以及病毒或恶意软件检测。然而，众所周知，对手总是试图调整他们的攻击以逃避检测。例如，垃圾邮件发送者可能会猜测垃圾邮件检测模型使用哪些功能，并修改或删除这些功能以避免检测。已经有一些工作使机器学习模型对这种攻击更鲁棒。然而，一种简单但有前途的方法，称为{ \em随机化}，尚未得到充分研究。本文提出了一种新的基于随机化的方法来提高机器学习模型对规避攻击的鲁棒性。所提出的方法将随机化纳入模型训练时间和模型应用时间（即当模型用于检测攻击时）。我们还将这种方法应用于随机森林，这是一种现有的ML方法，已经具有一定程度的随机性。在入侵检测和垃圾邮件过滤数据上的实验表明，该方法进一步提高了随机森林方法的鲁棒性。我们还讨论了如何将这种方法应用于其他ML模型。
2018-08-10 cs.CR cs.LG stat.ML
EvaLDA: Efficient Evasion Attacks Towards Latent Dirichlet Allocation
Hangzhou Dianzi University（杭州电子科技大学）；Harvard University（哈佛大学）
作为最强大的主题模型之一，潜在狄利克雷分配（LDA）已被用于广泛的任务，包括文档理解、信息检索和同行评审分配。尽管LDA非常受欢迎，但其安全性却很少被研究。这给基于LDA的安全关键任务（如情感分析和同行评审员分配）带来了严重的风险。在本文中，我们有兴趣知道LDA模型是否容易受到良性文档示例在推理时间的对抗性扰动。我们将对LDA模型的规避攻击形式化为一个优化问题，并证明了它是NP难的。然后，我们提出了一种新的和有效的算法，EvaLDA来解决它。我们通过广泛的实证评估EvaLDA的有效性。例如，在NIPS数据集中，EvaLDA可以平均将目标主题的排名从10提升到7左右，只需将受害者文档中1%的单词替换为相似单词。我们的工作提供了显着的见解逃避攻击LDA模型的权力和限制。
2021-04-12 cs.CR cs.IR cs.LG
Evasion Adversarial Attacks Remain Impractical Against ML-based Network Intrusion Detection Systems, Especially Dynamic Ones
Carleton University（卡尔顿大学）
本文研究了对抗攻击对基于机器学习的网络入侵检测系统（NIDS）的实用性，指出动态系统中的攻击有效性较低，并通过实验表明持续重新训练可降低攻击效果。
2026-03-29 cs.CR cs.LG cs.NI
Treant: Training Evasion-Aware Decision Trees
Ca’ Foscari University of Venice（威尼斯大学）；University of Padua（帕多瓦大学）
尽管机器学习获得了成功和普及，但它现在被认为容易受到规避攻击，即，精心设计的测试输入扰动，旨在迫使预测误差。在本文中，我们专注于规避攻击决策树合奏，这是最成功的预测模型，用于处理非感知问题。尽管决策树集成功能强大且可解释，但到目前为止，它们只受到安全和机器学习社区的有限关注，导致对抗学习技术的最佳状态不佳。因此，我们提出了树，一种新的决策树学习算法，在一个正式的威胁模型的基础上，最大限度地减少规避意识损失函数在树的建设的每一步。Treant基于两个关键技术要素：鲁棒分裂和攻击不变性，这两个要素共同保证了学习过程的可靠性。在三个公开数据集上的实验结果表明，Treant能够生成决策树集合，这些集合同时准确且对规避攻击几乎不敏感，优于最先进的对抗性学习技术。
2019-07-03 cs.CR cs.LG stat.ML
Your Attack Is Too DUMB: Formalizing Attacker Scenarios for Adversarial Transferability
University Of Luxembourg（卢森堡大学）；University of Padova（帕多瓦大学）
提出DUMB攻击者模型及测试平台，通过改变数据集来源、模型架构和标签平衡水平，发现代理与受害模型训练条件不匹配会显著降低对抗样本的迁移攻击性能。
2023-06-27 cs.CR cs.LG
Taking off the Rose-Tinted Glasses: A Critical Look at Adversarial ML Through the Lens of Evasion Attacks
IBM Research（IBM研究院）；Stony Brook University（石溪大学）
本文批判性审视了对抗机器学习领域因不合理的攻击与防御威胁模型假设导致防御研究停滞的问题，主张从系统安全视角而非纯AI视角重新评估防御机制，以应对新兴AI范式的安全挑战。
