Why Do Adversarial Attacks Transfer? Explaining Transferability of Evasion and Poisoning Attacks
Northeastern University（东北大学）；University of Cagliari（卡利亚里大学）；Pluribus One
可转移性捕获了针对机器学习模型的攻击对不同的、可能未知的模型有效的能力。在以前的工作中已经显示了可转移性的经验证据，但是攻击转移或不转移的根本原因还没有很好地理解。在本文中，我们提出了一个全面的分析，旨在研究测试时逃避和训练时中毒攻击的可转移性。我们提供了一个统一的规避和中毒攻击的优化框架，以及这种攻击的可转移性的正式定义。我们强调了两个主要因素有助于攻击的可转移性：目标模型的内在对抗性脆弱性，以及用于优化攻击的代理模型的复杂性。基于这些见解，我们定义了三个影响攻击可转移性的指标。有趣的是，我们从理论分析中得出的结果适用于逃避和中毒攻击，并且使用广泛的线性和非线性分类器和数据集进行实验证实。
2019-06-13 cs.CR cs.LG stat.ML
Malware Evasion Attack and Defense
McAfee（迈克菲）
机器学习（ML）分类器容易受到对抗性样本的影响。一个对抗性的例子是一个输入样本，它被稍微修改以在ML分类器中引起错误分类。在这项工作中，我们调查白盒和灰盒规避攻击ML为基础的恶意软件检测器，并在现实世界中进行性能评估。我们比较了防御方法在减轻攻击。我们提出了一个框架，部署灰盒和黑盒攻击的恶意软件检测系统。
2019-04-16 cs.CR cs.LG stat.ML
Mitigating Evasion Attacks to Deep Neural Networks via Region-based Classification
Duke University（杜克大学）
深度神经网络（DNN）已经改变了几个人工智能研究领域，包括计算机视觉、语音识别和自然语言处理。然而，最近的研究表明，DNN在测试时容易受到对抗性操纵。具体来说，假设我们有一个测试示例，其标签可以被DNN分类器正确预测。攻击者可以在测试示例中添加一个精心制作的小噪声，这样DNN分类器就会预测出一个不正确的标签，其中精心制作的测试示例被称为对抗性示例。这种攻击称为逃避攻击。规避攻击是在自动驾驶汽车等安全关键应用中部署DNN的最大挑战之一。在这项工作中，我们开发了新的方法来抵御逃避攻击。我们的关键观察是，对抗性样本接近分类边界。因此，我们提出基于区域的分类对对抗性示例具有鲁棒性。对于良性/对抗性测试示例，我们将信息集成在以示例为中心的超立方体中以预测其标签。相比之下，传统的分类器是基于点的分类，即，在给定测试示例的情况下，分类器仅基于测试示例来预测其标签。我们对MNIST和CIFAR-10数据集的评估结果表明，我们基于区域的分类可以显着减轻规避攻击，而不会牺牲良性示例的分类准确性。具体来说，我们的基于区域的分类实现了相同的分类精度测试良性的例子，基于点的分类，但我们的基于区域的分类是显着更强大的比基于点的分类各种规避攻击。
2019-12-31 cs.CR cs.LG stat.ML
Explanation-Guided Diagnosis of Machine Learning Evasion Attacks
University of Michigan, Dearborn（密歇根大学迪尔伯恩分校）
机器学习（ML）模型容易受到规避攻击。规避准确性通常使用总规避率进行评估，并且总规避率是否能够对对抗性扰动对规避预测的影响进行特征级诊断是一个悬而未决的问题。在本文中，我们介绍了一个新的框架，利用可解释的ML方法来指导ML规避攻击的高保真评估。我们的框架，使前回避扰动和后回避解释之间的解释引导的相关性分析。为了系统地评估ML规避攻击，我们提出并评估了一套新的模型不可知的指标，用于样本级和队列级的相关性分析。使用恶意软件和图像分类器，我们对不同的模型架构和互补的特征表示进行全面的评估。我们的推理引导的相关性分析揭示了对抗样本之间的相关性差距和对它们进行的相应扰动。使用一个关于解释引导规避的案例研究，我们展示了我们的方法在评估ML模型鲁棒性方面的更广泛用途。
2021-06-30 cs.CR cs.LG
Making targeted black-box evasion attacks effective and efficient
Aalto University（阿尔托大学）
我们研究了对手如何在黑盒环境中最佳地使用其查询预算来针对深度神经网络进行有针对性的规避攻击。我们正式的问题设置和系统地评估对手可以获得什么好处，通过使用替代模型。我们发现，有一个探索开发权衡，查询效率是在成本的有效性。我们提出了两种使用替代模型的新攻击策略，并表明它们与之前的仅查询技术一样有效，但需要的查询数量少得多，多达三个数量级。我们还表明，敏捷的对手能够通过不同的攻击技术切换，可以实现帕累托最优效率。我们展示了我们对Google Cloud Vision的攻击，表明针对现实世界预测API的黑盒攻击的难度比以前想象的要容易得多（需要大约500个查询，而不是以前的大约20，000个查询）。
2019-06-08 cs.CR cs.LG stat.ML
Advanced Evasion Attacks and Mitigations on Practical ML-Based Phishing Website Classifiers
ShanghaiTech University（上海科技大学）；Nanyang Technological University（南洋理工大学）
基于机器学习（ML）的方法已经成为反钓鱼检测的主流解决方案。当它们被部署在客户端时，基于ML的分类器容易受到规避攻击。然而，这种潜在的威胁受到的关注相对较少，因为现有的攻击破坏网页的功能或外观，并在白盒场景中进行，使其不太实用。因此，必须了解是否可以在保留功能和外观的同时，利用分类器的有限知识发起规避攻击。在这项工作中，我们表明，即使在灰盒和黑盒的情况下，规避攻击不仅是有效的实际ML为基础的分类器，但也可以有效地启动而不破坏的功能和外观。为此，我们提出了三种基于变异的攻击，它们在目标分类器的知识上有所不同，解决了一个关键的技术挑战：以一种可能误导分类器的方式，从已知的钓鱼网站自动制作一个对抗性样本。为了在白盒和灰盒场景中发起攻击，我们还提出了一种基于样本的碰撞攻击来获得目标分类器的知识。我们展示了我们的规避攻击的有效性和效率的国家的最先进的，谷歌的钓鱼网页过滤器，实现了100%的攻击成功率在不到一秒的每个网站。此外，对BitDefender工业钓鱼页面分类器TrafficLight的可转移性攻击实现了高达81.25%的攻击成功率。我们进一步提出了一种基于相似性的方法来减轻这种逃避攻击，Pelican。我们证明了Pelican可以有效地检测规避攻击。我们的研究结果有助于设计更强大的钓鱼网站分类在实践中。
