Generative Adversarial Networks for Recovering Missing Spectral Information
Johns Hopkins University（约翰斯·霍普金斯大学）；U.S. Army Research Laboratory（美国陆军研究实验室）
超宽带（UWB）雷达系统目前通常工作在低频谱中以实现穿透能力。然而，该频谱也被许多其他通信系统共享，这导致频带中的信息丢失。为了恢复这些丢失的光谱信息，我们提出了一种称为SARGAN的生成对抗网络，它通过以一种巧妙的方式观察这些训练对来学习原始和丢失的频带信号之间的关系。初步结果表明，这种方法是有前途的，在解决这个具有挑战性的丢失带的问题。
2018-12-13 cs.LG stat.ML
Defending Adversarial Attacks by Correcting logits
Shanghai Jiao Tong University（上海交通大学）；Noah’s Ark Lab, Huawei Inc.（华为诺亚方舟实验室）
生成和消除对抗性样本一直是深度学习领域一个有趣的话题。虽然之前的研究证实，对抗攻击通常很脆弱，并且可以通过图像级处理进行防御，但尚不清楚此类攻击如何干扰高级特征。我们从一个新的角度来研究这个问题，这个角度纯粹依赖于logits，softmax之前的类得分，来检测和防御对抗攻击。我们的防御者是一个双层网络，在一组干净和扰动的logits上训练，目标是恢复原始预测。在广泛的对抗攻击，我们的简单的方法显示出有希望的结果，在防御中具有相对较高的准确性，防御者可以转移到攻击者具有类似的属性。更重要的是，我们的防御者可以在图像数据不可用的情况下工作，并且具有很高的可解释性，特别是在语义层面。
2019-06-26 cs.CR cs.CV cs.LG
Trace-Norm Adversarial Examples
University of Central Florida（中佛罗里达大学）；École Normale Supérieure（巴黎高等师范学院）；INRIA（法国国家信息与自动化研究所）
白盒对抗性扰动是通过迭代优化算法来寻求的，最常见的是最小化原始图像的$l_p$邻域（所谓的失真集）上的对抗性损失。用不同的规范约束对抗性搜索会产生结构合理的对抗性示例。在这里，我们探索几个失真集与结构增强算法。对抗性示例的这些新结构，在优化中普遍存在，例如，对于对抗性理论认证来说是一个挑战，该理论认证再次仅提供$l_p$证书。由于对抗鲁棒性仍然是一个经验领域，防御机制也应该合理地评估不同结构的攻击。此外，这些结构化对抗扰动可以允许比它们的$l_p$对应部分更大的失真大小，同时保持不可感知或可感知为图像的自然轻微失真。最后，它们允许对对抗性扰动的生成进行一些控制，如（局部）模糊。
2020-07-02 cs.CV cs.LG stat.ML
Dynamical Low-Rank Compression of Neural Networks with Robustness under Adversarial Attacks
Computer Science and Mathematics Division（计算机科学与数学 division）；Geospatial Science and Human Security Division（地理科学与人类安全 division）
本文提出动态低秩训练与谱正则化方法，在实现94%以上压缩的同时保持或提升对抗鲁棒性，且支持秩自适应。
2025-09-23 cs.LG cs.NA math.NA
Adversarial Purification through Representation Disentanglement
Nanyang Technological University（南洋理工大学）
深度学习模型容易受到对抗性示例的影响，并会犯下不可理解的错误，这对它们的实际部署构成了威胁。结合对抗训练的思想，基于预处理的防御方法由于其任务独立性和良好的泛化性而受到欢迎和方便使用。目前的防御方法，特别是净化，往往通过学习和恢复自然图像来去除“噪声”。然而，与随机噪声不同，对抗模式由于与图像的强相关性，在模型训练期间更容易过拟合。在这项工作中，我们提出了一种新的对抗性净化方案，通过将自然图像和对抗性扰动的解纠缠作为预处理防御。通过大量的实验，我们的防御被证明是可推广的，并对看不见的强大对抗攻击作出显着的保护。它将最先进的\textbf{ensemble}攻击的成功率平均从\textbf{61.7\%}降低到\textbf{14.9\%}，优于许多现有方法。值得注意的是，我们的防御完美地恢复了受干扰的图像，并且不会损害骨干模型的干净准确性，这在实践中是非常可取的。
2021-10-15 cs.CV cs.LG
Adversarial Text Purification: A Large Language Model Approach for Defense
Arizona State University（亚利桑那州立大学）
本文提出一种利用大语言模型和提示工程净化对抗文本的防御方法，无需显式表征离散噪声，在多种分类器上平均将受攻击准确率提升超65%。
2024-02-05 cs.AI cs.CL cs.CR
NeuroUnlock: Unlocking the Architecture of Obfuscated Deep Neural Networks
Technische Universität Wien（维也纳工业大学）；New York University Abu Dhabi（纽约大学阿布扎比分校）
深度神经网络（DNN）的进步导致其在各种环境中的部署，包括安全和安全关键型应用。因此，这些模型的特征已成为敏感的知识产权，需要保护免受恶意用户的攻击。通过泄漏侧信道（例如，存储器访问）允许对手（i）克隆模型，以及（ii）制造对抗攻击。DNN混淆通过改变给定DNN的运行时跟踪，同时保留其功能，来阻止基于侧通道的架构窃取（SCAS）攻击。在这项工作中，我们暴露了最先进的DNN混淆方法对这些攻击的脆弱性。我们提出了神经网络，一种新的SCAS攻击混淆DNN。我们的神经网络采用序列到序列模型，学习模糊处理过程并自动恢复，从而恢复原始DNN架构。我们通过恢复在Nvidia RTX 2080 TI图形处理单元（GPU）上运行的200个随机生成和混淆的DNN的架构来证明Neurobial的有效性。此外，Neurobot还可以恢复各种其他混淆DNN的架构，例如VGG-11，VGG-13，ResNet-20和ResNet-32网络。在恢复架构后，Neuroscience自动构建了一个近似的DNN，测试精度仅下降了1.4%。我们进一步表明，与在混淆版本上发起攻击相比，在恢复的DNN上发起后续对抗性对抗攻击平均将对抗攻击的成功率提高了51.7%。此外，我们还提出了一种新的DNN混淆方法ReDLock，它消除了混淆的确定性，并实现了对神经网络攻击的2.16倍的恢复能力。我们将Neurobot和ReDLock…
2022-06-01 cs.CR cs.LG