2024-10-15 cs.CR cs.LG
Evaluating Resilience of Encrypted Traffic Classification Against Adversarial Evasion Attacks
Carleton University（卡尔顿大学）
机器学习和深度学习算法可用于对加密的互联网流量进行分类。在存在针对学习算法的对抗攻击的情况下，加密流量的分类可能变得更具挑战性。在本文中，我们将重点研究不同规避攻击的有效性，并了解机器和深度学习算法的弹性。即，我们测试了C4.5决策树，K-最近邻（KNN），人工神经网络（ANN），卷积神经网络（CNN）和递归神经网络（RNN）。在我们的大多数实验结果中，与机器学习相比，深度学习对对抗性样本表现出更好的弹性。然而，攻击的影响因攻击类型而异。
2021-05-30 cs.AI cs.CR
PhishClone: Measuring the Efficacy of Cloning Evasion Attacks
UNSW（新南威尔士大学）；CSIRO’s Data61（澳大利亚联邦科学与工业研究组织Data61研究所）
基于Web的网络钓鱼占数据泄露的90%以上，大多数Web浏览器和安全供应商依赖机器学习（ML）模型作为缓解措施。尽管如此，在反钓鱼聚合器（如PhishTank和VirusTotal）上定期发布的链接可以轻松绕过现有的检测器。现有技术表明，带有轻微突变的自动网站克隆正在吸引攻击者。这在当前文献中的曝光有限，并导致次优的基于ML的对策。本文的工作进行了第一次实证研究，汇编和评估各种国家的最先进的克隆技术在广泛流传。我们收集了13，394个样本，发现了8，566个确认的网络钓鱼页面，这些页面使用7种不同的克隆机制针对4个热门网站。这些样本是在一个受控平台内复制的，该平台已删除恶意代码，并采取了预防措施，以防止意外访问。然后，我们将我们的网站报告给VirusTotal和其他平台，并定期对结果进行7天的投票，以确定每种克隆技术的有效性。结果表明，没有安全供应商检测到我们的克隆，证明迫切需要更有效的检测器。最后，我们提出了4项建议，以帮助Web开发人员和基于ML的防御，以减轻克隆攻击的风险。
2022-09-04 cs.CR cs.LG
Intra-Section Code Cave Injection for Adversarial Evasion Attacks on Windows PE Malware File
本研究提出节内代码洞穴注入的Windows PE恶意软件对抗规避方法，搭配代码加载器保留恶意软件功能，针对MalConv和MalConv2检测器实现了远高于追加式攻击的规避率。
2024-03-11 cs.CR
Reinforcement Learning-based Black-Box Evasion Attacks to Link Prediction in Dynamic Graphs
Huazhong University of Science Technology（华中科技大学）；Duke University（杜克大学）；Nanyang Technological University（南洋理工大学）；Dalian University of Technology（大连理工大学）
动态图中的链接预测（LPDG）是一个重要的研究问题，它具有多种应用，如在线推荐、疾病传染研究、组织研究等。最近提出了基于图嵌入和图神经网络的各种LPDG方法，并取得了最先进的性能。在本文中，我们研究了LPDG方法的脆弱性，并提出了第一个实际的黑盒规避攻击。具体来说，给定一个经过训练的LPDG模型，我们的攻击旨在扰动图结构，而不知道模型参数，模型架构等，使得LPDG模型产生尽可能多的错误预测链路。我们设计我们的攻击基于随机策略的RL算法。此外，我们评估我们的攻击三个现实世界的图数据集从不同的应用领域。实验结果表明，我们的攻击是有效的和高效的。
2020-09-12 cs.AI cs.CR cs.LG
You Do (Not) Belong Here: Detecting DPI Evasion Attacks with Context Learning