2020-04-15 cs.CR cs.LG
Adversarial Deep Ensemble: Evasion Attacks and Defenses for Malware Detection
Nanjing University of Science and Technology（南京理工大学）
恶意软件仍然是网络安全的一大威胁，需要基于机器学习的恶意软件检测。虽然很有前途，但已知这种检测器容易受到规避攻击。包围学习通常有助于采取对策，而攻击者也可以利用这种技术来提高攻击效率。这促使我们研究集成防御的鲁棒性或集成攻击的有效性，特别是当它们相互攻击时。因此，我们提出了一种新的攻击方法，命名为混合攻击，使攻击者能够多个生成方法和多个操作集，扰乱恶意软件的例子，而不会破坏其恶意功能。这自然会导致对抗性训练的新实例化，从而进一步增强深度神经网络的整体。我们使用Android恶意软件检测器对两个实际数据集上的26种不同攻击进行防御评估。实验结果表明，新的对抗性训练显著增强了深度神经网络对各种攻击的鲁棒性，当基分类器足够鲁棒时，集成方法可以提高鲁棒性，但集成攻击可以有效地避开增强的恶意软件检测器，甚至显着降低了VirusTotal服务。
2020-06-30 cs.CR cs.LG stat.ML
Using Randomness to Improve Robustness of Machine-Learning Models Against Evasion Attacks
University of Maryland, Baltimore County（马里兰大学巴尔的摩县分校）
机器学习模型已经广泛地用于安全应用中，诸如入侵检测、垃圾邮件过滤以及病毒或恶意软件检测。然而，众所周知，对手总是试图调整他们的攻击以逃避检测。例如，垃圾邮件发送者可能会猜测垃圾邮件检测模型使用哪些功能，并修改或删除这些功能以避免检测。已经有一些工作使机器学习模型对这种攻击更鲁棒。然而，一种简单但有前途的方法，称为{ \em随机化}，尚未得到充分研究。本文提出了一种新的基于随机化的方法来提高机器学习模型对规避攻击的鲁棒性。所提出的方法将随机化纳入模型训练时间和模型应用时间（即当模型用于检测攻击时）。我们还将这种方法应用于随机森林，这是一种现有的ML方法，已经具有一定程度的随机性。在入侵检测和垃圾邮件过滤数据上的实验表明，该方法进一步提高了随机森林方法的鲁棒性。我们还讨论了如何将这种方法应用于其他ML模型。
2018-08-10 cs.CR cs.LG stat.ML
Treant: Training Evasion-Aware Decision Trees
Ca’ Foscari University of Venice（威尼斯大学）；University of Padua（帕多瓦大学）
尽管机器学习获得了成功和普及，但它现在被认为容易受到规避攻击，即，精心设计的测试输入扰动，旨在迫使预测误差。在本文中，我们专注于规避攻击决策树合奏，这是最成功的预测模型，用于处理非感知问题。尽管决策树集成功能强大且可解释，但到目前为止，它们只受到安全和机器学习社区的有限关注，导致对抗学习技术的最佳状态不佳。因此，我们提出了树，一种新的决策树学习算法，在一个正式的威胁模型的基础上，最大限度地减少规避意识损失函数在树的建设的每一步。Treant基于两个关键技术要素：鲁棒分裂和攻击不变性，这两个要素共同保证了学习过程的可靠性。在三个公开数据集上的实验结果表明，Treant能够生成决策树集合，这些集合同时准确且对规避攻击几乎不敏感，优于最先进的对抗性学习技术。
2019-07-03 cs.CR cs.LG stat.ML
Evasion Attacks Against Bayesian Predictive Models
Inst. Math. Sciences, Spanish Nat. Research Council（数学科学研究所，西班牙国家研究理事会）；Universidad Autónoma de Madrid, Escuela de Doctorado（马德里自治大学，博士学院）；CUNEF Universidad Madrid, Spain（CUNEF马德里大学，西班牙）
针对贝叶斯预测模型对抗攻击脆弱性研究不足的问题，本文提出了设计最优规避攻击的通用方法，针对两类对抗目标提出基于梯度的新型攻击并分析其在不同计算设置下的特性。
2025-06-11 cs.LG stat.ML
Better the Devil you Know: An Analysis of Evasion Attacks using Out-of-Distribution Adversarial Examples
Princeton University（普林斯顿大学）；UC Berkeley（加州大学伯克利分校）；Purdue University（普渡大学）
最近的大量工作研究了使用深度学习系统的对抗性示例的逃避攻击现象，其中向测试输入添加范数有界扰动会导致不正确的输出分类。以前的工作已经研究了这种现象在封闭世界系统中的训练和测试输入遵循预先指定的分布。然而，深度学习应用程序的实际实现，如自动驾驶和内容分类，可能会在开放世界环境中运行。在本文中，我们展示了开放世界规避攻击的成功，其中对抗性示例是从分布外输入（OOD对抗性示例）生成的。在我们的研究中，我们使用了11个最先进的神经网络模型，这些模型在3个不同复杂度的图像数据集上训练。我们首先证明了，最先进的检测器的分布外的数据是不强大的OOD对抗性的例子。然后，我们考虑了对抗性示例的5种已知防御，包括最先进的鲁棒训练方法，并表明与从分布数据生成的对抗性示例相比，OOD对抗性示例可以实现高达4 $\times$的目标成功率。我们还对开放世界规避攻击如何影响现实世界系统进行了定量研究。最后，我们提出了迈向强大的开放世界机器学习系统的第一步。
2019-05-05 cs.CR cs.CV cs.LG
PAD: Towards Principled Adversarial Malware Detection Against Evasion Attacks