Defense Through Diverse Directions
The University of North Carolina（北卡罗来纳大学）
在这项工作中，我们开发了一种新的贝叶斯神经网络方法，以实现强大的对抗鲁棒性，而不需要在线对抗训练。与以前在这个方向上的努力不同，我们不依赖于网络权重的随机性，通过最小化学习参数分布和先验之间的分歧。相反，我们还要求模型对所有输入协变量保持一定的预期不确定性。我们证明，通过鼓励网络在输入之间均匀分布，网络变得不太容易受到局部化的，脆弱的功能，赋予一个自然的鲁棒性，有针对性的扰动。我们在几个基准数据集上显示了经验鲁棒性。
2020-03-24 cs.LG stat.ML
Test-time adversarial detection and robustness for localizing humans using ultra wide band channel impulse responses
Graz University of Technology（格拉茨技术大学）
汽车无钥匙进入系统采用神经网络来定位其操作员。使用测试时对抗性防御使这样的系统具有防御对抗攻击的能力，而无需预先对对抗性样本进行训练。我们提出了一种测试时对抗性示例检测器，该检测器通过量化预先训练的神经网络的局部中间响应和辅助softmax层的置信度来检测输入对抗性示例。此外，为了使网络的鲁棒性，我们通过非迭代输入样本裁剪来减少不相关的特征。使用我们的方法，平均性能超过15个级别的对抗扰动的快速梯度符号法（FGSM）和6.3%的基本迭代法（BIM）和投影梯度法（PGD）分别增加了55.33%和6.3%。
2022-11-10 cs.AI cs.LG
Enabling Adversarial Robustness in AI Models through Kubeflow MLOps
School of Electrical and Computer Engineering, National Technical University of Athens, Greece（电气与计算机工程学院，国家技术大学雅典，希腊）；Department of Informatics and Telematics, Harokopio University of Athens, Greece（信息与电信学院，哈罗基奥大学雅典，希腊）
本文提出在Kubernetes集群中通过Kubeflow MLOps集成自动检测对抗攻击并触发防御机制，提升模型的准确性和可靠性。
2026-05-14 cs.CR cs.LG
Real-Time Robust Video Object Detection System Against Physical-World Adversarial Attacks
Institute of Computing Technology, CAS（中国科学院计算技术研究所）；University of Chinese Academy of Sciences（中国科学院大学）；Cambricon Technologies（寒武纪科技）；Drexel University（德雷塞尔大学）；Northeastern University（东北大学）
基于DNN的视频目标检测（VOD）为自动驾驶和视频监控行业提供了越来越重要的支持和充满希望的机会。然而，对抗补丁攻击由于其实用性、可行性和强大的攻击效果，在实时视觉任务中受到了极大的关注。这项工作提出了Themis，一个软件/硬件系统，以抵御对抗补丁的实时的【形】鲁棒视频目标检测。我们观察到，对抗补丁表现出非常本地化的表面特征的重要性，在一个小的区域与非鲁棒的预测，从而提出了对抗区域检测算法的对抗效应消除。Themis还提出了一个系统化的设计，通过消除冗余计算和内存流量来有效地支持该算法。实验结果表明，该方法可以有效地恢复系统从对抗攻击与可忽略不计的硬件开销。
2022-08-19 cs.AR cs.CR cs.CV
Convolutional Neural Networks with Transformed Input based on Robust Tensor Network Decomposition
Nanyang Technological University（南洋理工大学）；University of Southern California（南加州大学）
张量网络分解起源于量子物理学，用于对纠缠的多粒子量子系统进行建模，结果证明是一种有前途的数学技术，可以以简约的方式有效地表示和处理大数据。在这项研究中，我们证明了张量网络可以系统地划分结构化数据，例如彩色图像，以保护隐私的方式进行分布式存储和通信。利用大数据和元数据隐私的海洋，实证结果表明，无法识别以张量网络格式存储的隐含信息的相邻子张量进行数据重建。这种技术补充了现有的加密和随机化技术，这些技术将显式数据表示存储在一个地方，并且非常容易受到对抗攻击，例如侧信道攻击和去匿名化。此外，我们提出了一个理论的对抗性的例子，误导卷积神经网络错误分类使用基于奇异值分解（SVD）的子空间分析。该理论被扩展到使用张量训练SVD（TT-SVD）分析高阶张量;它有助于解释不同数据集对对抗攻击的敏感性水平，不同对抗攻击（包括全局和局部攻击）的结构相似性，以及基于输入变换的不同对抗防御的有效性。基于鲁棒的TT-SVD，提出了一种有效的自适应算法来检测强静态对抗攻击。
2018-12-11 cs.CV cs.LG stat.ML
Adversarial Robustness of Traffic Classification under Resource Constraints: Input Structure Matters
本文通过HW-NAS设计轻量交通分类模型，在资源受限下探讨输入结构对对抗鲁棒性的影响，发现时间序列输入在对抗攻击下鲁棒性显著提升。
2025-12-01 cs.CR cs.LG cs.NI
A Few Large Shifts: Layer-Inconsistency Based Minimal Overhead Adversarial Example Detection
United States Military Academy, West Point（美国西点军事学院）
针对深度神经网络易受对抗样本攻击的问题，提出基于层不一致性的轻量即插即用检测器RLT，融合恢复测试与对数几率层测试指标，仅需良性数据拟合，在多数据集上检测性能优异且开销更低。
2026-09-01 cs.LG
Scratch that! An Evolution-based Adversarial Attack against Neural Networks
University of California San Diego（加州大学圣迭戈分校）；Politecnico di Milano（米兰理工大学）；SRI International（斯坦福国际研究院）
