On adversarial patches: real-world attack on ArcFace-100 face recognition system
Skolkovo Institute of Science and Technology（斯科尔科沃科学技术学院）；Intelligent Systems Lab（智能系统实验室）；Huawei Moscow Research Center（华为莫斯科研究中心）
最近的工作表明，在数字域的对抗攻击的图像分类的脆弱性。然而，大多数攻击涉及向图像添加小扰动以欺骗分类器。不幸的是，这样的程序不能用于进行现实世界的攻击，在现实世界中，向照片添加对抗属性是一种更实用的方法。在本文中，我们研究了现实世界中的人脸识别系统的攻击问题。我们研究了最好的公共人脸识别系统之一，LResNet 100 E-IR与ArcFace损失的安全性，并提出了一种简单的方法来攻击它在物理世界中。该方法建议创建一个可以打印的对抗补丁，添加为面部属性并拍照;然后将具有这种属性的人的照片传递给分类器，使得分类器的识别类从正确的变为所需的。所提出的生成过程允许不仅在面部的不同区域（例如鼻子或前额）上，而且在一些可穿戴配件（例如眼镜）上投射对抗性补丁。
2020-04-01 cs.CR cs.CV cs.LG
Breaking the Illusion: Real-world Challenges for Adversarial Patches in Object Detection
Graz University of Technology（格拉茨工业大学）；Complexity Science Hub Vienna（维也纳复杂性科学中心）
本研究针对YOLO目标检测网络，在现实世界中测试全局和局部两种对抗性补丁，分析补丁参数对攻击效果的影响，揭示现实条件下攻击面临的挑战，为开发更鲁棒的防御提供依据。
2024-11-26 cs.CV cs.LG
Dynamic Adversarial Patch for Evading Object Detection Models
Ben-Gurion University of the Negev（本-古里安大学）
最近的研究表明，用于计算机视觉的神经网络模型（例如，YOLO和Fast R-CNN）容易受到对抗性规避攻击。大多数针对对象检测器的现有现实世界对抗攻击使用附着到目标对象的对抗补丁（例如，一个精心制作的贴纸放在一个停止标志）。这种方法可能对相机相对于目标对象的位置的变化不鲁棒;此外，当应用于诸如汽车的非平面对象时，它可能不起作用。在这项研究中，我们提出了一种针对对象检测器的创新攻击方法，该方法应用于现实世界的设置中，解决了现有攻击的一些局限性。我们的方法使用动态对抗补丁，这些补丁被放置在目标对象上的多个预定位置。应用对抗性学习算法以生成所使用的补丁。动态攻击是通过根据相机的位置（即，目标检测系统的位置）。为了在真实世界的设置中演示我们的攻击，我们通过将平面屏幕连接到目标对象来实现补丁;屏幕用于显示补丁并根据当前相机位置在它们之间切换。因此，攻击是动态的，并根据情况进行自我调整，以达到最佳效果。我们通过以汽车为目标对象攻击YOLOv 2对象检测器来评估我们的动态补丁方法，并在从宽视角范围拍摄汽车时成功地在高达90%的视频帧中误导它。我们通过生成考虑目标对象及其分类之间的语义距离的补丁来改进攻击。我们还检查了攻击在不同车型之间的可转移性，并能够在71%的时间内误导检测器。
2020-10-25 cs.CR cs.CV cs.LG
Not All Adversarial Examples Require a Complex Defense: Identifying Over-optimized Adversarial Examples with IQR-based Logit Thresholding
Ghent University（根特大学）；Ghent University Global Campus（根特大学全球校区）
检测对抗性样本目前是深度学习领域最大的挑战之一。产生对抗性示例的对抗攻击增加了目标类对特定数据点的预测可能性。在这个过程中，对抗性示例可以进一步优化，即使它已经被错误地分类为100%置信度，从而使对抗性示例更难以检测。对于这种对抗性示例，我们称之为过度优化的对抗性示例，我们发现模型的logits为手头的数据点是对抗性的还是真实的提供了可靠的线索。在这种情况下，我们首先讨论softmax函数对预测的掩蔽效应，并解释为什么模型的logits在检测过度优化的对抗性示例时更有用。为了在实践中识别这种类型的对抗性示例，我们提出了一种依赖于四分位距的非参数和计算效率高的方法，随着图像分辨率的增加，这种方法变得更加有效。我们通过对不同数据集（MNIST，CIFAR-10和ImageNet）和几种架构的详细实验来支持我们在整篇论文中的观察。
2019-07-30 cs.CR cs.CV cs.LG
Adversarial Purification of Information Masking
Nanjing University of Science and Technology（南京理工大学）
本文提出一种名为 IMPure 的新型对抗净化方法，通过掩蔽并重构图像块及混合样本等策略彻底消除对抗扰动，在 ImageNet 数据集上抵御九种攻击达到最先进水平。
2023-11-26 cs.CR cs.CV cs.LG
SpaNN: Detecting Multiple Adversarial Patches on CNNs by Spanning Saliency Thresholds
KTH Royal Institute of Technology（皇家理工学院）
SpaNN是一种不依赖固定显著性阈值、计算复杂度与补丁数量无关的对抗性补丁检测器，通过集成二值化特征图聚类，在目标检测和分类上分别超越现有防御最多11和27个百分点。
2025-06-23 cs.CV cs.LG
SHIELD: Defending Textual Neural Networks against Multiple Black-Box Adversarial Attacks with Stochastic Multi-Expert Patcher
