Enhance transferability of adversarial examples with model architecture
Fuzhou University（福州大学）；City University of Macau（澳门城市大学）；Peking University（北京大学）
对抗性示例的可移植性对于发起黑盒对抗攻击至关重要，其中攻击者仅允许访问目标模型的输出。然而，在这样一个具有挑战性但实际的环境下，精心制作的对抗性示例总是倾向于过度拟合所采用的代理模型，表现出很差的可移植性。在本文中，我们建议从一个新的角度来缓解过拟合问题，即，设计一个合适的模型架构。具体而言，深入挖掘可移植性差的原因，我们可以说是分解和重构现有的模型架构，成为一个有效的模型架构，即多轨道模型架构（MMA）。在MMA上制作的对抗性示例可以最大限度地减轻模型指定的特征对它的影响，以及不同架构所采用的脆弱方向。广泛的实验评估表明，基于MMA的对抗性示例的可移植性显着超过其他最先进的模型架构高达40%，开销相当。
2022-02-28 cs.CR cs.CV cs.LG
Improving Transferability of Adversarial Examples with Input Diversity
Johns Hopkins University（约翰斯·霍普金斯大学）；University of Oxford（牛津大学）；Baidu Research（百度研究院）；Wormpex AI Research（Wormpex人工智能研究院）
尽管CNN在各种视觉任务上都取得了最先进的性能，但它们很容易受到对抗性示例的影响--这些示例是通过在干净的图像中添加人类无法察觉的扰动来制作的。然而，大多数现有的对抗攻击只能在具有挑战性的黑盒设置下实现相对较低的成功率，其中攻击者不知道模型结构和参数。为此，我们建议通过创建不同的输入模式来提高对抗性示例的可转移性。我们的方法不是只使用原始图像来生成对抗性示例，而是在每次迭代时对输入图像进行随机变换。在ImageNet上进行的大量实验表明，所提出的攻击方法可以生成对抗性示例，这些示例可以比现有基线更好地传输到不同的网络。通过对顶级防御解决方案和NIPS 2017对抗性竞赛的官方基线进行评估，增强型攻击的平均成功率达到73.0%，比NIPS竞赛中的顶级攻击提交高出6.6%。我们希望我们提出的攻击策略可以作为一个强大的基准基线评估网络的鲁棒性对手和不同的防御方法的有效性在未来。代码可在https://github.com/cihangxie/DI-2-FGSM上获得。
2019-06-01 cs.CV cs.LG stat.ML
Q-TART: Quickly Training for Adversarial Robustness and in-Transferability
原始的深度神经网络（DNN）性能是不够的;在现实世界中，计算负载、训练效率和对抗安全性同样重要，甚至更重要。我们建议同时解决性能，效率和鲁棒性，使用我们提出的算法Q-TART，快速训练对抗鲁棒性和不可转移性。Q-TART遵循的直觉是，对噪声高度敏感的样本会强烈影响DNN学习的决策边界，这反过来会降低DNN的性能和对抗敏感性。通过识别和删除这些样本，我们证明了改进的性能和对抗鲁棒性，同时只使用一个子集的训练数据。通过我们的实验，我们强调了Q-TART在多个数据集-DNN组合（包括ImageNet）中的高性能，并深入了解了Q-TART与现有对抗训练方法的互补行为，将鲁棒性提高了1.3%以上，同时减少了17.9%的训练时间。
2022-04-14 cs.CV cs.LG
Improving Adversarial Transferability with Scheduled Step Size and Dual Example
University of Rochester（罗切斯特大学）；Harvard University（哈佛大学）；HUST（华中科技大学）
众所周知，深度神经网络容易受到对抗性示例的影响，特别是在白盒设置下生成的对抗性示例上表现出明显的性能低下。然而，大多数白盒攻击方法严重依赖于目标模型，并很快陷入局部最优，导致对抗可移植性差。基于动量的方法和它们的变体被提出来逃避局部最优，以获得更好的可移植性。在这项工作中，我们注意到，由迭代快速梯度符号方法（I-FGSM）生成的对抗性示例的可移植性随着迭代次数的增加而呈现出下降的趋势。基于这一发现，我们认为良性样本附近的对抗扰动的信息，特别是方向，更有利于转移。因此，我们提出了一种新的策略，它使用预定的步长和双重的例子（SD），充分利用良性样本附近的敌对信息。我们提出的策略可以很容易地与现有的对抗攻击方法集成，以获得更好的对抗可转移性。对标准ImageNet数据集的实证评估表明，我们提出的方法可以显着增强现有对抗攻击的可转移性。
2023-01-30 cs.LG
Generating Adversarial Examples with Better Transferability via Masking Unimportant Parameters of Surrogate Model
Tsinghua University（清华大学）；RealAI（瑞莱智慧）
本文提出通过掩蔽代理模型中不重要参数（MUP）来精炼预训练模型，从而提升基于迁移攻击所生成对抗样本的迁移性，并可结合现有梯度优化器进一步增强攻击效果。