随着深度包检测（DPI）中间盒变得越来越流行，出现了一系列以规避这种中间盒为目标的对抗攻击。这些攻击中的许多攻击利用中间盒网络协议实现与在终端主机上实现的更严格/完整版本之间的差异。这些规避攻击主要涉及对数据包的微妙操作，以在DPI和终端主机上引起不同的行为，从而掩盖恶意网络流量，否则可以检测到。随着最近的自动化发现，手动策划用于检测这些操纵的规则已经变得非常具有挑战性。在这项工作中，我们提出了CLAP，这是第一个完全自动化的无监督ML解决方案，可以准确检测和定位DPI规避攻击。通过学习我们所谓的数据包上下文，它基本上捕获了（1）连接中不同数据包之间的相互关系;（2）每个数据包中的不同报头字段，仅从良性流量跟踪中，CLAP可以检测和查明违反良性数据包上下文的数据包（这些数据包是为逃避目的而专门制作的）。我们的评估与73个国家的最先进的DPI规避攻击表明，CLAP实现了0.963的接收器工作特征曲线下的面积（AUC-ROC），一个相等的出错率（EER）只有0.061的检测，和94.6%的定位准确率。这些结果表明，CLAP可以是一个很有前途的工具，挫败DPI逃避攻击。
2020-11-03 cs.CR cs.NI
PAD: Towards Principled Adversarial Malware Detection Against Evasion Attacks
Nanjing University of Posts and Telecommunications（南京邮电大学）；Nanjing Institute of Technology（南京工程学院）；University of Colorado Colorado Springs（科罗拉多大学斯普林斯分校）
本文提出PAD对抗训练框架，通过可学习凸度量量化分布级离散扰动并提供收敛保证，在两个Android恶意软件数据集上显著提升防御效果，抵御27种规避攻击时检测准确率超83.45%，无攻击时准确率下降小于2.16%。
2023-04-06 cs.CR cs.LG stat.ML
Empirical Analysis of Evasion and Poisoning Against Malware Data Drift Detection
University of Toronto（多伦多大学）；Vector Institute（矢量研究所）
本研究实证分析了针对恶意软件数据漂移检测器与恶意软件分类器组合的规避、投毒攻击，发现数据漂移检测器的独特特性会使针对恶意软件分类器的攻击产生不同效果。
2026-08-13 cs.CR
Constrained Gradient Descent: A Powerful and Principled Evasion Attack Against Neural Networks
Carnegie Mellon University（卡内基梅隆大学）；Duke University（杜克大学）；Tel Aviv University（特拉维夫大学）
我们提出了针对深度神经网络的新的、更有效的有针对性的白盒攻击。我们的攻击更好地与攻击者的目标保持一致：（1）欺骗模型，使目标类的概率高于任何其他类，同时（2）保持在被攻击输入的$ε$距离内。首先，我们展示了一个损失函数，显式编码（1），并表明自动PGD发现更多的攻击。其次，我们提出了一种新的攻击方法，约束梯度下降（CGD），使用我们的损失函数的改进，捕捉（1）和（2）。CGD寻求以原则性的方式满足两个攻击者目标-错误分类和有界$\ell_{p}$ -范数-作为优化的一部分，而不是经由自组织后处理技术（例如，投影或剪切）。我们发现CGD在CIFAR 10（0.9- 4.2%）和ImageNet（8.6- 13.6%）上比最先进的攻击更成功，同时消耗更少的时间（11.4- 18.8%）。统计测试证实，我们的攻击优于其他领先的防御不同的数据集和值的$ε$。
2022-06-21 cs.CR cs.CV cs.LG
Are Self-Driving Cars Secure? Evasion Attacks against Deep Neural Networks for Steering Angle Prediction
Northeastern University（东北大学）；Toyota ITC（丰田ITC）
深度神经网络（DNN）在推进自动驾驶汽车的愿景方面具有巨大的潜力。然而，DNN模型在这种情况下的安全性导致了重大的安全问题，需要更好地理解。我们考虑使用2014年Udacity挑战赛的数据集从相机图像预测转向角的案例研究。我们首次展示了针对分类和回归设置的对抗性测试时间攻击。我们发现，对相机图像的微小修改（所考虑的模型之一的L2距离为0.82）会导致图像对攻击者选择的任何类别的错误分类。此外，我们的回归攻击导致均方误差（MSE）在最坏情况下显著增加69倍。
2019-04-15 cs.CR cs.LG stat.ML
Binary Black-box Evasion Attacks Against Deep Learning-based Static Malware Detectors with Adversarial Byte-Level Language Model