Penn State University（宾夕法尼亚州立大学）；Yonsei University（延世大学）
尽管已经提出了几种方法来保护文本神经网络（NN）模型免受黑盒对抗攻击，但它们通常会防御特定的文本扰动策略和/或需要从头开始重新训练模型。这导致在实践中缺乏推广和冗余计算。特别地，现有技术的Transformer模型（例如，BERT、RoBERTa）需要大量的时间和计算资源。通过借鉴软件工程的思想，为了解决这些局限性，我们提出了一种新的算法，SHIELD，它修改和重新训练的文本NN的最后一层，因此它“补丁”和“变换”的NN到一个随机加权合奏的多专家预测头。考虑到当前大多数黑盒攻击依赖于迭代搜索机制来优化其对抗性扰动，SHIELD通过根据输入自动使用不同加权的预测器集合来混淆攻击者。换句话说，SHIELD打破了攻击的一个基本假设，即受害者NN模型在攻击期间保持不变。通过进行全面的实验，我们证明，所有的CNN，RNN，BERT，和RobERTa的文本神经网络，一旦修补SHIELD，表现出相对提高15%-70%的准确率平均对14种不同的黑盒攻击，超过6个防御基线在3个公共数据集。所有代码都将被发布。
2022-03-16 cs.CL cs.CR cs.LG
Adversarial Defenses via Vector Quantization
School of Electrical Engineering and Computer Science, University of Ottawa（电气工程与计算机科学系，渥太华大学）
本文提出基于向量量化的预处理防御框架，通过补丁量化提升鲁棒性，pRD和swRD方法在可认证准确率上大幅超越RandDisc，并有效抵抗STE和EOT攻击。
2025-07-09 cs.CR cs.CV cs.LG
PatchZero: Defending against Adversarial Patch Attacks by Detecting and Zeroing the Patch
对抗补丁攻击通过在局部区域内注入对抗像素来误导神经网络。补丁攻击可以在各种任务中非常有效，并且可以通过附着（例如贴纸）到现实世界的对象来物理实现。尽管攻击模式的多样性，对抗补丁往往是高度纹理化的，并且在外观上与自然图像不同。我们利用这一特性，并提出PatchZero，这是一种针对白盒对抗补丁的通用防御管道，无需重新训练下游分类器或检测器。具体来说，我们的防御检测在像素级的对手和“零”的补丁区域重新绘制的平均像素值。我们进一步设计了一个两阶段的对抗训练方案，以抵御更强的自适应攻击。PatchZero在图像分类（ImageNet，REISC 45），目标检测（PASCAL VOC）和视频分类（UCF 101）任务上实现了SOTA防御性能，而良性性能几乎没有下降。此外，PatchZero可以转移到不同的补丁形状和攻击类型。
2022-09-05 cs.CR cs.CV cs.LG
ARMOR: Manifold-Oriented Training for Adversarially Robust Aerial Object Detection under Data Scarcity
Georgia Institute of Technology（佐治亚理工学院）；Khalifa University（哈利法大学）；Technology Innovation Institute（技术创新研究院）
ARMOR 是一种面向流形的新型防御方法，通过掩码图像背景、在目标上注入随机补丁，在数据稀缺时提升航拍目标检测器的对抗鲁棒性，维持强干净性能且优于现有最优防御。
2026-09-09 cs.CR cs.CV cs.LG
PBCAT: Patch-based composite adversarial training against physically realizable attacks on object detection
Department of Computer Science and Technology, BNRist, IDG/McGovern Institute for Brain Research, THBI, Tsinghua University（清华大学计算机科学与技术系）；University of Science and Technology Beijing（北京科技大学）；Huawei Technologies（华为技术有限公司）；Chinese Institute for Brain Research (CIBR)（中国脑科学研究院）
提出PBCAT，一种基于补丁的复合对抗训练方法，结合局部对抗补丁和全局扰动，统一防御多种物理可实现攻击，显著提升目标检测鲁棒性。
2025-07-09 cs.AI cs.CV cs.LG
Real-Time Robust Video Object Detection System Against Physical-World Adversarial Attacks
Institute of Computing Technology, CAS（中国科学院计算技术研究所）；University of Chinese Academy of Sciences（中国科学院大学）；Cambricon Technologies（寒武纪科技）；Drexel University（德雷塞尔大学）；Northeastern University（东北大学）
基于DNN的视频目标检测（VOD）为自动驾驶和视频监控行业提供了越来越重要的支持和充满希望的机会。然而，对抗补丁攻击由于其实用性、可行性和强大的攻击效果，在实时视觉任务中受到了极大的关注。这项工作提出了Themis，一个软件/硬件系统，以抵御对抗补丁的实时的【形】鲁棒视频目标检测。我们观察到，对抗补丁表现出非常本地化的表面特征的重要性，在一个小的区域与非鲁棒的预测，从而提出了对抗区域检测算法的对抗效应消除。Themis还提出了一个系统化的设计，通过消除冗余计算和内存流量来有效地支持该算法。实验结果表明，该方法可以有效地恢复系统从对抗攻击与可忽略不计的硬件开销。
2022-08-19 cs.AR cs.CR cs.CV
Can 3D Adversarial Logos Cloak Humans?