2023-04-14 cs.CR cs.CV cs.LG
Batch Normalization Increases Adversarial Vulnerability and Decreases Adversarial Transferability: A Non-Robust Feature Perspective
Korea Advanced Institute of Science Technology (KAIST)（韩国科学技术院）
批量归一化（BN）由于改进了收敛性而被广泛用于现代深度神经网络（DNN）中。观察到BN提高了模型的准确性，同时以对抗性鲁棒性为代价。ML社区越来越有兴趣了解BN对DNN的影响，特别是与模型鲁棒性相关的影响。这项工作试图从非鲁棒特征的角度来理解BN对DNN的影响。简单地说，准确性的提高可以归因于更好地利用有用的功能。目前还不清楚BN是否主要倾向于学习鲁棒特征（RF）或非鲁棒特征（NRF）。我们的工作提出了实证证据，支持BN转向模型更加依赖于NRF。为了便于分析这种功能的鲁棒性转变，我们提出了一个框架，用于将鲁棒性有用性分解为鲁棒性和有用性。在所提出的框架下进行的广泛分析产生了关于DNN鲁棒性行为的有价值的见解，例如DNN首先主要学习RF，然后学习NRF。RF比NRF传输更好的见解进一步激发了简单的技术来加强基于传输的黑箱攻击。
2021-10-07 cs.CV cs.LG stat.ML
TREND: Transferability based Robust ENsemble Design
Purdue University（普渡大学）
深度学习模型在许多领域都具有最先进的性能，但它们对对抗性示例的脆弱性对其在实际环境中的普遍部署构成了威胁。此外，在一个分类器上生成的对抗性输入已经被证明可以转移到在类似数据上训练的其他分类器，这使得即使模型参数没有向对手透露，攻击也是可能的。这种可转移性尚未得到系统的研究，导致我们对神经网络对抗性输入的鲁棒性的理解存在差距。在这项工作中，我们研究了网络结构，初始化，优化器，输入，权重和激活量化对对抗样本可转移性的影响。我们还研究了不同的攻击对可转移性的影响。我们的实验表明，可转移性显着阻碍输入量化和源和目标之间的架构不匹配，是不受初始化，但优化器的选择是至关重要的。我们观察到，可转移性是依赖于架构的重量和激活量化模型。为了量化可转移性，我们使用简单的度量，并展示了该度量在设计一种方法来构建具有改进的对抗鲁棒性的集合时的实用性。当攻击集成时，我们观察到单个集成成员模型的“梯度支配”阻碍了现有的攻击。为了解决这个问题，我们提出了一种新的最先进的合奏攻击。我们将所提出的攻击与现有的攻击技术进行比较，以显示其有效性。最后，我们证明了由精心选择的不同网络组成的集合比单个网络具有更好的对抗鲁棒性。
2021-03-30 cs.LG stat.ML
Why Do Adversarial Attacks Transfer? Explaining Transferability of Evasion and Poisoning Attacks
Northeastern University（东北大学）；University of Cagliari（卡利亚里大学）；Pluribus One
可转移性捕获了针对机器学习模型的攻击对不同的、可能未知的模型有效的能力。在以前的工作中已经显示了可转移性的经验证据，但是攻击转移或不转移的根本原因还没有很好地理解。在本文中，我们提出了一个全面的分析，旨在研究测试时逃避和训练时中毒攻击的可转移性。我们提供了一个统一的规避和中毒攻击的优化框架，以及这种攻击的可转移性的正式定义。我们强调了两个主要因素有助于攻击的可转移性：目标模型的内在对抗性脆弱性，以及用于优化攻击的代理模型的复杂性。基于这些见解，我们定义了三个影响攻击可转移性的指标。有趣的是，我们从理论分析中得出的结果适用于逃避和中毒攻击，并且使用广泛的线性和非线性分类器和数据集进行实验证实。
2019-06-13 cs.CR cs.LG stat.ML
Improving the Transferability of Adversarial Attacks by an Input Transpose
School of Computer Science and Technology, Zhejiang Gongshang University（浙江工商大学计算机科学与技术学院）
针对黑盒场景下对抗样本迁移性有限且现有改进方法计算成本高的问题，提出一种几乎零成本的输入转置方法，通过微小旋转显著提升对抗攻击的跨模型迁移性。
2025-03-02 cs.AI cs.CR cs.CV
Improving Adversarial Transferability in MLLMs via Dynamic Vision-Language Alignment Attack
University of California, Irvine（加州大学欧文分校）；University of Oxford（牛津大学）；University of California, Santa Barbara（加州大学圣巴巴拉分校）
针对多模态大语言模型对抗攻击可迁移性有限的问题，提出动态视觉-语言对齐攻击，通过向视觉-语言连接器注入动态扰动，显著提升跨模型可迁移性。
2025-02-27 cs.CV cs.LG