我们研究了黑盒对抗攻击的图像分类器在一个受约束的威胁模型，其中对手只能修改一小部分像素的划痕的形式在图像上。我们表明，对手有可能生成覆盖图像中少于$5\%$像素的局部\textit{adversarial scratches}，并分别在ImageNet和CIFAR-10训练的ResNet-50模型上实现$98.77\%$和$97.20\%$的目标成功率。我们证明了我们的划痕是有效的不同形状下，如直线或抛物线B \a '埃齐尔曲线，与单一或多种颜色。在极端条件下，我们的划痕是单一颜色的，我们在CIFAR-10上获得了$66\%$的有针对性的攻击成功率，查询数量级低于可比攻击。我们成功地发起了对微软的认知服务图像描述API的攻击，并提出了各种缓解策略。
2020-08-06 cs.LG cs.NE eess.IV
Square Attack: a query-efficient black-box adversarial attack via random search
EPFL（洛桑联邦理工学院）；University of Tübingen（蒂宾根大学）
我们提出了平方攻击，一个基于分数的黑盒$l_2$ -和$l_\infty$ -对抗攻击，不依赖于局部梯度信息，因此不受梯度掩蔽。方形攻击是基于随机搜索方案，该方案在随机位置选择局部方形更新，以便在每次迭代中，扰动近似位于可行集的边界处。与最先进的方法相比，我们的方法具有更高的查询效率，并且实现了更高的成功率，特别是在非目标设置中。特别是，与Al-Dujaili & O 'Reilly最近最先进的$l_\infty$攻击相比，在ImageNet上，我们将各种深度网络的非目标设置中的平均查询效率提高了至少$1.8$和高达$3$的系数。此外，虽然我们的攻击是黑盒的，它也可以优于基于梯度的白盒攻击的标准基准实现一个新的国家的最先进的成功率方面。我们的攻击代码可以在https://github.com/max-andr/square-attack上找到。
2020-07-29 cs.CR cs.CV cs.LG
Algorithmic Analysis of Dense Associative Memory: Finite-Size Guarantees and Adversarial Robustness
Independent Researcher（独立研究者）
本文通过算法分析，为密集关联记忆的检索动态提供有限规模保证，并证明其在高加载条件下具有对抗鲁棒性，同时展示了容量保证和收敛时间。
2026-04-14 cs.AI cs.LG cs.NE
Certified Robustness against Sparse Adversarial Perturbations via Data Localization
Johns Hopkins University（约翰斯·霍普金斯大学）；Mathematical Institute for Data Science (MINDS), Johns Hopkins University（约翰斯·霍普金斯大学数据科学数学研究所（MINDS））；University of Pennsylvania（宾夕法尼亚大学）；Department of Biomedical Engineering, Johns Hopkins University（约翰斯·霍普金斯大学生物医学工程系）
本文将数据局部化理论扩展到ℓ0-有界对抗扰动，给出ℓ0-鲁棒分类器存在的充要条件，并提出简单分类器Box-NN，在MNIST和Fashion-MNIST上提升了稀疏攻击下的认证鲁棒性。
2024-05-23 cs.AI cs.LG
LaVAN: Localized and Visible Adversarial Noise
Bar-Ilan University（巴伊兰大学）；DeepMind（深度思维）
大多数基于深度学习的图像分类器的对抗性例子都使用噪声，虽然很小，但覆盖了整个图像。我们探讨的情况下，噪声是允许可见的，但局限于一个小的，局部补丁的图像，而不覆盖任何的主要对象（S）的图像。我们证明，可以生成仅覆盖图像中2%像素的局部对抗性噪声，其中没有一个覆盖主要对象，并且可以在图像和位置之间转移，并以非常高的成功率成功地欺骗了最先进的Inception v3模型。
2018-03-01 cs.CV cs.LG
Localized Adversarial Domain Generalization
PAII Inc.（PAII公司）；University of Rochester（罗切斯特大学）；Alibaba DAMO Academy（阿里巴巴达摩院）；PingAn Insurance Group（平安保险集团）
深度学习方法可能难以处理训练数据中看不到的域转移，这可能导致它们无法很好地推广到看不见的域。这引起了对领域泛化的研究，它旨在提高模型的泛化能力。对抗性领域泛化是DG的一种流行方法，但传统方法（1）难以充分对齐特征，使得局部邻域在域间混合;以及（2）可能遭受特征空间过度崩溃，这可能威胁泛化性能。为了解决这些局限性，我们提出了局部对抗性领域泛化与空间紧凑性维护~（LADG），这构成了两个主要贡献。首先，我们提出了一个对抗性的本地化分类器作为域分类器，以及一个原则性的主要分支。这构造了一个最小-最大博弈，其中特征化器的目标是产生局部混合域。其次，我们建议使用编码率损失来减轻特征空间的过度崩溃。我们在Wilds DG基准上进行了全面的实验，以验证我们的方法，LADG在大多数数据集上的表现优于领先的竞争对手。
2022-05-09 cs.LG
On the Power of Localized Perceptron for Label-Optimal Learning of Halfspaces with Adversarial Noise
Stevens Institute of Technology（史蒂文斯理工学院）
我们研究{ \em在线}积极学习的齐性半空间$\mathbb{R}^d$与对抗性噪声的噪声标签的整体概率被限制为最多$ν$。我们的主要贡献是一个类似于Perceptron的在线主动学习算法，该算法在多项式时间内运行，并且在边缘分布是各向同性对数凹和$ν= Ω(ε)$的条件下，其中$ε\in (0, 1)$是目标错误率，我们的算法PAC以接近最优的标签复杂度$\tilde{O}\big(d \cdot polylog(\frac{1}ε)\big)$和样本复杂度$\tilde{O}\big(\frac{d}ε \big)$学习底层半空间。在这项工作之前，现有的在线算法设计的容忍对抗性噪声受到标签复杂性多项式在$\frac{1}ε$，或次优的噪声容忍度，或限制性的边缘分布。在基础半空间是$s$ -稀疏的额外先验知识的情况下，我们获得了$\tilde{O}\big( s \cdot polylog(d, \frac{1}ε) \big)$的属性有效标签复杂度和$\tilde{O}\big(\frac{s}ε \cdot polylog(d) \big)$的样本复杂度。作为一个直接的推论，我们表明，在不可知模型，其中没有假设的噪声率$ν$，我们的主动学习器实现了错误率$O(OPT) + ε$具有相同的运行时间和标签和样本的复杂性，其中$OPT$是最好的错误率可实现的任何均匀半空间。