University of Texas at Austin（德克萨斯大学奥斯汀分校）；University of Science and Technology of China（中国科学技术大学）；MIT-IBM Watson AI Lab（麻省理工学院-IBM沃森人工智能实验室）
随着对抗攻击的趋势，研究人员试图在2D场景中欺骗训练有素的物体检测器。在其中许多攻击中，一种有趣的具有潜在现实世界用途的新攻击形式是将对抗性补丁（例如徽标）附加到图像中。然而，我们对3D渲染视图中的对抗攻击知之甚少，这对于攻击在物理世界中持续强大至关重要。本文提出了一种新的3D对抗性徽标攻击：我们从2D纹理图像构造一个任意形状的徽标，并通过称为徽标变换的纹理映射将该图像映射到3D对抗性徽标。然后将生成的3D对抗性徽标视为对抗性纹理，从而可以轻松操纵其形状和位置。这极大地扩展了计算机图形合成图像对抗训练的多功能性。与传统的对抗补丁相反，这种新形式的攻击被映射到3D对象世界，并通过可微渲染反向传播到2D图像域。此外，与现有的对抗补丁不同，我们的新3D对抗标志显示在模型旋转下可以稳健地欺骗最先进的深度对象检测器，从而进一步实现物理世界中的现实攻击。我们的代码可在https://github.com/TAMU-VITA/3D_Adversarial_Logo上获得。
2020-11-27 cs.CV cs.LG stat.ML
Fooling Network Interpretation in Image Classification
University of Maryland, Baltimore County（马里兰大学巴尔的摩县分校）
深度神经网络已经被证明很容易被对抗攻击算法愚弄。对抗补丁等实用方法已被证明在导致错误分类方面非常有效。然而，这些补丁使用标准的网络解释算法突出显示，从而揭示了对手的身份。我们证明了创建对抗性补丁不仅可以欺骗预测，还可以改变我们对预测原因的解释。此外，我们引入我们的攻击作为一个受控的设置来衡量解释算法的准确性。我们使用广泛的实验梯度CAM的解释，转移到闭塞补丁的解释，以及。我们相信我们的算法可以帮助开发更强大的网络解释工具，真正解释网络的底层决策过程。
2019-09-24 cs.CV cs.LG
BB-Patch: BlackBox Adversarial Patch-Attack using Zeroth-Order Optimization
Netaji Subhas Institute of Technology（纳塔吉·苏巴斯技术学院）；Indraprastha Institute of Information Technology（因德拉普拉斯信息技术学院）
针对现实黑盒场景下仅有部分数据且仅能推测模型架构的限制，本文提出BB-Patch，利用零阶优化生成可放置于图像任意位置的对抗补丁。
2024-05-09 cs.CR cs.CV cs.LG
Understanding Adversarial Transferability in Vision-Language Models for Autonomous Driving: A Cross-Architecture Analysis
School of Computing, Clemson University, USA（克莱姆森大学计算机学院）
本文通过跨架构研究探讨视觉语言模型在自动驾驶中的对抗转移性，评估了三种架构在不同场景下的对抗效果，发现高跨架构有效性。
2026-04-30 cs.CR cs.CV cs.LG
An Adversarial Robustness Perspective on the Topology of Neural Networks
Criteo AI Lab（Criteo人工智能实验室）；Amazon（亚马逊）；Meta AI Research（Meta人工智能研究院）
在本文中，我们研究了神经网络（NN）拓扑结构对对抗鲁棒性的影响。具体来说，我们研究了当输入遍历NN的所有层时产生的图，并表明这些图对于干净的和对抗性的输入是不同的。我们发现，来自干净输入的图形更集中在高速公路边缘，而来自对手的图形则更分散，利用了优化不足的边缘。通过在各种数据集和架构上的实验，我们证明了这些优化不足的边缘是对抗性脆弱性的来源，它们可以用来检测对抗性输入。
2022-11-04 cs.CR cs.LG stat.ML
Dynamic Adversarial Attacks on Autonomous Driving Systems
Drexel University（德雷塞尔大学）
本文针对自动驾驶系统韧性问题，提出一种动态对抗攻击机制，通过移动车辆屏幕显示动态优化的对抗性补丁欺骗目标检测模型，实现非共定位、隐蔽的攻击，并首次在真实场景验证，提升对自动驾驶系统安全研究的认知。
2024-12-03 cs.CV cs.LG cs.RO
POBA-GA: Perturbation Optimized Black-Box Adversarial Attacks via Genetic Algorithm
Zhejiang University of Technology（浙江工业大学）
大多数深度学习模型很容易受到对抗攻击的攻击。设计了各种对抗攻击来评估模型的鲁棒性，并建立防御模型。目前，对抗攻击被提出来攻击他们自己的目标模型与他们自己的评估指标。与白盒攻击相比，大多数黑盒对抗攻击算法都不能达到预期的成功率。针对不同的对抗攻击方法，提出了综合评价指标。提出了一种基于遗传算法的扰动优化黑盒对抗攻击算法（POBA-GA），以获得与白盒攻击相当的攻击性能。通过初始化、选择、交叉和变异等进化操作，得到近似最优对抗样本。设计了适应度函数，从攻击能力和扰动控制两个方面对样本个体进行评价。在进化过程中引入种群多样性策略，保证获得近似最优扰动。通过大量实验验证了POBA-GA的性能。仿真和应用结果表明，该方法在攻击能力和扰动控制方面优于现有的黑箱攻击方法。
2019-05-01 cs.CR cs.LG cs.NE
Fool the Stoplight: Realistic Adversarial Patch Attacks on Traffic Light Detectors