Nanjing University of Posts and Telecommunications（南京邮电大学）；Nanjing Institute of Technology（南京工程学院）；University of Colorado Colorado Springs（科罗拉多大学斯普林斯分校）
本文提出PAD对抗训练框架，通过可学习凸度量量化分布级离散扰动并提供收敛保证，在两个Android恶意软件数据集上显著提升防御效果，抵御27种规避攻击时检测准确率超83.45%，无攻击时准确率下降小于2.16%。
2023-04-06 cs.CR cs.LG stat.ML
MISLEAD: Manipulating Importance of Selected features for Learning Epsilon in Evasion Attack Deception
Indian Institute Technology（印度理工学院）；AIShield；Bosch Global Software Technologies（博世全球软件技术公司）
本文提出MISLEAD方法，结合SHAP特征重要性分析与基于二分搜索的Optimal Epsilon技术，高效确定逃避攻击所需的最小扰动，并通过多架构实验验证其在生成对抗样本和操纵模型结果方面的有效性。
2024-05-02 cs.CR cs.LG
Against All Odds: Winning the Defense Challenge in an Evasion Competition with Diversification
Technische Universität Braunschweig（布伦瑞克工业大学）
用于恶意软件检测的基于机器学习的系统在恶劣的环境中运行。因此，攻击者也将针对学习系统，并使用规避攻击来绕过恶意软件的检测。在本文中，我们概述了我们的学习为基础的系统PEberus，获得了第一名，在防御者的挑战，微软逃避竞争，抵御各种攻击的独立攻击者。我们的系统结合了多种多样的防御：我们解决了语义差距，使用各种分类模型，并应用有状态防御。这场比赛给了我们一个独特的机会，在现实的情况下研究规避攻击。它还强调了现有的机器学习方法可以通过彻底分析攻击面和实施对抗性学习的概念来加强对攻击的防御。我们的辩护可以作为未来加强安全学习研究的额外基线。
2020-10-19 cs.CR cs.LG
Mitigating Evasion Attacks in Fog Computing Resource Provisioning Through Proactive Hardening
Institute of Radiocommunications Poznan University of Technology Poznań, Poland
本文研究了雾网络中k-means算法用于资源分配时模型完整性攻击的脆弱性，提出通过对抗训练增强分类器鲁棒性，以维持资源分配系统的稳定性。
2026-03-26 cs.CR cs.LG
Building an Adversarial Malware Dataset by Family and Type: Generation, Evasion, and Poisoning Evaluation
Department of Information Security, Faculty of Information Technology, Czech Technical University in Prague（信息安全系，信息技术学院，布拉格捷克技术大学）
基于RawMal-TF真实恶意软件数据集，使用对抗性生成器构建家族和类型标记的对抗性PE文件，评估逃避率和投毒攻击影响。
2026-05-25 cs.CR cs.LG
Certifying Decision Trees Against Evasion Attacks by Program Analysis
Università Ca’ Foscari Venezia（威尼斯福斯卡里大学）
机器学习已被证明对于一系列不同的任务是非常宝贵的，但它也被证明容易受到规避攻击，即，对输入数据进行恶意的人为扰动，以强制进行错误预测。在本文中，我们提出了一种新的技术来验证决策树模型的安全性，以防止规避攻击的表达威胁模型，其中攻击者可以表示为一个任意的命令式程序。我们的方法利用决策树的可解释性属性，将它们转换为命令式程序，这是适合于传统的程序分析技术。通过利用抽象解释框架，我们能够充分验证在公开数据集上训练的决策树模型的安全保证。我们的实验表明，我们的技术是精确和有效的，只产生最小数量的误报和扩展到的情况下，这是棘手的竞争对手的方法。
2020-07-06 cs.LG stat.ML
Omni: Automated Ensemble with Unexpected Models against Adversarial Evasion Attack
North Carolina State University（北卡罗来纳州立大学）
背景：基于机器学习的安全检测模型在现代恶意软件和入侵检测系统中已经变得普遍。然而，以前的研究表明，这种模型容易受到对抗性逃避攻击。在这种类型的攻击中，输入（即，对抗性示例）是由智能恶意对手特别制作的，目的是被现有技术水平的模型错误分类（例如，深度神经网络）。一旦攻击者可以欺骗分类器，使其认为恶意输入实际上是良性的，他们就可以使基于机器学习的恶意软件或入侵检测系统失效。目标：通过集成模型的思想，帮助安全从业者和研究人员构建一个更强大的模型来对抗非自适应、白盒和非针对性的对抗性规避攻击。方法：我们提出了一种名为Omni的方法，其主要思想是探索创建“意外模型”集合的方法;即，模型的控制超参数有一个大的距离对手的目标模型的超参数，我们然后做一个优化的加权集成预测。测试结果：在对五种安全数据集（NSL-KDD，CIC-IDS-2017，CSE-CIC-IDS 2018，CICAnd-Mal 2017和Contagio PDF数据集）进行的五种类型的对抗性规避攻击（FGSM，BIM，JSMA，DeepFool和Carlini-Wagner）的研究中，我们发现与其他基线治疗方法相比，Omni是一种很有前途的对抗对抗攻击的防御策略。结论：当采用集成防御对抗性逃避攻击时，我们建议使用与攻击者的预期模型（即，目标模型）通过超参数优化等方法。
2021-10-12 cs.CR cs.LG