2021-06-22 cs.DS cs.LG stat.ML
Localized adversarial artifacts for compressed sensing MRI
ETH Zürich（苏黎世联邦理工学院）；University of Genoa（热那亚大学）
本文针对压缩感知MRI，提出在频域构造对抗扰动以诱发TV重建中的严重局部伪影，并证明该现象是ℓ¹/TV最小化等可保证精确恢复方法所固有的，而DNN重建对此类攻击更具鲁棒性。
2024-01-11 cs.CV cs.LG eess.IV
Generative Adversarial Networks
Université de Montréal（蒙特利尔大学）；Indian Institute of Technology Delhi（德里印度理工学院）；Ecole Polytechnique（巴黎综合理工学院）
我们提出了一个通过对抗过程来估计生成模型的新框架，在这个框架中，我们同时训练两个模型：一个是捕获数据分布的生成模型G，另一个是估计样本来自训练数据而不是G的概率的判别模型D。G的训练过程是最大化D犯错误的概率。这个框架对应于一个极大极小两人博弈。在任意函数G和D的空间中，存在唯一解，其中G恢复训练数据分布，并且D处处等于1/2。在G和D由多层感知器定义的情况下，整个系统可以用反向传播来训练。在样本的训练或生成期间，不需要任何马尔可夫链或展开的近似推理网络。实验表明，通过生成的样本的定性和定量评价的框架的潜力。
2014-06-10 cs.LG stat.ML
Generative Adversarial Positive-Unlabelled Learning
RIKEN（理化学研究所）；Laval University（拉瓦尔大学）
在这项工作中，我们考虑分类二进制正未标记（PU）数据的任务。现有的基于判别学习的PU模型试图为U数据寻求最优的重新加权策略，从而找到合适的决策边界，然而，在有限的P数据下，传统的PU模型在适应非常灵活的深度神经网络时容易出现过拟合。相比之下，我们是第一个通过利用强大的生成对抗网络（GAN）从生成学习的角度创新一种全新的范式来攻击二进制PU任务的人。我们的生成正未标记（GenPU）框架包含一系列鉴别器和生成器，它们在同时产生正和负真实样本时具有不同的作用。我们提供了理论分析来证明，在平衡，GenPU是能够恢复正负数据分布。此外，我们还表明GenPU具有可推广性，并且与半监督分类密切相关。鉴于相当有限的P数据，合成和真实世界的数据集上的实验证明了我们提出的框架的有效性。通过GenPU生成的无限逼真和多样化的样本流，可以使用深度神经网络训练非常灵活的分类器。
2018-04-04 cs.LG stat.ML
Jujutsu: A Two-stage Defense against Adversarial Patch Attacks on Deep Neural Networks
University of British Columbia（不列颠哥伦比亚大学）
对抗补丁攻击通过在输入的有界区域内注入任意扭曲来欺骗深度神经网络（DNN），从而创建对抗示例。这些攻击是鲁棒的（即，物理上可实现）且普遍恶意，因此对现实世界基于DNN的系统构成严重的安全威胁。我们提出了一种两阶段的技术来检测和减轻强大的和通用的对抗补丁攻击。我们首先观察到，对抗补丁被制作成局部特征，对预测输出产生很大影响，并继续主导任何输入的预测。Atomtsu利用这一观察结果进行准确的攻击检测，误报率低。补丁攻击只破坏输入的局部区域，而大部分输入保持不变。因此，Zuritsu利用生成对抗网络（GAN）通过合成被攻击破坏的输入的语义内容来执行本地化攻击恢复，并重建一个"干净“的输入以进行正确的预测。我们在跨越8个不同DNN模型的四个不同数据集上评估了Rectsu，发现它实现了卓越的性能，并显着优于四种现有的防御。我们进一步评估了物理世界的攻击，以及自适应攻击。
2022-12-16 cs.AI cs.CR cs.LG
Tail-Weight Control and Localized Generalization in Nearly Low-Rank Adversarial Classification
The Chinese University of Hong Kong（香港中文大学）；Columbia University（哥伦比亚大学）
本研究针对近低秩对抗分类，提出边界归一化与路径特定密度界，实现尾部权重控制及局部泛化保证，并通过实验验证其有效性。
2026-09-30 cs.AI cs.LG
PatchGuard: A Provably Robust Defense against Adversarial Patches via Small Receptive Fields and Masking
Princeton University（普林斯顿大学）；University of Chicago（芝加哥大学）
局部对抗补丁旨在通过任意修改图像的受限区域内的像素来诱导机器学习模型中的误分类。这种攻击可以在物理世界中通过将对抗补丁附加到要被错误分类的对象来实现，并且防御这种攻击是一个未解决的/开放的问题。在本文中，我们提出了一个名为PatchGuard的通用防御框架，它可以实现高可证明的鲁棒性，同时保持对本地化对抗补丁的高准确性。PatchGuard的基石涉及使用具有小感受野的CNN来限制被对抗补丁破坏的特征数量。给定有界数量的损坏特征，设计对抗性补丁防御的问题简化为设计安全特征聚合机制的问题。为此，我们提出了我们强大的掩蔽防御，鲁棒地检测和掩蔽损坏的功能，以恢复正确的预测。值得注意的是，我们可以证明我们的防御对我们的威胁模型中的任何对手的鲁棒性。我们对ImageNet，ImageNet（ImageNet的10类子集）和CIFAR-10数据集的广泛评估表明，我们的防御在可证明的鲁棒准确性和干净准确性方面都达到了最先进的性能。
2021-03-31 cs.CR cs.CV cs.LG
DetectorGuard: Provably Securing Object Detectors against Localized Patch Hiding Attacks
Princeton University（普林斯顿大学）
最先进的对象检测器容易受到局部补丁隐藏攻击，其中对手引入一个小的对抗补丁，使检测器错过显著对象的检测。补丁攻击者可以通过打印并将对抗补丁附加到受害者对象来执行物理世界攻击。在本文中，我们提出DetectorGuard作为第一个通用框架，用于构建可证明鲁棒的对象检测器，以对抗局部补丁隐藏攻击。DetectorGuard的灵感来自于鲁棒图像分类研究的最新进展;我们问：我们能适应鲁棒的图像分类器来进行鲁棒的目标检测吗？不幸的是，由于它们的任务差异，从鲁棒图像分类器天真地适配的对象检测器1）在对抗设置中可能不一定是鲁棒的，或者2）甚至在干净设置中保持不错的性能。为了建立一个高性能的鲁棒对象检测器，我们提出了一个对象解释策略：我们适应一个强大的图像分类器来预测对象的每个图像位置，然后解释每个对象使用传统的对象检测器预测的边界框。如果所有对象都得到了很好的解释，我们就输出传统对象检测器做出的预测;否则，我们就发出攻击警报。值得注意的是，1）在对抗环境中，我们正式证明了DetectorGuard对认证对象的端到端鲁棒性，即，它要么检测对象，要么触发警报，以防止我们的威胁模型中的任何补丁隐藏攻击者; 2）在干净的设置中，我们具有与最先进的对象检测器几乎相同的性能。我们对PASCAL VOC，MS COCO和KITTI数据集的评估进一步证明了DetectorGuard以可忽略的成本（<1%）实现了对…