Karlsruhe Institute of Technology (KIT)（卡尔斯鲁厄理工学院）；Department of Technical Cognitive Systems（技术认知系统系）；FZI Research Center for Information Technology（信息技术研究所以）
本文提出在交通信号灯下方放置打印对抗补丁的攻击方法，实现对交通信号灯检测CNN的红转绿标签翻转和图形符号分类攻击，并通过真实世界实验验证其有效性。
2025-06-05 cs.CV cs.LG
Adversarial Robustness of Distilled and Pruned Deep Learning-based Wireless Classifiers
Indian Institute of Technology Guwahati（印度古瓦哈蒂印度理工学院）
针对无线信号自动调制分类在边缘应用中易受对抗攻击的问题，提出结合知识蒸馏与网络剪枝的优化模型并辅以高效对抗训练，在提升干净样本准确率的同时显著增强了对抗鲁棒性。
2024-04-11 cs.CR cs.IT cs.LG
AdROD: HyperNetwork-based Adversarially Robust Object Detection for Autonomous Driving
Nanyang Technological University（南洋理工大学）；City University of Hong Kong（香港城市大学）
AdROD是面向自动驾驶的嵌入式随机集成防御软件，采用低秩超网络与功能多样性机制，设两种服务模式，经多类评估优于基线防御，可在对抗场景下保持实时安全停车。
2026-08-18 cs.CV cs.LG
Design and Interpretation of Universal Adversarial Patches in Face Detection
Tsinghua University（清华大学）；Microsoft Research Asia（微软亚洲研究院）；TTIC（丰田工业大学芝加哥分校）
我们认为，通用的对抗补丁的脸-小的视觉元素，除了一张脸的图像可靠地破坏了性能的人脸检测器。与以前的工作主要集中在对抗性示例的算法设计方面，以提高攻击者的成功率不同，在这项工作中，我们展示了对这些补丁的解释，这些补丁可以阻止最先进的人脸检测器检测到真实的人脸。我们研究了一个现象：旨在抑制真实人脸检测的补丁出现人脸。这种现象通常适用于不同的初始化，位置，补丁规模，骨干和最先进的人脸检测框架。我们提出了新的基于优化的方法来自动设计通用对抗补丁，以适应不同的攻击目标，包括在不引入误报的情况下抑制真阳性的情况。我们提出的算法在真实世界的数据集上表现良好，在多个精度/召回指标和可转移性方面欺骗了最先进的人脸检测器。
2020-07-17 cs.CR cs.CV cs.LG
DPAttack: Diffused Patch Attacks against Universal Object Detection
Tsinghua Shenzhen International Graduate School, Tsinghua University（清华大学深圳国际研究生院）；PCL Research Center of Networks and Communications, Peng Cheng Laboratory（鹏城实验室网络通信PCL研究中心）
最近，深度神经网络（DNN）已广泛且成功地用于目标检测，例如Faster RCNN，YOLO，CenterNet。然而，最近的研究表明，DNN容易受到对抗攻击的攻击。针对目标检测的对抗攻击可以分为两类，全像素攻击和补丁攻击。虽然这些攻击会对图像中的大量像素增加扰动，但我们提出了一种扩散补丁攻击（\textbf{DPAttack}），通过小行星形状或网格形状的扩散补丁成功地欺骗对象检测器，这只会改变少量像素。实验结果表明，本文提出的DPAttack算法可以成功地欺骗大多数具有扩散补丁的目标检测器，并在阿里巴巴天池竞赛：阿里巴巴-清华对抗目标检测挑战赛中获得第二名。我们的代码可以从https://github.com/Wu-Shudeng/DPAttack获得。
2020-10-16 cs.AI cs.CV cs.LG
LORE: Lagrangian-Optimized Robust Embeddings for Visual Encoders
Stanford University（斯坦福大学）；Aktus AI；University of Massachusetts Amherst（马萨诸塞大学阿默斯特分校）；Apple（苹果公司）
LORE通过约束优化方法提升视觉编码器的对抗鲁棒性，同时保持清洁数据性能，有效平衡鲁棒性与准确性。
2025-11-29 cs.AI cs.CV cs.LG
PatchGuard: A Provably Robust Defense against Adversarial Patches via Small Receptive Fields and Masking
Princeton University（普林斯顿大学）；University of Chicago（芝加哥大学）
局部对抗补丁旨在通过任意修改图像的受限区域内的像素来诱导机器学习模型中的误分类。这种攻击可以在物理世界中通过将对抗补丁附加到要被错误分类的对象来实现，并且防御这种攻击是一个未解决的/开放的问题。在本文中，我们提出了一个名为PatchGuard的通用防御框架，它可以实现高可证明的鲁棒性，同时保持对本地化对抗补丁的高准确性。PatchGuard的基石涉及使用具有小感受野的CNN来限制被对抗补丁破坏的特征数量。给定有界数量的损坏特征，设计对抗性补丁防御的问题简化为设计安全特征聚合机制的问题。为此，我们提出了我们强大的掩蔽防御，鲁棒地检测和掩蔽损坏的功能，以恢复正确的预测。值得注意的是，我们可以证明我们的防御对我们的威胁模型中的任何对手的鲁棒性。我们对ImageNet，ImageNet（ImageNet的10类子集）和CIFAR-10数据集的广泛评估表明，我们的防御在可证明的鲁棒准确性和干净准确性方面都达到了最先进的性能。
2021-03-31 cs.CR cs.CV cs.LG
Jedi: Entropy-based Localization and Removal of Adversarial Patches