The University of Arizona（亚利桑那大学）；Covax Data Inc.（Covax Data公司）
反恶意软件引擎是防御恶意软件的第一道防线。虽然被广泛使用，但基于功能工程的反恶意软件引擎容易受到看不见的（零日）攻击。最近，基于深度学习的静态反恶意软件检测器在识别看不见的攻击方面取得了成功，而无需特征工程和动态分析。然而，这些检测器容易受到具有轻微扰动的恶意软件变体的影响，称为对抗性示例。生成有效的对抗性示例有助于揭示此类系统的脆弱性。用于发起这种攻击的当前方法需要访问目标反恶意软件模型的规范、反恶意软件响应的置信度分数或动态恶意软件分析，这要么是不现实的要么是昂贵的。我们提出了MalRNN，这是一种基于深度学习的新方法，可以自动生成规避恶意软件变体，而无需任何这些限制。我们的方法具有对抗性示例生成过程，该过程通过生成序列到序列递归神经网络来学习语言模型以增强恶意软件二进制文件。MalRNN有效地避开了三种最近基于深度学习的恶意软件检测器，并优于当前的基准方法。讨论了将我们的MalRNN应用于具有八个恶意软件类别的真实数据集的结果。
2020-12-14 cs.CR cs.LG
Evasion Attacks: How Adversarial Noise Bypasses ML Classifiers
Minot State University（迈诺特州立大学）
本文通过MNIST图像分类和SMS文本分类实验，展示对抗性噪声对机器学习分类器的规避攻击效果，发现图像分类脆弱性显著而文本分类相对稳健，强调鲁棒性需实证检验。
2026-10-02 cs.CL cs.CR cs.LG
A Hard-Label Black-Box Evasion Attack against ML-based Malicious Traffic Detection Systems
针对基于机器学习的恶意流量检测系统，提出利用强化学习与预训练模型Traffic-BERT的硬标签黑盒逃逸攻击NetMasquerade，在80种场景下对6种检测方法实现超96.65%成功率。
2025-10-16 cs.CR
Morphence-2.0: Evasion-Resilient Moving Target Defense Powered by Out-of-Distribution Detection
University of Michigan-Dearborn（密歇根大学迪尔伯恩分校）
针对机器学习模型的规避攻击通常通过对固定目标模型的迭代探测而成功，由此成功一次的攻击将重复成功。对抗这种威胁的一种有希望的方法是使模型成为对抗对抗性输入的移动目标。为此，我们引入了Morphence-2.0，这是一种可扩展的移动目标防御（MTD），由分布外（OOD）检测提供支持，以防御对抗性示例。通过定期移动模型的决策函数，Morphence-2.0使重复或相关攻击成功变得非常具有挑战性。Morphence-2.0部署了一个从基本模型生成的模型池，在响应预测查询时引入了足够的随机性。通过OOD检测，Morphence-2.0配备了一种调度方法，将对抗性样本分配给鲁棒的决策函数，将良性样本分配给不设防的精确模型。为了确保重复或相关攻击失败，部署的模型池在达到查询预算后自动过期，并且模型池被提前生成的新模型池无缝替换。我们在两个基准图像分类数据集（MNIST和CIFAR 10）上对Morphence-2.0进行了评估，以对抗4种参考攻击（3种白盒攻击和1种黑盒攻击）。Morphence-2.0始终优于之前的防御，同时保持干净数据的准确性并减少攻击的可转移性。我们还表明，在OOD检测的支持下，Morphence-2.0能够精确地对模型的决策函数进行基于输入的移动，从而提高对抗性和良性查询的预测准确性。
2022-06-15 cs.CR cs.LG
Who Is the Strongest Enemy? Towards Optimal and Efficient Evasion Attacks in Deep RL
University of Maryland, College Park（马里兰大学帕克分校）；Sun Yat-sen University（中山大学）
评估强化学习（RL）代理在最强/最优对抗扰动下的最坏情况下的性能对于理解RL代理的鲁棒性至关重要。然而，找到最佳的对手是具有挑战性的，无论是在我们是否可以找到最佳的攻击和如何有效地找到它。现有的对抗性强化学习的工作要么使用基于策略的方法，可能无法找到最强的对手，或直接训练一个基于RL的对手，通过治疗代理作为环境的一部分，它可以找到最佳的对手，但可能会变得难以处理在一个大的状态空间。本文提出了一种新的攻击方法，通过设计一个名为“演员”的功能和一个名为“导演”的基于RL的学习器之间的合作，以找到最佳的攻击。参与者为给定的策略扰动方向制作状态扰动，而导演学习提出最佳策略扰动方向。我们提出的算法PA-AD在理论上是最优的，并且在具有大状态空间的环境中比之前基于RL的工作效率要高得多。实证结果表明，我们提出的PA-AD普遍优于国家的最先进的攻击方法在各种Atari和MuJoCo环境。通过将PA-AD应用于对抗训练，我们在强大对手的多个任务中实现了最先进的经验鲁棒性。代码库在https://github.com/umd-huang-lab/paad_adv_rl上发布。