2021-10-26 cs.CR cs.CV cs.LG
Adversarial-Robust Multivariate Time-Series Anomaly Detection via Joint Information Retention
McGill University（麦吉尔大学）；MILA - Quebec AI Institute（MILA - 魁北克人工智能研究所）
本文提出ARTA框架，通过对抗训练提升时间序列异常检测的鲁棒性，实验表明其在多种数据集上表现优异，噪声增加时降解更温和。
2026-03-26 cs.LG
Membership Inference Attacks via Adversarial Examples
Laboratoire d’Informatique de l’École polytechnique（巴黎综合理工学院计算机实验室）；Inria（法国国家信息与自动化研究所）；LTCI, Télécom Paris（巴黎电信学院通信与信息技术实验室）；Institut Polytechnique de Paris（巴黎理工学院）；CMAP, Ecole Polytechique（巴黎综合理工学院应用数学中心）；Lagrange Research Center（拉格朗日研究中心）
机器学习和深度学习的兴起导致了几个领域的重大改进。这种变化得到了计算能力和大型数据集收集的巨大增长的支持。这样的大规模数据集通常包括可能对隐私构成威胁的个人数据。成员推断攻击是一个新的研究方向，其目的是恢复学习算法使用的训练数据。在本文中，我们开发了一种方法来衡量泄漏的训练数据利用一个数量出现作为一个代理的总变化的训练模型附近的训练样本。我们通过提供一种新的防御机制来扩展我们的工作。我们的贡献是支持的经验证据，通过令人信服的数值实验。
2022-11-23 cs.AI cs.CR cs.LG
Adversarial generalization of unfolding (model-based) networks
LAMSADE, Paris Dauphine - PSL Research University（巴黎Dauphine-PSL研究大学LAMSADE）
本文首次对展开网络在对抗攻击下的泛化能力进行理论分析，并通过实验验证了其对抗鲁棒性的提升方法。
2026-02-06 cs.LG
adVAE: A self-adversarial variational autoencoder with Gaussian anomaly prior knowledge for anomaly detection
Shanghai Jiao Tong University（上海交通大学）；Wuhan University（武汉大学）；University of California, Davis（加州大学戴维斯分校）
最近，深度生成模型在无监督异常检测中越来越受欢迎。然而，深度生成模型旨在恢复数据分布，而不是检测异常。此外，深度生成模型存在过度拟合训练样本的风险，这对异常检测性能产生了灾难性的影响。为了解决上述两个问题，我们提出了一个自对抗的变分自编码器与高斯异常的先验假设。我们假设异常和正常的先验分布都是高斯分布，并且在潜在空间中有重叠。因此，训练高斯Transformer网络T以合成异常但接近正常的潜变量。在保持变分自编码器原有训练目标的基础上，生成器G尝试区分正常潜变量和T合成的异常潜变量，而编码器E则被训练来区分G的输出是否为实数。我们添加的这些新目标不仅使G和E具有区分能力，而且还引入了额外的正则化以防止过拟合。与SOTA基线相比，该模型在大量的实验中取得了显着的改善。数据集和我们的模型可以在Github存储库中找到。
2019-11-14 cs.AI cs.LG stat.ML
Hiding in Plain Sight: Differential Privacy Noise Exploitation for Evasion-resilient Localized Poisoning Attacks in Multiagent Reinforcement Learning
University of Nevada, Reno（内华达大学里诺分校）
本文针对协作式多智能体强化学习中的差分隐私机制，提出利用 DP 噪声绕过异常检测的局部投毒攻击 PeLPA，并通过多环境实验验证其对收敛、步数和计算开销的显著破坏。
2023-07-13 cs.CR cs.LG cs.MA
Boosting Resolution and Recovering Texture of micro-CT Images with Deep Learning
University of New South Wales（新南威尔士大学）；School of Minerals and Energy Resources Engineering（矿物与能源资源工程学院）
数字岩石成像受到探测器硬件的限制，必须在图像视场（FOV）和图像分辨率之间进行权衡。这可以用超分辨率（SR）技术来补偿，该技术拍摄宽FOV、低分辨率（LR）图像，并且超分辨率高分辨率（HR）、高FOV图像。增强型深度超分辨率生成对抗网络（EDSRGAN）是在深度学习数字岩石超分辨率数据集上训练的，该数据集是原始和处理过的uCT图像的多样化汇编12000。该网络表现出可比的性能，在双三次插值的相对误差减少50%至70%。与SRCNN和其他方法相比，GAN在恢复纹理方面的性能表现出更好的视觉相似性。差异图表明，SRCNN部分的SRGAN网络恢复大规模的边缘（晶界）的功能，而GAN网络再生感知不可区分的高频纹理。网络性能一般与增强，显示出高适应性的噪音和模糊。HR图像被馈送到网络中，生成HR-SR图像以将网络性能外推到HR图像本身中存在的亚分辨率特征。结果表明，尽管网络在训练规范之外运行，但溶解矿物和薄裂缝等分辨率不足的特征仍会再生。与扫描电子显微镜图像的比较显示细节与样品的基本几何形状一致。纹理的恢复有利于表征具有高比例的低分辨率微孔特征的数字岩石，例如碳酸盐岩和煤样品。通常受到岩石（煤）矿物学、快速瞬态成像（注水）或源能量（微孔隙度）约束的图像可以超准确地解析，以便下游进行进一步分析。
2019-07-27 cs.CV cs.LG eess.IV
Reconstruction of frequency-localized functions from pointwise samples via least squares and deep learning