Université de Sousse（苏塞大学）；Ecole Nationale d’Ingénieurs de Sousse（苏塞国家工程师学院）；University of California Riverside（加州大学河滨分校）；Queen’s University Belfast（贝尔法斯特女王大学）；CNRS（法国国家科学研究中心）；Université Polytechnique Hauts-de-France（上法兰西综合理工大学）；Université de Jendouba（坚杜巴大学）；Institut National des Technologies et des Sciences du Kef（卡夫国家技术与科学学院）
本文提出模型无关的Jedi防御框架，利用高熵区域识别和自动编码器补全来定位并移除逼真对抗性补丁，在多个基准上实现90%平均检测率和最高94%攻击恢复率。
2023-04-20 cs.CR cs.CV cs.LG
On Physical Adversarial Patches for Object Detection
Carnegie Mellon University（卡内基梅隆大学）
在本文中，我们展示了针对对象检测器的物理对抗补丁攻击，特别是YOLOv3检测器。与以前的工作物理目标检测攻击，这需要补丁被错误分类或避免检测的对象重叠，我们表明，一个适当设计的补丁可以抑制几乎所有检测到的对象在图像中。也就是说，我们可以将补丁放置在图像中的任何地方，导致图像中所有现有的物体都被检测器完全错过，即使是那些远离补丁本身的物体。这反过来又开辟了针对目标检测系统的新的物理攻击路线，该系统不需要修改场景中的对象。该系统的演示可以在https://youtu.be/WXnQjbZ1e7Y上找到。
2019-06-20 cs.CR cs.CV cs.LG
ImageNet-Patch: A Dataset for Benchmarking Machine Learning Robustness against Adversarial Patches
University of Cagliari（卡利亚里大学）；University of Genova（热那亚大学）；Pluribus One（普里布斯一号公司）
针对对抗补丁优化成本高、鲁棒性评估易不理想的问题，提出可跨模型泛化的ImageNet-Patch数据集，经仿射变换后可快速评估鲁棒性，已在127个模型上验证有效性并开源。
2025-01-15 cs.CR cs.CV cs.LG
Feasibility of Inconspicuous GAN-generated Adversarial Patches against Object Detection
FZI Research Center for Information Technology（FZI信息技术研究中心）；Karlsruhe Institute of Technology (KIT)（卡尔斯鲁厄理工学院）
对抗补丁生成的标准方法会导致嘈杂的明显模式，这些模式很容易被人类识别。最近的研究提出了几种使用生成对抗网络（GANs）生成自然斑块的方法，但只有其中一些在目标检测用例中进行了评估。此外，现有技术主要集中在通过将单个大的限界框与面片直接重叠来抑制输入中的单个大的边界框。抑制面片附近的对象是一项不同的、更复杂的任务。在这项工作中，我们评估了现有的方法来生成不显眼的补丁。我们已经调整了最初为不同计算机视觉任务开发的方法，以适应YOLOv3和COCO数据集的目标检测用例。我们已经评估了两种方法来生成自然的补丁：通过将补丁生成到GAN训练过程中，并通过使用预训练的GAN。对于这两种情况下，我们已经评估了性能和自然的补丁外观之间的权衡。我们的实验表明，使用预训练的GAN有助于获得逼真的补丁，同时保持与传统对抗补丁相似的性能。
2022-07-15 cs.CV cs.LG
Inconspicuous Adversarial Patches for Fooling Image Recognition Systems on Mobile Devices
Nanyang Technological University（南洋理工大学）
基于深度学习的图像识别系统已被广泛部署在当今世界的移动设备上。然而，在最近的研究中，深度学习模型被证明容易受到对抗性示例的影响。对抗样本的一种变体，称为对抗补丁，由于其强大的攻击能力而引起研究人员的注意。虽然对抗补丁实现了高攻击成功率，但由于补丁和原始图像之间的视觉不一致性，它们很容易被检测到。此外，在文献中，它通常需要大量的数据来生成对抗补丁，这是计算昂贵和耗时的。为了解决这些挑战，我们提出了一种方法来生成不显眼的对抗补丁与一个单一的图像。在我们的方法中，我们首先根据受害者模型的感知灵敏度来确定补丁的位置，然后利用多尺度生成器和鉴别器以粗到细的方式生成对抗补丁。鼓励补丁与对抗训练的背景图像保持一致，同时保持强大的攻击能力。我们的方法显示了强大的攻击能力，在白盒设置和良好的可移植性，在黑盒设置通过广泛的实验，各种模型与不同的架构和训练方法。与其他对抗性补丁相比，我们的对抗性补丁具有最可忽略的检测风险，并且可以逃避人类观察，这得到了显着性图和用户评估结果的支持。最后，我们证明了我们的对抗补丁可以应用于物理世界。
2021-11-21 cs.AI cs.CV
CapGen:An Environment-Adaptive Generator of Adversarial Patches
Tsinghua University（清华大学）
针对现有对抗补丁易被察觉、忽略元素动态的问题，提出环境自适应的CAPGen方法，发现模式比颜色对攻击性能影响更大，进而提出快速生成策略，实现隐身性与对抗性兼顾。
2024-12-10 cs.CV
Enhancing Real-World Adversarial Patches through 3D Modeling of Complex Target Scenes
Ben-Gurion University of the Negev（内盖夫本-古里安大学）