FENCE: Feasible Evasion Attacks on Neural Networks in Constrained Environments
Northeastern University（东北大学）
随着深度神经网络（DNN）的进步在许多关键应用中展示出前所未有的性能水平，它们对攻击的脆弱性仍然是一个悬而未决的问题。我们考虑在受限环境中测试时对深度学习的规避攻击，其中需要满足特征之间的依赖关系。这些情况可能在表格数据中自然出现，也可能是特定应用领域的特征工程的结果，例如网络安全中的威胁检测。我们提出了一个通用的迭代梯度为基础的框架，称为FENCE的手工规避攻击，考虑到具体的约束域和应用程序的要求。我们将其应用于针对两个网络安全应用训练的前馈神经网络：网络流量僵尸网络分类和恶意域分类，以生成可行的对抗性示例。我们广泛评估了攻击的成功率和性能，比较了它们在几个基线上的改进，并分析了影响攻击成功率的因素，包括优化目标和数据不平衡。我们表明，以最小的努力（例如，生成12个额外的网络连接），攻击者可以将模型的预测从恶意类别更改为良性类别，并逃避分类器。我们发现，在不平衡程度较高的数据集上训练的模型更容易受到我们的FENCE攻击。最后，我们展示了在约束域中进行对抗性训练的潜力，以提高模型对这些规避攻击的弹性。
2022-06-14 cs.CR cs.LG
Are Self-Driving Cars Secure? Evasion Attacks against Deep Neural Networks for Steering Angle Prediction
Northeastern University（东北大学）；Toyota ITC（丰田ITC）
深度神经网络（DNN）在推进自动驾驶汽车的愿景方面具有巨大的潜力。然而，DNN模型在这种情况下的安全性导致了重大的安全问题，需要更好地理解。我们考虑使用2014年Udacity挑战赛的数据集从相机图像预测转向角的案例研究。我们首次展示了针对分类和回归设置的对抗性测试时间攻击。我们发现，对相机图像的微小修改（所考虑的模型之一的L2距离为0.82）会导致图像对攻击者选择的任何类别的错误分类。此外，我们的回归攻击导致均方误差（MSE）在最坏情况下显著增加69倍。
2019-04-15 cs.CR cs.LG stat.ML
Evasion Attacks on Cost-Utility-Based Adversarial Training for Online AutoML in IoT Networks
Ontario Tech University（安大略理工大学）；Alex Ekwueme Federal University（亚历克·埃克韦梅联邦大学）
本研究评估物联网网络中在线AutoML下黑盒规避攻击对基于成本效用的对抗训练的影响，发现LB和SRP的对抗训练版本在最高成本预算下达到最佳对抗准确率0.985，最大准确率下降仅0.8%。
2026-09-29 cs.CR cs.LG
Characterizing Internal Evasion Attacks in Federated Learning
Carnegie Mellon University（卡内基梅隆大学）
本文首次表征了联邦学习中对抗性客户端在测试时发起的内部规避攻击，发现对抗训练防御效果有限，但将其与个性化联邦学习框架结合可使相对鲁棒性提升60%。
2023-10-21 cs.CR cs.LG
Attack Tree Analysis for Adversarial Evasion Attacks
Japan Advanced Institute of Science and Technology（日本先端科学技术大学院大学）
本研究提出一种基于扩展攻击树的定量评估方法，通过系统化三步构建流程分析逃避攻击风险，并在三个ML图像识别系统上验证其通用性和有效性。
2023-12-28 cs.CR cs.CV cs.LG
Improving Robustness of ML Classifiers against Realizable Evasion Attacks Using Conserved Features
Washington University in St. Louis（圣路易斯华盛顿大学）；UIUC（伊利诺伊大学厄巴纳-香槟分校）；Ariel University（阿里埃勒大学）；University of Michigan（密歇根大学）
机器学习（ML）技术在安全应用中越来越常见，例如恶意软件和入侵检测。然而，ML模型通常容易受到规避攻击的影响，其中对手对输入（例如恶意软件）进行更改以避免被检测到。评估ML对此类攻击的鲁棒性以及设计鲁棒ML的传统方法是通过考虑简化的攻击特征空间模型，其中攻击者直接改变ML特征以实现规避，同时最小化或限制这种变化的幅度。我们研究了这种方法在面对可以在实际恶意软件中实现的攻击（可实现的攻击）时设计鲁棒ML的有效性。我们证明，在基于结构的PDF恶意软件检测的上下文中，这样的技术似乎有有限的有效性，但他们是有效的基于内容的检测器。在这两种情况下，我们表明，增加保守的功能（那些不能单方面修改而不损害恶意功能）的特征空间模型显着提高性能。最后，我们表明，特征空间模型，使广义的鲁棒性时，面对各种可实现的攻击，相比，被调整到一个特定的可实现的攻击是强大的分类器。
2019-05-10 cs.CR cs.LG
Poisoning $\times$ Evasion: Symbiotic Adversarial Robustness for Graph Neural Networks
Technical University of Munich（慕尼黑工业大学）
本文研究投毒与逃逸攻击的共生威胁，提出一种基于一阶优化、内存高效的自适应端到端结构扰动攻击，以评估GNN在联合威胁模型下的鲁棒性。
2023-12-09 cs.LG
Projective Ranking-based GNN Evasion Attacks
Monash University（莫纳什大学）；Griffith University（格里菲斯大学）；Academy of Mathematics and Systems Science, Chinese Academy of Sciences（中国科学院数学与系统科学研究院）