Faculty of Mathematics, University of Vienna（维也纳大学数学系）；Department of Mathematics and Statistics, Concordia University（康卡迪亚大学数学与统计学系）
本文通过最小二乘法和深度学习方法，研究了从点wise数据中重构频率局部化函数的理论与实践问题，提出了新的恢复定理和近似保证，并通过实验比较了两种方法的性能。
2025-12-08 cs.LG cs.NA math.CA
DiffPAD: Denoising Diffusion-based Adversarial Patch Decontamination
RISE Research Institutes of Sweden（瑞典RISE研究机构）；KTH Royal Institute of Technology（KTH皇家理工学院）；CISPA Helmholtz Center for Information Security（CISPA亥姆霍兹信息安全研究中心）；Halmstad University（哈尔姆斯塔德大学）
提出DiffAD框架，利用扩散模型进行对抗补丁净化，通过超分辨率重建和图像修复技术实现最先进的对抗鲁棒性。
2024-11-14 cs.CV cs.LG
LinkTeller: Recovering Private Edges from Graph Neural Networks via Influence Analysis
University of Illinois at Urbana-Champaign（伊利诺伊大学厄巴纳-香槟分校）；ETH Zürich（苏黎世联邦理工学院）
图结构化数据具有丰富的节点特征和边信息，已经实现了一些成功的应用，例如推荐系统和流量预测。然而，这些高维特征和高阶邻接信息通常是异构的，并在实践中由不同的数据持有人。给定这样的垂直数据分区（例如，一个数据持有者将仅拥有节点特征或边缘信息），由于隐私问题，不同的数据持有者必须开发有效的联合训练协议，而不是直接向彼此传送数据。在本文中，我们专注于边缘隐私，并考虑一个训练场景，其中具有节点特征的Bob首先将训练节点特征发送给拥有邻接信息的Alice。然后，Alice将使用联合信息训练图神经网络（GNN），并发布推理API。在推理过程中，Bob能够提供测试节点功能并查询API以获得测试节点的预测。在这种情况下，我们首先提出了一个隐私攻击LinkTeller通过影响力分析推断的私人边缘信息由爱丽丝通过设计对抗性查询鲍勃。然后，我们的经验表明，LinkTeller能够恢复大量的私人边缘，优于现有的基线。为了进一步评估隐私泄漏，我们采用了现有的差分私有图卷积网络（DP GCN）训练算法，并提出了一个新的DP GCN机制LapGraph。我们发现，这些DP GCN机制并不总是弹性对LinkTeller经验下温和的隐私保证（$\varepsilon>5$）。我们的研究将为未来设计更有弹性的隐私保护GCN模型的研究提供指导;同时，深入了解GCN模型实用性和对潜在隐私攻击的鲁棒性之间的权衡。
2021-08-20 cs.LG
RAEDiff: Denoising Diffusion Probabilistic Models Based Reversible Adversarial Examples Self-Generation and Self-Recovery
The School of Cyberspace Security, Hainan University（海南大学网络空间安全学院）；Science and Technology Communication Department of Hainan Provincial Public Security Department（海南省公安厅科技通信处）
本文提出基于去噪扩散概率模型的可逆对抗样本自生成与自恢复方法RAEDiff，通过将数据集扩散至偏置高斯分布并利用DDPM先验知识，无需辅助信息即可实现对抗扰动生成与恢复，有效保护数据集知识产权。
2023-10-25 cs.AI cs.CR cs.GR
How robust is randomized blind deconvolution via nuclear norm minimization against adversarial noise?
Technical University of Munich（慕尼黑工业大学）；Munich Center for Machine Learning（慕尼黑机器学习中心）；Munich Data Science Institute（慕尼黑数据科学研究所）；KU Eichstätt-Ingolstadt（艾希施泰特-英戈尔施塔特天主教大学）
本文研究了从两个未知信号的卷积中恢复两个未知信号的问题，即通常所说的盲反卷积。在过去的十年中，由于核范数最小化启发式的成功，盲反卷积作为一个低秩恢复问题的重新表述导致了多个理论恢复保证。特别是，在没有噪声的情况下，精确的恢复已经建立了足够的非相干信号包含在低维子空间。然而，如果卷积被加性有界噪声破坏，恢复问题的稳定性仍然不太清楚。特别是，现有的重建界涉及大的维度因子，因此无法解释核范数最小化的维度无关鲁棒性的经验证据。最近，理论上的证据已经出现了病态行为的低秩矩阵恢复足够小的噪声水平。在这项工作中，我们开发了改进的恢复保证盲反卷积与对抗性噪声表现出平方根缩放的噪声水平。因此，我们的研究结果与现有的反例是一致的，这些反例反对相关的低秩矩阵恢复问题所证明的噪声水平的线性缩放。
2023-03-17 cs.IT cs.LG eess.SP
Self-Attending Task Generative Adversarial Network for Realistic Satellite Image Creation
KBR（KBR公司）；Air Force Research Laboratory（空军研究实验室）
我们介绍了一个自我参加的任务生成对抗网络（SATGAN），并将其应用于增强合成高对比度的居民空间物体的科学图像与现实的噪声模式和传感器的特点，从收集的数据。由于必须保留的数据中的语义内容的高度本地化性质，增强这些合成数据具有挑战性。真实收集的图像用于训练网络，给定类别的传感器图像应该是什么样子。然后，经过训练的网络充当无噪声上下文图像的过滤器，并输出语义内容未改变的逼真假图像。该架构受到条件GANs的启发，但经过修改，包括一个通过增强来保留语义信息的任务网络。此外，该架构示出，以减少幻觉对象或混淆的语义内容的上下文图像表示空间观察场景的实例。
2021-11-18 cs.CV cs.LG
High-throughput, high-resolution registration-free generated adversarial network microscopy