对抗性示例已被证明是对深度学习模型的一个令人担忧的威胁，特别是在图像领域。然而，尽管许多研究都研究了现实世界中的对抗性例子，但大多数研究都依赖于攻击场景的2D照片。因此，所提出的攻击在具有3D对象或不同条件的现实环境中实施时可能具有有限的有效性。很少有关于使用3D对象的对抗性学习的研究，在许多情况下，其他研究人员无法复制真实世界的评估过程。在这项研究中，我们提出了一个框架，使用3D建模工艺对抗补丁现有的现实世界的场景。我们的方法使用3D数字近似的场景作为模拟现实世界。通过在数字场景中添加和操作任何元素的能力，我们的框架使攻击者能够提高对抗补丁在现实世界中的影响。我们使用该框架为日常场景创建一个补丁，并使用一个新颖的评估过程来评估其性能，该过程确保我们的结果在数字空间和现实世界中都是可复制的。我们的评估结果表明，该框架可以生成对抗补丁，在现实世界中的不同设置是强大的。
2021-09-02 cs.AI cs.CR cs.CV
Improving Transferability of Adversarial Patches on Face Recognition with Generative Models
RealAI（瑞莱智慧）；Ant Financial（蚂蚁金服）；Tsinghua University（清华大学）；Beijing Institute of Technology（北京理工大学）；Nanyang Technological University（南洋理工大学）
深度卷积神经网络（CNN）极大地提高了人脸识别。最近，这些人脸识别模型已被用于安全敏感应用中的身份认证。然而，深度CNN很容易受到对抗补丁的攻击，这些补丁在物理上是可实现的，并且是隐形的，这对这些模型的实际应用提出了新的安全问题。在本文中，我们使用基于可转移性的对抗补丁来评估人脸识别模型的鲁棒性，其中攻击者对目标模型的可访问性有限。首先，我们扩展了现有的基于转移的攻击技术，以生成可转移的对抗补丁。然而，我们观察到的可转移性是敏感的初始化和退化时的扰动幅度是大的，表示过拟合的替代模型。其次，我们提出了在低维数据流形上正则化对抗补丁。流形由在合法人脸图像上预训练的生成模型表示。通过在流形上进行优化，使用人脸特征作为对抗性扰动，我们表明替代模型和目标模型的响应之间的差距显着减小，表现出更好的可移植性。大量的数字世界的实验进行了证明所提出的方法在黑箱设置的优越性。我们也将所提出的方法应用于物理世界。
2021-08-30 cs.CV cs.LG
Higher-Order Adversarial Patches for Real-Time Object Detectors
Fraunhofer IOSB and Fraunhofer Center for Machine Learning（弗劳恩霍夫联合研究所和弗劳恩霍夫机器学习中心）；Karlsruhe Institute of Technology（卡尔斯鲁厄理工学院）
本文研究了高阶对抗性补丁对实时目标检测器的影响，发现其具有更强的泛化能力，但单纯对抗训练不足以有效防御此类攻击。
2026-01-08 cs.CV
Traversing the Subspace of Adversarial Patches
Fraunhofer Center for Machine Learning（弗劳恩霍夫机器学习中心）；Fraunhofer IOSB（弗劳恩霍夫联合研究所）；Karlsruher Institute of Technology（卡尔斯鲁厄理工学院）
本文验证流形假说于对抗性补丁，分析三种降维方法的重建能力，发现复杂方法不优于主成分分析，并在两个行人检测数据集上评估。
2024-12-02 cs.CV
RADAP: A Robust and Adaptive Defense Against Diverse Adversarial Patches on Face Recognition
Nanjing University（南京大学）
本文提出RADAP防御机制，通过傅里叶空间采样、边缘感知损失和分割填充策略，提升人脸识别系统对多样化对抗补丁的鲁棒性，同时保持较高干净准确率。
2023-11-29 cs.CR cs.CV
Eigenpatches -- Adversarial Patches from Principal Components
Fraunhofer Center for Machine Learning（弗劳恩霍夫机器学习中心）；Fraunhofer IOSB（弗劳恩霍夫IOSB）
本文提出Eigenpatches方法，通过分析375个对抗补丁并计算其主成分，利用线性组合高效生成对抗补丁以欺骗目标检测器，解决了传统白盒攻击计算成本高的问题。
2023-06-19 cs.CV
Network transferability of adversarial patches in real-time object detection
Fraunhofer Center for Machine Learning, Fraunhofer IOSB（弗劳恩霍夫机器学习研究中心，弗劳恩霍夫IOSB）
本文研究对抗补丁在实时目标检测中的网络迁移性，发现用较大模型优化的补丁跨网络迁移效果更好。
2024-08-28 cs.CV
Developing Imperceptible Adversarial Patches to Camouflage Military Assets From Computer Vision Enabled Technologies
University of New South Wales（新南威尔士大学）
卷积神经网络（CNN）在目标检测中已经显示出快速的进展和高水平的成功。然而，最近的证据突出表明，它们易受对抗攻击的伤害。这些攻击是计算图像扰动或对抗补丁，导致对象误分类或检测抑制。传统的伪装方法是不切实际的，当应用于伪装飞机和其他大型移动资产从自主检测的情报，监视和侦察技术和第五代导弹。在本文中，我们提出了一种独特的方法，产生难以察觉的补丁，能够从计算机视觉启用技术的大型军事资产。我们开发这些补丁最大限度地提高目标检测损失，同时限制补丁的颜色感知。这项工作还旨在进一步理解对抗性示例及其对目标检测算法的影响。
2022-05-11 cs.CV
DOEPatch: Dynamically Optimized Ensemble Model for Adversarial Patches Generation
School of Automation, Northwestern Polytechnical University（西北工业大学自动化学院）