图神经网络（GNNs）为图相关任务提供了有前途的学习方法。然而，GNN面临对抗攻击的风险。目前的规避攻击方法的两个主要局限性突出：（1）目前的GradArgmax忽略了“长期”的扰动的好处。在某些情况下，它面临着零梯度和无效的效益估计。(2)在基于强化学习的攻击方法中，当攻击预算发生变化时，学习到的攻击策略可能无法转移。为此，我们首先制定扰动空间，并提出了一个评估框架和投影排名方法。我们的目标是学习一个强大的攻击策略，然后尽可能少地调整它，以在动态预算设置下生成对抗样本。在我们的方法中，基于互信息，我们排名和评估的攻击效益的每一个扰动的有效的攻击策略。通过投影的战略，我们的方法显着地最大限度地减少了学习一个新的攻击策略时，攻击预算的变化。在与GradArgmax和RL-S2 V的对比评估中，结果表明该方法具有较高的攻击性能和有效的可移植性。我们方法的可视化还揭示了生成对抗样本时的各种攻击模式。
2023-02-07 cs.CR cs.LG
A Novel Perturb-ability Score to Mitigate Evasion Adversarial Attacks on Flow-Based ML-NIDS
本文提出可扰动性评分（PS）量化NIDS特征受操纵风险，通过PS引导的特征选择与掩蔽，在保持检测性能的同时显著降低规避对抗攻击的脆弱性。
2025-06-18 cs.AI cs.CR cs.LG
Practicable Black-box Evasion Attacks on Link Prediction in Dynamic Graphs -- A Graph Sequential Embedding Method
Nanchang University（南昌大学）；Illinois Institute of Technology（伊利诺伊理工学院）
本文提出首个可实践的黑盒逃避攻击方法，利用图序列嵌入和深度强化学习，在有限交互与扰动下有效攻击动态图链路预测模型，并经实验验证其有效性与实用性。
2024-12-17 cs.CR cs.LG
Technical Report: When Does Machine Learning FAIL? Generalized Transferability for Evasion and Poisoning Attacks
University of Maryland, College Park（马里兰大学帕克分校）
最近的结果表明，对监督机器学习系统的攻击是非常有效的，而防御很容易被新的攻击绕过。然而，机器学习系统的规范目前缺乏精确的对手定义，现有的攻击对发起攻击的对手的实力做出了各种各样的、可能不切实际的假设。我们提出了FAIL攻击者模型，它描述了对手的知识和控制沿四个维度。我们的模型允许我们考虑各种较弱的对手，他们对所使用的功能、学习算法和训练实例的控制有限且知识不完整。为了评估FAIL模型的效用，我们考虑在现实环境中进行有针对性的中毒攻击的问题：精心制作的毒药样本必须有干净的标签，必须单独和集体不显眼，并且必须表现出FAIL模型定义的广义形式的可转移性。通过考虑这些约束，我们设计了StingRay，这是一种针对性的中毒攻击，可以针对4种机器学习应用程序，这些应用程序使用3种不同的学习算法，并且可以绕过2种现有的防御。相反，我们证明了在广义可转移性下，先验规避攻击的有效性较低。在失败对手模型下，这种攻击评估也可能为未来的防御提出有希望的方向。
2019-03-08 cs.CR cs.LG
Multi-SpacePhish: Extending the Evasion-space of Adversarial Attacks against Phishing Website Detectors using Machine Learning
University of Padua（帕多瓦大学）；University of Liechtenstein（列支敦士登大学）；Delft University of Technology（代尔夫特理工大学）
本文针对钓鱼网站检测的ML模型，形式化逃逸空间并提出低成本现实威胁模型，首次统计验证多种逃逸攻击，并探索多空间联合扰动导致检测率显著下降。
2023-10-12 cs.CR cs.LG cs.NI
Efficient, Direct, and Restricted Black-Box Graph Evasion Attacks to Any-Layer Graph Neural Networks via Influence Function
Illinois Institute of Technology（伊利诺伊理工学院）；The Pennsylvania State University（宾夕法尼亚州立大学）；Huazhong University of Science and Technology（华中科技大学）；University of Maryland（马里兰大学）；Nanchang University（南昌大学）；Duke University（杜克大学）
本文提出基于影响函数的受限黑盒图规避攻击InfAttack，将GNN攻击转化为LP标签影响计算，无需模型参数即可攻击任意层GNN，并在保持攻击效果的同时获得5至50倍加速。
2023-12-16 cs.CR cs.LG
Evasion Attacks against Machine Learning at Test Time
University of Cagliari（卡利亚里大学）；Universität Potsdam（波茨坦大学）；University of Tübingen（蒂宾根大学）
在对安全敏感的应用程序中，机器学习的成功取决于彻底审查它们对对抗性数据的抵抗力。在一个相关的，动机良好的攻击场景中，对手可能会试图通过仔细操纵攻击样本来逃避测试时部署的系统。在这项工作中，我们提出了一个简单但有效的基于梯度的方法，可以利用系统地评估几个，广泛使用的分类算法对规避攻击的安全性。根据最近提出的安全评估框架，我们模拟攻击的情况下，表现出不同的风险等级的分类器，通过增加攻击者的知识系统和她的能力来操纵攻击样本。这为分类器设计者提供了在逃避攻击下分类器性能的更好的画面，并允许他执行更明智的模型选择（或参数设置）。我们评估我们的方法在PDF文件中的恶意软件检测的相关安全任务，并表明，这样的系统可以很容易地逃避。并根据分析结果提出了相应的对策建议。
2017-08-21 cs.CR cs.LG
Characterizing the Evasion Attackability of Multi-label Classifiers