2023-03-20 cs.CR cs.LG
PAC-learning in the presence of evasion adversaries
Princeton University（普林斯顿大学）
在机器学习算法的测试阶段存在规避攻击，这对它们的部署和理解都是一个重大挑战。这些攻击可以通过在输入中添加不可感知的扰动来生成对抗性示例，而找到有效的防御和检测器已被证明是困难的。在本文中，我们远离攻击-防御军备竞赛，并试图了解在逃避对手存在的情况下可以学到什么的限制。特别是，我们扩展了可能近似正确（PAC）的学习框架，占对手的存在。我们首先定义损坏的假设类，产生于标准的二进制假设类中存在的逃避对手，并推导出Vapnik-Chervonenkis（VC）维这些，表示为对抗VC维。然后，我们表明，样本复杂性上界从统计学习的基本定理可以扩展到逃避对手的情况下，其中的样本复杂性由对抗VC维控制。然后，我们显式地推导出对抗VC维的半空间分类器中存在的样本明智的范数约束对手的类型通常研究逃避攻击，并表明它是相同的标准VC维，关闭一个悬而未决的问题。最后，我们证明了对抗VC维可以大于或小于标准VC维，这取决于假设类和对手，使其本身成为一个有趣的研究对象。
2018-06-06 cs.CR cs.LG stat.ML
MalPurifier: Enhancing Android Malware Detection with Adversarial Purification against Evasion Attacks
School of Cyber Science and Engineering, Southeast University, Purple Mountain Laboratories, and Jiangsu Province Engineering Research Center of Security for Ubiquitous Network（网络 ubiquity 安全江苏省工程研究中心、紫金山实验室、东南大学网络科学与工程学院）
MalPurifier提出一种基于对抗净化的Android恶意软件检测防御框架，通过多样化扰动、噪声注入和双目标DAE，在37种逃避攻击下保持90.91%以上的鲁棒准确率。
2025-06-22 cs.AI cs.CR cs.LG
TANTRA: Timing-Based Adversarial Network Traffic Reshaping Attack
Ben Gurion University of the Negev（内盖夫本-古里安大学）；Nanyang Technological University（南洋理工大学）
网络入侵攻击是一种已知的威胁。为了检测这种攻击，已经开发和部署了网络入侵检测系统（NIDS）。这些系统将机器学习模型应用于从网络流量中提取的高维特征向量，以检测入侵。NIDS的进步使攻击者面临挑战，他们必须在不被这些系统检测到的情况下执行攻击。以前关于绕过NIDS的研究主要集中在干扰从攻击流量中提取的特征以欺骗检测系统，然而，这可能会危及攻击的功能。在这项工作中，我们提出了TANTRA，一种新的端到端的基于定时的对抗性网络流量整形攻击，可以绕过各种NIDS。我们的规避攻击利用了一个长短期记忆（LSTM）深度神经网络（DNN），该网络经过训练，可以学习目标网络良性数据包之间的时间差。经过训练的LSTM用于设置恶意流量数据包（攻击）之间的时间差，而不改变它们的内容，这样它们就像良性网络流量一样“表现”，并且不会被检测为入侵。我们评估TANTRA对八种常见的入侵攻击和三个国家的最先进的NIDS系统，实现了平均成功率为99.99%的网络入侵检测系统规避。我们还提出了一种新的缓解技术来解决这种新的逃避攻击。
2021-03-10 cs.CR cs.LG
Learning from the Good Ones: Risk Profiling-Based Defenses Against Evasion Attacks on DNNs
本文提出基于风险画像的风险感知选择性训练框架，利用对逃避攻击更具抵抗力的受害实例训练静态防御，在血糖管理系统中将召回率最高提升27.5%且对精确率影响最小。
2025-05-10 cs.CR