本文提出DOEPatch方法，通过引入能量概念和动态优化集成模型生成通用对抗补丁，在多个目标检测模型及物理世界中验证了其攻击有效性。
2024-09-29 cs.CV
Generating Adversarial yet Inconspicuous Patches with a Single Image
Nanyang Technological University（南洋理工大学）
深度神经网络已经被证明容易受到对抗补丁的攻击，其中外来模式可能导致模型错误预测。然而，现有的对抗性补丁生成方法很少考虑补丁与图像背景之间的上下文一致性，导致这种补丁很容易被检测到，从而导致对抗攻击失败。另一方面，这些方法需要大量的数据进行训练，这在计算上是昂贵的。为了克服这些挑战，我们提出了一种方法来生成对抗性但不显眼的补丁与一个单一的图像。在我们的方法中，对抗补丁是以一种由粗到细的方式产生的，具有多个尺度的生成器和鉴别器。在Min-Max训练过程中对上下文信息进行编码，以使匹配与环境一致。补丁位置的选择是基于受害者模型的感知灵敏度。通过大量的实验，我们的方法显示出强大的攻击能力，在白盒和黑盒设置。显著性检测实验和用户评价实验表明，该方法能有效地避免人工观察，具有较好的隐蔽性。最后，我们证明了我们的方法保留了物理世界中的攻击能力。
2021-04-21 cs.AI cs.CV
Distributional Modeling for Location-Aware Adversarial Patches
Beihang University（北京航空航天大学）；Tsinghua University（清华大学）
本文提出分布优化对抗补丁（DOPatch），通过优化对抗位置的多模态分布，实现高效黑盒查询攻击，并利用分布建模对抗训练提升模型鲁棒性。
2023-06-28 cs.CV
NeRFTAP: Enhancing Transferability of Adversarial Patches on Face Recognition using Neural Radiance Fields
Nanjing University（南京大学）
本文提出NeRFTAP攻击方法，利用基于NeRF的3D-GAN生成新视角人脸图像并结合风格一致性损失，同时提升对抗补丁向FR模型和受害者人脸图像的迁移性，实验证明其优于现有攻击技术。
2023-11-29 cs.CR cs.CV
BadPatch: Diffusion-Based Generation of Physical Adversarial Patches
Shanghai Key Lab of Intell. Info. Processing, School of CS, Fudan University（上海智能信息处理关键实验室，计算机科学学院，复旦大学）
提出BadPatch框架，基于扩散模型生成可定制且自然的物理对抗补丁，在保持攻击性能的同时提升隐蔽性，并构建了首个物理对抗T恤数据集AdvT-shirt-1K。
2025-08-10 cs.CV
The Weaknesses of Adversarial Camouflage in Overhead Imagery
IQT Labs（IQT实验室）
机器学习对于分析不断增长的头顶图像语料库越来越重要。先进的计算机视觉目标检测技术在从卫星和无人机图像中识别船舶、汽车和飞机等感兴趣的目标方面取得了巨大成功。然而，依赖于计算机视觉会暴露出重大的漏洞，即目标检测算法对对抗攻击的敏感性。在本文中，我们探讨了对抗性伪装的有效性和缺点，在一个开销的图像背景下。虽然最近的一些论文已经证明了使用对抗补丁可靠地欺骗深度学习分类器和对象检测器的能力，但大多数工作都是在相对统一的数据集上进行的，并且只有一类对象。在这项工作中，我们利用VisDrone数据集，它具有广泛的视角和对象大小。我们探索四种不同的对象类：公共汽车，汽车，卡车，货车。我们构建了一个包含24个对抗性补丁的库来伪装这些对象，并为我们的补丁引入了一个补丁透明度变量。贴片的透明度（或α值）与其功效高度相关。此外，我们还表明，虽然对抗性补丁可能会欺骗对象检测器，但这种补丁的存在往往很容易被发现，补丁平均比补丁要隐藏的对象高出24%。这就提出了这样的补丁是否真正构成伪装的问题。源代码可在https://github.com/IQTLabs/camolo上获得。
2022-07-06 cs.CV
PatchDEMUX: A Certifiably Robust Framework for Multi-label Classifiers Against Adversarial Patches
UC Berkeley（加州大学伯克利分校）；Princeton University（普林斯顿大学）
本文提出PatchDEMUX框架，通过将多标签分类转化为孤立的二元分类问题扩展单标签可认证防御，并在单补丁场景下提供更严格的鲁棒性界限，在MS-COCO和PASCAL VOC数据集上实现了高鲁棒性与高干净性能。
2025-05-30 cs.CR cs.CV cs.LG
AngleRoCL: Angle-Robust Concept Learning for Physically View-Invariant T2I Adversarial Patches
NKIARI, Shenzhen Futian（深圳福田NKIARI）；VCIP, CS, Nankai University（南开大学VCIP研究所）；CRRC Zhuzhou Institute（株洲CRRC研究所）；CFAR and IHPC, Agency for Science, Technology and Research (A*STAR)（新加坡科技研究局CFAR和IHPC）
本文提出AngleRoCL方法，通过学习可泛化的文本嵌入概念，增强T2I扩散模型生成对抗补丁的角度鲁棒性，在多个视角下对五个SOTA检测器实现超过50%的平均攻击有效性提升。
2025-10-24 cs.CV
Improving the Transferability of Adversarial Examples with Restructure Embedded Patches
Beijing Institute of Technology（北京理工大学）