King Abdullah University of Science and Technology（阿卜杜拉国王科技大学）；Norton Research Group（诺顿研究集团）
多标签学习系统中的规避攻击是一个有趣的、广泛的、但很少有人探索的研究课题。描述决定多标签对抗性威胁可攻击性的关键因素是解释对抗性脆弱性的起源和理解如何减轻它的关键。我们将目标多标签分类器的可攻击性与分类器的规则性和训练数据分布相关联。除了理论上的可攻击性分析，我们进一步提出了一个有效的经验可攻击性估计通过贪婪标签空间探索。它提供了可证明的计算效率和近似精度。在真实数据集上的大量实验结果验证了所揭示的可攻击性因素和所提出的经验可攻击性指标的有效性
2020-12-21 cs.LG
Towards Certified Malware Detection: Provable Guarantees Against Evasion Attacks
Department of Computer Applications, Cochin University of Science and Technology（计算机应用系，科钦大学科学与技术学院）；Department of Electrical, Computer and Biomedical Engineering, University of Pavia（电气、计算机与生物医学工程系，帕维亚大学）
本文提出基于随机平滑的可信恶意软件检测框架，通过特征剥离和目标噪声注入，提供对抗逃避攻击的可证明鲁棒性。
2026-04-22 cs.CR cs.LG
Evasion Adversarial Attacks Remain Impractical Against ML-based Network Intrusion Detection Systems, Especially Dynamic Ones
Carleton University（卡尔顿大学）
本文研究了对抗攻击对基于机器学习的网络入侵检测系统（NIDS）的实用性，指出动态系统中的攻击有效性较低，并通过实验表明持续重新训练可降低攻击效果。
2026-03-29 cs.CR cs.LG cs.NI
Bypassing LLM Guardrails: An Empirical Analysis of Evasion Attacks against Prompt Injection and Jailbreak Detection Systems
Mindgard；Lancaster University（兰卡斯特大学）
本文实证分析了 LLM 护栏系统的漏洞，提出通过传统字符注入和对抗机器学习规避技术绕过提示注入与越狱检测，并利用离线白盒模型提升黑盒攻击成功率，揭示了当前保护机制的脆弱性。
2025-07-14 cs.AI cs.CR cs.LG
When Not to Classify: Detection of Reverse Engineering Attacks on DNN Image Classifiers
The Pennsylvania State University（宾夕法尼亚州立大学）
针对深度神经网络（DNN）图像分类器的逆向工程（RE）攻击，通过查询发现分类器的决策规则。RE可以实现测试时规避攻击，这需要分类器的知识。最近，我们提出了一个非常有效的方法（ADA）来检测测试时逃避攻击。在本文中，我们扩展ADA检测RE攻击（ADA-RE）。我们证明了我们的方法是成功的检测“隐形”RE攻击之前，他们学习足够的发动有效的测试时间规避攻击。
2018-10-31 cs.CV cs.LG stat.ML
Evaluating Adversarial Evasion Attacks in the Context of Wireless Communications
Virginia Tech（弗吉尼亚理工大学）
射频机器学习（RFML）的最新进展已经证明了将原始同相和正交（IQ）样本用于多个频谱感测任务。然而，在其他应用中，深度学习技术已被证明容易受到对抗性机器学习（ML）技术的影响，这些技术试图制造添加到输入中的小扰动以导致错误分类。目前的工作根据攻击的执行位置区分了对抗性ML对RFML系统构成的威胁：直接访问分类器输入，通过空中同步传输（OTA）或从单独的设备异步传输。此外，目前的工作开发了一种方法来评估对抗成功的背景下，无线通信，其中感兴趣的主要指标是误比特率，而不是人类的感知，是在图像识别的情况下。该方法使用著名的快速梯度符号方法来评估基于原始IQ的自动调制分类的漏洞，并得出结论RFML容易受到对抗性的例子，即使在OTA攻击。然而，在OTA攻击中会遇到的RFML域特定接收器效应可以对对抗规避造成重大损害。
2019-03-01 cs.LG eess.SP stat.ML
Online Evasion Attacks on Recurrent Models:The Power of Hallucinating the Future
KAIST（韩国科学技术院）；Tulane University（杜兰大学）
循环模型经常用于自动驾驶等在线任务，需要对其脆弱性进行全面研究。现有的研究是有限的一般性，只解决特定应用程序的脆弱性或作出难以置信的假设，如知识的未来输入。在本文中，我们提出了一个通用的在线任务的攻击框架，结合独特的约束条件的在线设置不同的离线任务。我们的框架是通用的，因为它涵盖了随时间变化的对抗目标和各种优化约束，允许全面研究鲁棒性。使用该框架，我们还提出了一种新的白盒攻击称为预测攻击，“幻觉”的未来。这种攻击平均达到了理想但不可行的千里眼攻击的98%。我们通过各种实验验证了所提出的框架和攻击的有效性。
2022-07-08 cs.AI cs.CR cs.LG
EG-Booster: Explanation-Guided Booster of ML Evasion Attacks
University of Michigan, Dearborn（密歇根大学迪尔伯恩分校）