Huazhong University of Science and Technology（华中科技大学）；Britton Chance Center for Biomedical Photonics, Wuhan National Laboratory for Optoelectronics（武汉光电国家研究中心Britton Chance生物医学光子学研究中心）；Massachusetts Institute of Technology（麻省理工学院）；Shenzhen Huazhong University of Science and Technology Research Institute（深圳华中科技大学研究院）
我们将生成对抗网络（GAN）与光学显微镜相结合，以实现大视场（FOV）下的深度学习超分辨率。通过在对抗训练中适当地采用先前的显微镜数据，神经网络可以从其单个低分辨率测量中恢复新样本的高分辨率，准确的图像。它的能力已被广泛证明，通过成像各种类型的样品，如美国空军分辨率目标，人类病理切片，荧光标记的成纤维细胞，并在转基因小鼠脑深部组织，通过宽视场和光片显微镜。这些样本的千兆像素，多色重建验证了一个成功的基于GAN的单图像超分辨率过程。我们还提出了一个图像退化模型，以产生低分辨率的图像进行训练，使我们的方法从复杂的图像配准在训练数据集准备。在创建经过良好训练的网络后，这种基于深度学习的成像方法能够以高速（1秒内）恢复大FOV（~95 mm 2），高分辨率（~1.7 μm）图像，同时不一定对现有显微镜的设置进行任何更改。
2018-10-03 cs.LG eess.IV eess.SP
Recurrent Generative Adversarial Networks for Proximal Learning and Automated Compressive Image Recovery
Stanford University（斯坦福大学）
从欠采样线性测量恢复图像通常会导致不适定的线性逆问题，这需要适当的统计先验。然而，建立有效的先验是由实时任务所规定的低训练和测试开销的挑战;以及需要检索视觉上“合理的”和物理上“可行的”图像以最小的幻觉。为了应对这些挑战，我们设计了一个级联网络架构，通过渗透生成残差网络（ResNet）的好处来对邻近算子进行建模，从而展开邻近梯度迭代。然后，部署逐像素成本和感知成本的混合物来训练近端。整体架构类似于在可行和合理图像的交叉点上的来回投影。广泛的计算实验检查重建儿科患者的MR图像的全局任务，和superresolving CelebA面临的更本地的任务，这是有见地的设计高效的架构。我们的观察表明，对于MRI重建，具有单个残留块的复发ResNet有效地学习了近端。这种简单的架构似乎明显优于替代的深度ResNet架构2dB SNR，以及传统的压缩感知MRI 4dB SNR，推理速度快100倍。对于图像超分辨率，我们的初步结果表明，建模去噪最近端需要深度ResNet。
2017-11-27 cs.AI cs.IR cs.LG
Adversarial Poisoning Attacks and Defense for General Multi-Class Models Based On Synthetic Reduced Nearest Neighbors
University of California Merced（加州大学默塞德分校）；Tagliatela College of Engineering（塔利亚泰拉工程学院）；University of New Haven（纽黑文大学）
最先进的机器学习模型容易受到旨在破坏模型完整性的数据投毒攻击。然而，目前关于数据投毒攻击的文献主要集中在仅适用于特定机器学习模型的ad hoc技术上。此外，文献中现有的数据投毒攻击仅限于二进制分类器或基于梯度的算法。为了解决这些局限性，本文首先提出了一种新的无模型标签翻转攻击的基础上的多模态的数据，其中对手的目标是集群的类，而受标签翻转预算。我们提出的攻击算法的复杂性是线性的时间超过数据集的大小。此外，所提出的攻击可以增加错误高达两倍的相同的攻击预算。其次，提出了一种基于综合简化最近邻（SRNN）模型的防御技术。防御技术可以在训练过程中检测和排除翻转的样本。通过大量的实验分析，我们证明了（i）所提出的攻击技术可以大大降低几个模型的准确性，以及（ii）在所提出的攻击下，所提出的防御技术在恢复目标模型的准确性方面显着优于其他传统的机器学习模型。
2021-02-11 cs.CR cs.LG
Recovering Sharp Conductivity Features in the Finite-Data Calderón Problem with Physics-Informed Neural Networks
Institut de Ciències del Cosmos (ICCUB), Universitat de Barcelona（巴塞罗那大学宇宙科学研究所）；Departament de Física Quàntica i Astrofísica, Universitat de Barcelona（巴塞罗那大学量子物理与天体物理学系）；ICREA；School of Mathematics, University of Minnesota（明尼苏达大学数学学院）
提出基于多尺度边界激励和傅里叶特征编码的物理信息神经网络框架，从有限边界数据重建电导率，相对误差约3%-12%，并分析坐标表示和激励设计的影响。
2026-06-29 cs.LG cs.NA eess.IV
Classification regions of deep neural networks
University of California, Los Angeles（加州大学洛杉矶分校）；École Polytechnique Fédérale de Lausanne（洛桑联邦理工学院）
本文的目标是分析深度神经网络分类器在输入空间中的几何性质。我们专门研究了由深度网络创建的分类区域的拓扑结构，以及它们相关的决策边界。通过系统的实证调查，我们表明，最先进的深度网络学习连接的分类区域，并且数据点附近的决策边界在大多数方向上是平坦的。我们进一步在深度网络的两个看似无关的属性之间建立了本质联系：它们对输入中的附加扰动的敏感性，以及它们的决策边界的曲率。事实上，决策边界弯曲的方向显著地表征了分类器最易受影响的方向。最后，我们利用深度网络的决策边界曲率的基本不对称性，并提出了一种方法来区分原始图像和被小的对抗性示例扰动的图像。我们证明了这种纯粹的几何方法的有效性，用于检测图像中的小对抗扰动，并恢复扰动图像的标签。
2017-05-26 cs.AI cs.CV cs.LG
ScaleCert: Scalable Certified Defense against Adversarial Patches with Sparse Superficial Layers
Institute of Computing Technology, CAS（中国科学院计算技术研究所）；University of Chinese Academy of Sciences（中国科学院大学）；Cambricon Technologies（寒武纪科技）；UC Santa Barbara（加州大学圣巴巴拉分校）；Northeastern University（东北大学）；Drexel University（德雷塞尔大学）