视觉Transformer（ViTs）在各种计算机视觉任务中表现出令人印象深刻的性能。然而，由ViTs生成的对抗性示例很难转移到具有不同结构的其他网络。现有的攻击方法没有考虑ViTs结构和自注意力机制的特殊性，导致ViTs生成的对抗样本的可移植性差。我们通过重构输入的嵌入补丁来攻击ViTs中独特的自我注意力机制。重构后的嵌入贴片使自我注意力机制能够获得更多样的贴片连接，并帮助ViT保持对象上的感兴趣区域。因此，我们提出了一种针对ViTs中独特的自我注意力机制的攻击方法，称为自我注意补丁重组（SAPR）。我们的方法是简单的实现，但有效的，适用于任何自注意力为基础的网络和梯度转移为基础的攻击方法。我们评估了不同结构的黑盒模型上的攻击可转移性。结果表明，我们的方法在白盒ViTs上生成的对抗性示例具有更高的可移植性和更高的图像质量。我们的研究推进了对ViTs的黑盒传输攻击的发展，并证明了使用白盒ViTs攻击其他黑盒模型的可行性。
2022-04-27 cs.CV
Embodied Active Defense: Leveraging Recurrent Feedback to Counter Adversarial Patches
Tsinghua University（清华大学）
本文提出具身主动防御EAD，通过感知与策略两个循环模块主动感知并行动以对抗3D环境中的对抗性补丁，在保持标准准确率的同时显著提升鲁棒性和对未知攻击的泛化能力。
2024-03-31 cs.AI cs.CV
Energy Attack: On Transferring Adversarial Examples
Shanghai Jiao Tong University（上海交通大学）
在这项工作中，我们提出了能量攻击，一个基于传输的黑盒$L_\infty$ -对抗攻击。该攻击是无参数的，不需要梯度近似。特别地，我们首先获得一个代理模型的白盒对抗扰动，并将这些扰动分成小块。然后，我们提取的单位分量向量和特征值的这些补丁的主成分分析（PCA）。基于特征值，我们可以模拟对抗扰动的能量分布。然后，我们通过根据扰动补丁的能量分布进行采样来执行黑盒攻击，并将采样的补丁平铺以形成全尺寸的对抗性扰动。这可以在没有访问受害者模型的情况下完成。大量的实验表明，所提出的能量攻击在各种模型和多个数据集上的黑盒攻击中达到了最先进的性能。此外，提取的分布能够在不同的模型架构和不同的数据集之间传输，因此是视觉架构所固有的。
2021-09-09 cs.CV cs.LG
Physically Adversarial Infrared Patches with Learnable Shapes and Locations
Beihang University（北京航空航天大学）；Institute of Artificial Intelligence, Beihang University（北京航空航天大学人工智能研究院）
由于红外目标检测器在安全关键任务中的广泛应用，有必要评估其对现实世界中对抗性示例的鲁棒性。然而，由于数字世界到物理世界的复杂转换，目前很少有物理红外攻击在实际应用中实现起来比较复杂。为了解决这个问题，在本文中，我们提出了一种物理上可行的红外攻击方法称为“对抗红外补丁”。考虑到红外摄像机通过捕获目标的热辐射成像的机理，对抗性红外贴片通过在目标物体上贴上一片隔热材料来操纵其热分布，从而进行攻击。为了增强对抗攻击，我们提出了一种新的聚合正则化，以指导同时学习补丁的形状和位置的目标对象。因此，可以采用简单的基于梯度的优化来求解它们。我们验证对抗红外补丁在不同的目标检测任务与各种目标检测器。实验结果表明，在不同角度、不同距离、不同姿态和不同场景下，与行人检测器和车辆检测器相比，该方法的攻击成功率（ASR）达到90%以上.更重要的是，对抗性红外贴片易于实现，在物理世界中构建仅需0.5小时，验证了其有效性和高效性。
2023-03-24 cs.CV
Adversarial Patch
Google（谷歌公司）
我们提出了一种在现实世界中创建通用的，鲁棒的，有针对性的对抗图像补丁的方法。补丁是通用的，因为它们可以用来攻击任何场景，健壮的，因为它们在各种各样的变换下工作，有针对性的，因为它们可以导致分类器输出任何目标类。这些对抗补丁可以打印，添加到任何场景，拍照，并呈现给图像分类器;即使补丁很小，它们也会导致分类器忽略场景中的其他项目并报告所选的目标类别。为了重现论文中的结果，我们的代码可以在https://github.com/tensorflow/cleverhans/tree/master/examples/adversarial_patch上找到。
2018-05-17 cs.CV
ScaleCert: Scalable Certified Defense against Adversarial Patches with Sparse Superficial Layers
Institute of Computing Technology, CAS（中国科学院计算技术研究所）；University of Chinese Academy of Sciences（中国科学院大学）；Cambricon Technologies（寒武纪科技）；UC Santa Barbara（加州大学圣巴巴拉分校）；Northeastern University（东北大学）；Drexel University（德雷塞尔大学）
对抗性的补丁攻击，工艺的像素在一个有限的区域的输入图像显示其强大的攻击效果，即使在物理环境中的噪声或变形。针对对抗性补丁攻击的现有认证防御在MNIST和CIFAR-10数据集等小图像上运行良好，但在ImageNet等高分辨率图像上的认证准确性非常差。迫切需要设计强大而有效的防御措施，以抵御行业级大图像中这种实际而有害的攻击。在这项工作中，我们提出了认证的防御方法，实现了高分辨率图像的高可证明的鲁棒性，并大大提高了认证防御的实际应用。我们工作的基本见解是，对抗补丁打算利用局部的表面重要神经元（SIN）来操纵预测结果。因此，我们利用基于SIN的DNN压缩技术，通过减少对抗性区域搜索开销和过滤预测噪声来显着提高认证的准确性。我们的实验结果表明，在ImageNet数据集上，认证准确率从36.3%（最先进的认证检测）提高到60.4%，这在很大程度上推动了认证防御的实际应用。
2021-11-04 cs.CR cs.CV cs.LG