机器学习（ML）在众多领域的广泛使用引发了对其在安全关键环境中的可信度的质疑。对可信ML的部分追求是对ML模型进行鲁棒性评估，以测试对抗性示例。与可信赖的ML目标相一致，可能有助于鲁棒性评估的有用输入是模型预测的基于特征的解释。在本文中，我们提出了一种名为EG-Booster的新方法，该方法利用可解释的ML技术来指导对抗性示例制作，以便在将ML模型部署到安全关键设置中之前对其进行改进的鲁棒性评估。EG-Booster的关键见解是使用基于特征的模型预测解释来指导对抗性示例制作，方法是添加可能导致模型规避的结果性扰动，并避免不太可能导致规避的非结果性扰动。EG-Booster对模型架构、威胁模型不可知，并支持文献中以前使用的各种距离度量。我们使用图像分类基准数据集，MNIST和CIFAR 10评估EG-Booster。我们的研究结果表明，EG-Booster显着提高了最先进的攻击的逃避率，同时执行更少的扰动。通过涵盖四种白盒和三种黑盒攻击的广泛实验，我们证明了EG-Booster对两个在MNIST和CIFAR 10上训练的无防御神经网络以及另一个在CIFAR 10上训练的对抗训练ResNet模型的有效性。此外，我们引入了一个稳定性评估指标，并通过观察EG-Booster多次运行的模型分类输出之间的相似性来评估我们基于简化的方法的可靠性。
2021-09-02 cs.CR cs.LG
Robustness of Practical Perceptual Hashing Algorithms to Hash-Evasion and Hash-Inversion Attacks
Binghamton University（宾汉姆顿大学）
针对感知哈希算法（PHA）对抗性安全评估不足的问题，本文测试了PhotoDNA、PDQ和NeuralHash三种实用PHA对哈希规避和反转攻击的鲁棒性，发现其表现出显著防御能力并解释原因，还提出增强安全性的防御方法。
2024-12-05 cs.CR cs.CV cs.LG
EvaLDA: Efficient Evasion Attacks Towards Latent Dirichlet Allocation
Hangzhou Dianzi University（杭州电子科技大学）；Harvard University（哈佛大学）
作为最强大的主题模型之一，潜在狄利克雷分配（LDA）已被用于广泛的任务，包括文档理解、信息检索和同行评审分配。尽管LDA非常受欢迎，但其安全性却很少被研究。这给基于LDA的安全关键任务（如情感分析和同行评审员分配）带来了严重的风险。在本文中，我们有兴趣知道LDA模型是否容易受到良性文档示例在推理时间的对抗性扰动。我们将对LDA模型的规避攻击形式化为一个优化问题，并证明了它是NP难的。然后，我们提出了一种新的和有效的算法，EvaLDA来解决它。我们通过广泛的实证评估EvaLDA的有效性。例如，在NIPS数据集中，EvaLDA可以平均将目标主题的排名从10提升到7左右，只需将受害者文档中1%的单词替换为相似单词。我们的工作提供了显着的见解逃避攻击LDA模型的权力和限制。
2021-04-12 cs.CR cs.IR cs.LG
Reinforcement Learning-based Black-Box Evasion Attacks to Link Prediction in Dynamic Graphs
Huazhong University of Science Technology（华中科技大学）；Duke University（杜克大学）；Nanyang Technological University（南洋理工大学）；Dalian University of Technology（大连理工大学）
动态图中的链接预测（LPDG）是一个重要的研究问题，它具有多种应用，如在线推荐、疾病传染研究、组织研究等。最近提出了基于图嵌入和图神经网络的各种LPDG方法，并取得了最先进的性能。在本文中，我们研究了LPDG方法的脆弱性，并提出了第一个实际的黑盒规避攻击。具体来说，给定一个经过训练的LPDG模型，我们的攻击旨在扰动图结构，而不知道模型参数，模型架构等，使得LPDG模型产生尽可能多的错误预测链路。我们设计我们的攻击基于随机策略的RL算法。此外，我们评估我们的攻击三个现实世界的图数据集从不同的应用领域。实验结果表明，我们的攻击是有效的和高效的。
2020-09-12 cs.AI cs.CR cs.LG
Fall of Giants: How popular text-based MLaaS fall against a simple evasion attack
University of Padua（帕多瓦大学）
对机器学习应用的需求增加使得公司提供机器学习即服务（MLaaS）。在MLaaS（到2025年市场估计为8亿美元）中，用户为性能良好的ML模型付费，而无需处理复杂的训练过程。在MLaaS中，基于文本的应用程序是最受欢迎的应用程序（例如，语言翻译）。鉴于这种流行，MLaaS必须为对抗性操作提供弹性。例如，错误的翻译可能会导致双方之间的误解。在文本领域，最先进的攻击主要集中在利用ML模型弱点的策略上。不幸的是，没有太多的注意力给予其他流水线的阶段，如索引阶段（即，当句子从文本表示转换为数字表示时），如果操纵，则会显著影响应用程序的最终性能。在本文中，我们提出了一种新的文本规避技术称为“\textit{Zero-Width}攻击”（ZeW），利用人类不可读字符的注入，影响索引阶段的机制。我们证明了我们简单而有效的攻击欺骗了亚马逊，谷歌，IBM和微软等“巨头”的MLaaS。我们的案例研究基于对仇恨推文的操纵，表明在12个分析的服务中，只有一个对我们的注入策略有抵抗力。最后，我们介绍和测试一个简单的\textit{input validation}防御，可以防止我们提出的攻击。
2021-04-13 cs.CR cs.LG
EvadeDroid: A Practical Evasion Attack on Machine Learning for Black-box Android Malware Detection
Radboud University（拉德堡德大学）；Ruhr University Bochum（波鸿鲁尔大学）
本文提出 EvadeDroid，一种基于良性捐赠应用变换和查询高效优化的黑盒问题空间攻击，可在极少查询下规避多种 Android 恶意软件检测器及商业杀毒软件。
2024-01-25 cs.CR cs.LG
Adversarial RL for Port-Scan Evasion: Attacker Feature Visibility in Edge-Deployed IDS
Pennsylvania State University（宾夕法尼亚州立大学）；Elizabethtown College（伊丽莎白敦学院）
本研究通过DQN对抗者在黑盒、灰盒和白盒设置下学习规避组合，证明有限特征知识即可有效规避边缘部署的ML-IDS模型，凸显了加强物联网边缘防御的必要性。