对抗性的补丁攻击，工艺的像素在一个有限的区域的输入图像显示其强大的攻击效果，即使在物理环境中的噪声或变形。针对对抗性补丁攻击的现有认证防御在MNIST和CIFAR-10数据集等小图像上运行良好，但在ImageNet等高分辨率图像上的认证准确性非常差。迫切需要设计强大而有效的防御措施，以抵御行业级大图像中这种实际而有害的攻击。在这项工作中，我们提出了认证的防御方法，实现了高分辨率图像的高可证明的鲁棒性，并大大提高了认证防御的实际应用。我们工作的基本见解是，对抗补丁打算利用局部的表面重要神经元（SIN）来操纵预测结果。因此，我们利用基于SIN的DNN压缩技术，通过减少对抗性区域搜索开销和过滤预测噪声来显着提高认证的准确性。我们的实验结果表明，在ImageNet数据集上，认证准确率从36.3%（最先进的认证检测）提高到60.4%，这在很大程度上推动了认证防御的实际应用。
2021-11-04 cs.CR cs.CV cs.LG
RA-BNN: Constructing Robust & Accurate Binary Neural Network to Simultaneously Defend Adversarial Bit-Flip Attack and Improve Accuracy
Arizona State University（亚利桑那州立大学）；University of Central Florida（中佛罗里达大学）
最近开发的对抗性权重攻击，又名。比特翻转攻击（BFA）已经在以极少量的模型参数扰动损害深度神经网络（DNN）性能方面取得了巨大的成功。为了抵御这种威胁，我们提出了采用完全二进制（即，对于权重和激活）神经网络（BNN），以显著提高DNN模型的鲁棒性（定义为将精度降低到与随机猜测一样低所需的位翻转的数量）。然而，这种积极的低位宽模型遭受不良的清洁（即，无攻击）推理精度。为了解决这个问题，我们提出了一种新的和有效的两阶段的网络增长方法，命名为早期增长。它基于Gumbel-Sigmoid函数的通道式二进制掩码训练，选择性地增加每个BNN层的通道大小。除了恢复推理精度外，我们的RA-BNN在增长后也表现出明显更高的BFA抗性。我们对CIFAR-10数据集的评估表明，与基线BNN相比，所提出的RA-BNN可以将清洁模型的准确性提高约2- 8%，同时将对BFA的抵抗力提高125倍以上。此外，在ImageNet上，使用足够大的（例如，5，000）位翻转量，基线BNN准确度从51.9%下降到4.3%，而我们的RA-BNN准确度仅从60.9%下降到37.1%（9%干净准确度改进）。
2021-03-22 cs.CR cs.CV cs.LG
Don't Lag, RAG: Training-Free Adversarial Detection Using RAG
Electrical and Computer Engineering, Ben Gurion University, Beer Sheba 84105, Israel（电子与计算机工程系，本· Gurion 大学）；Computer Science, Ben Gurion University, Beer Sheba 84105, Israel（计算机科学系，本· Gurion 大学）
针对对抗补丁攻击威胁及传统防御需重训练的问题，提出无需训练的VRAG框架，结合VLM通过检索生成推理检测攻击，实验显示开源UI-TARS-72B-DPO达95%准确率创开源SOTA，闭源Gemini-2.0达98%最高准确率。
2025-07-30 cs.AI cs.LG
STRAP-ViT: Segregated Tokens with Randomized -- Transformations for Defense against Adversarial Patches in ViTs
Indian Institute of Technology, Guwahati, India（印度理工学院，古瓦哈蒂，印度）；Nanyang Technological University, Singapore（南洋理工大学，新加坡）
STRAP-ViT通过分离异常令牌并应用随机复合变换，有效防御对抗性补丁攻击，实现高鲁棒性。
2026-03-13 cs.CV cs.LG
Bias-based Universal Adversarial Patch Attack for Automatic Check-out
State Key Lab of Software Development Environment, Beihang University（北京航空航天大学软件开发环境国家重点实验室）；Beijing Advanced Innovation Center for Big Data-Based Precision Medicine, Beihang University（北京航空航天大学大数据精准医疗北京高精尖创新中心）
对抗性样本是具有难以察觉的扰动的输入，这些扰动很容易误导深度神经网络（DNN）。最近，对抗补丁，与噪声限制在一个小的和本地化的补丁，已经出现了其在现实世界中的场景容易的可行性。然而，现有的策略未能生成具有较强泛化能力的对抗补丁。换句话说，对抗补丁是特定于输入的，无法攻击所有类别的图像，尤其是在训练过程中看不见的图像。为了解决这个问题，本文提出了一个基于偏见的框架，以生成具有强大泛化能力的类不可知的通用对抗补丁，它利用了模型的感知和语义偏见。关于感知偏差，由于DNN强烈偏向于纹理，因此我们利用传达强模型不确定性的硬示例，并通过采用风格相似性从它们中提取纹理补丁。补丁先验更接近决策边界，会促进攻击。为了进一步减轻在训练通用攻击时对大量数据的严重依赖，我们进一步利用了语义偏见。作为类的偏好，原型被引入并通过最大化多类裕度来追求，以帮助通用训练。以自动结账（AutomaticCheck-out，ACO）为典型场景，在数字世界（RPC，最大的ACO相关数据集）和物理世界（淘宝和京东，世界上最大的在线购物平台）进行了广泛的实验，包括白盒和黑盒设置。实验结果表明，我们提出的框架优于最先进的对抗补丁攻击方法。
2020-08-03 cs.CV cs.LG eess.IV
Probing Latent Subspaces in LLM for AI Security: Identifying and Manipulating Adversarial States
本文通过提取LLM隐藏激活并利用降维与扰动向量，识别并操纵安全与越狱状态之间的潜在子空间转换，证明可在表示层面诱导越狱，为模型无关的主动防御提供新思路。
2025-07-04 cs.AI cs.CR cs.LG
LLM Defenses Are Not Robust to Multi-Turn Human Jailbreaks Yet
Scale AI；UC Berkeley（加州大学伯克利分校）
本文通过构建包含2,912条提示的MHJ数据集，揭示多轮人类越狱攻击可使现有LLM防御的攻击成功率从个位数飙升至70%以上，并公开数据集与越狱策略汇编以推动更强防御研究。
2024-09-04 cs.CL cs.CR cs.CY