2026-10-08 cs.CR cs.LG
URET: Universal Robustness Evaluation Toolkit (for Evasion)
IBM Research（IBM研究院）；University of Cambridge（剑桥大学）
提出URET框架，通过发现满足语义和功能约束的变换序列，跨输入类型和任务领域生成对抗性输入，以评估和提升AI系统的鲁棒性。
2023-08-03 cs.AI cs.CR cs.LG
An Evasion Attack against Stacked Capsule Autoencoder
School of Computer Engineering and Science, Shanghai University（上海大学计算机工程与科学学院）
胶囊网络是一种利用特征之间的空间关系对图像进行分类的神经网络。通过捕捉特征之间的姿态和相对位置，提高了仿射变换的识别能力，在处理平移、旋转和缩放时优于传统的卷积神经网络（CNN）。堆叠胶囊自动编码器（SCAE）是最先进的胶囊网络。SCAE将图像编码为胶囊，每个胶囊包含特征的姿态及其相关性。然后将编码的内容输入到下游分类器中以预测图像的类别。现有的研究主要集中在基于动态路由或EM路由的胶囊网络的安全性上，而对SCAE的安全性和鲁棒性研究较少。在本文中，我们提出了一个规避攻击的规模。在基于模型中的对象胶囊的输出生成扰动之后，将其添加到图像以减少与图像的原始类别相关的对象胶囊的贡献，使得扰动图像将被误分类。通过图像分类实验对该攻击进行了评估，实验结果表明该攻击具有较高的成功率和隐蔽性。它证实了SCAE存在安全漏洞，因此可以在不改变图像原始结构的情况下制作对抗样本来欺骗分类器。我们希望我们的工作将使社区意识到这种攻击的威胁，并提高对SCAE安全的关注。
2021-12-20 cs.CR cs.LG
Evasion Attacks: How Adversarial Noise Bypasses ML Classifiers
Minot State University（迈诺特州立大学）
本文通过MNIST图像分类和SMS文本分类实验，展示对抗性噪声对机器学习分类器的规避攻击效果，发现图像分类脆弱性显著而文本分类相对稳健，强调鲁棒性需实证检验。
2026-10-02 cs.CL cs.CR cs.LG
MalPurifier: Enhancing Android Malware Detection with Adversarial Purification against Evasion Attacks
School of Cyber Science and Engineering, Southeast University, Purple Mountain Laboratories, and Jiangsu Province Engineering Research Center of Security for Ubiquitous Network（网络 ubiquity 安全江苏省工程研究中心、紫金山实验室、东南大学网络科学与工程学院）
MalPurifier提出一种基于对抗净化的Android恶意软件检测防御框架，通过多样化扰动、噪声注入和双目标DAE，在37种逃避攻击下保持90.91%以上的鲁棒准确率。
2025-06-22 cs.AI cs.CR cs.LG
Band Together: Untargeted Adversarial Training with Multimodal Coordination against Evasion-based Promotion Attacks
Sichuan University（四川大学）；University of Illinois at Chicago（伊利诺伊大学香槟分校）
本文提出UAT-MC方法，通过多模态协调解决逃避攻击中未知目标项的问题，提升系统鲁棒性并保持推荐性能。
2026-05-07 cs.AI cs.LG
OMG-ATTACK: Self-Supervised On-Manifold Generation of Transferable Evasion Attacks
The Blavatnik School of Computer Science（布拉瓦特尼克计算机科学学院）；Tel Aviv University（特拉维夫大学）
本文提出名为OMG-ATTACK的自监督低计算成本对抗样本生成方法，借鉴表征学习技术生成贴合数据分布的流形上规避攻击，在攻击未知模型时效果显著优于现有方法，在多场景下均有效。
2023-10-05 cs.CV cs.LG
Investigating a Spectral Deception Loss Metric for Training Machine Learning-based Evasion Attacks
Virginia Tech（弗吉尼亚理工大学）
对抗性规避攻击在各种机器学习应用程序中非常成功地导致性能低下。一种这样的应用是无线电频谱感测。虽然规避攻击在这一领域被证明是特别成功的，但它们这样做损害了信号的预期目的。更具体地说，对于感兴趣的现实世界应用，为了逃避窃听者而发送的所得到的扰动信号必须不偏离原始信号太远，更少的预期信息被破坏。作者和其他人最近的工作已经展示了一个攻击框架，该框架允许在逃避和通信的这些冲突目标之间进行智能平衡。然而，虽然这些方法考虑创建对抗信号以最小化通信降级，但它们已被证明是以牺牲信号的频谱形状为代价的。这将对抗性信号开放给窃听者的防御措施，例如过滤，这可能会使攻击无效。为了弥补这一点，这项工作引入了一个新的频谱欺骗损失度量，可以在训练过程中实施，以迫使频谱形状与原始信号更加一致。作为概念的初步证明，提出了各种方法，为这一拟议损失提供了一个起点。通过性能分析，它表明，这些技术是有效的控制对抗信号的形状。
2020-05-27 cs.LG eess.SP
Taking off the Rose-Tinted Glasses: A Critical Look at Adversarial ML Through the Lens of Evasion Attacks
IBM Research（IBM研究院）；Stony Brook University（石溪大学）
本文批判性审视了对抗机器学习领域因不合理的攻击与防御威胁模型假设导致防御研究停滞的问题，主张从系统安全视角而非纯AI视角重新评估防御机制，以应对新兴AI范式的安全挑战。
2024-10-15 cs.CR cs.LG