Boosting the Transferability of Adversarial Attacks with Reverse Adversarial Perturbation
Shenzhen Research Institute of Big Data（深圳大数据研究院）；The Chinese University of Hong Kong, Shenzhen（香港中文大学（深圳））；JD Explore Academy（京东探索研究院）；Tencent AI Lab（腾讯人工智能实验室）
深度神经网络（DNN）已被证明容易受到对抗性示例的影响，这些示例可能会通过注入不可感知的扰动来产生错误的预测。在这项工作中，我们研究了对抗性示例的可移植性，这一点非常重要，因为它对模型架构或参数通常未知的现实应用构成了威胁。许多现有的工作表明，对抗性示例可能会过拟合生成它们的代理模型，从而限制其针对不同目标模型的转移攻击性能。为了减轻过拟合的代理模型，我们提出了一种新的攻击方法，称为反向对抗扰动（RAP）。具体来说，我们主张通过为优化过程的每一步注入最坏情况的扰动（反向对抗扰动）来寻找位于具有统一低损失值的区域的对抗示例，而不是最小化单个对抗点的损失。RAP的对抗攻击是一个最小-最大双层优化问题。通过将RAP融入到攻击的迭代过程中，我们的方法可以找到更稳定的对抗性样本，这些样本对决策边界的变化不太敏感，从而减轻了代理模型的过拟合。全面的实验比较表明，RAP可以显着提高对抗转移性。此外，RAP可以自然地与许多现有的黑盒攻击技术相结合，以进一步提高可移植性。当攻击一个真实世界的图像识别系统Google Cloud Vision API时，我们获得了比比较方法更高的22%的性能。我们的代码可在https://github.com/SCLBD/Transfer_attack_RAP上获得。
2022-10-12 cs.CR cs.CV cs.LG
Transferable Adversarial Examples with Bayes Approach
East China Normal University（华东师范大学）；Alibaba Group（阿里巴巴集团）；Ant Group（蚂蚁集团）
本文从贝叶斯视角分析对抗样本跨模型迁移机制，设计两种促进迁移性的先验及自适应动态加权策略，提出BayAtk，并在未防御与已防御黑盒模型上验证其优于现有攻击。
2025-01-07 cs.CR cs.CV cs.LG
Properties that allow or prohibit transferability of adversarial attacks among quantized networks
Fraunhofer-Institut für Offene Kommunikationssysteme FOKUS（弗劳恩霍夫开放通信系统研究所FOKUS）
本文研究量化网络间对抗样本的可迁移性，分析不同位宽、算法特性及架构容量差异的影响，发现量化降低可迁移性但部分攻击可增强其效果，且同网络量化版本间平均可迁移性可估计异构量化目标网络的迁移性能。
2024-05-15 cs.AI cs.LG
Comment on Transferability and Input Transformation with Additive Noise
Seoul National University（首尔国立大学）
对抗攻击已经验证了神经网络脆弱性的存在。通过向良性示例添加小扰动，对抗攻击成功地生成对抗示例，导致深度学习模型的错误分类。更重要的是，从特定模型生成的对抗性示例也可以欺骗其他模型而无需修改。我们称这种现象为“可转移性”。在这里，我们通过数学证明修改后的优化可以产生更多可转移的对抗性示例，来分析可转移性和具有加性噪声的输入变换之间的关系。
2022-06-18 cs.AI cs.CR cs.LG
Disrupting Adversarial Transferability in Deep Neural Networks
Rensselaer Polytechnic Institute（伦斯勒理工学院）
对抗攻击的可转移性在深度学习中得到了广泛的认可。先前的工作通过识别常见的对抗子空间和决策边界之间的相关性来部分解释可转移性，但除此之外知之甚少。我们提出，看似不同的模型之间的可转移性是由于不同网络提取的特征集之间的高度线性相关性。换句话说，在参数空间中距离遥远的相同任务上训练的两个模型可能以相同的方式提取特征，只是在潜在空间之间进行了平凡的仿射变换。此外，我们还展示了如何应用特征相关性损失，即在潜在空间中对提取的特征进行去相关，可以减少模型之间对抗攻击的可转移性，这表明模型以语义不同的方式完成任务。最后，我们提出了一种双颈自动编码器（DNA），它利用这种特征相关性损失来创建两种有意义的不同编码的输入信息，降低了可传输性。
2023-02-22 cs.AI cs.CR cs.LG
TRS: Transferability Reduced Ensemble via Encouraging Gradient Diversity and Model Smoothness
University of Illinois Urbana-Champaign（伊利诺伊大学厄巴纳-香槟分校）；Tencent Inc.（腾讯公司）；University of Melbourne（墨尔本大学）；Huazhong University of Science and Technology（华中科技大学）；ETH Zurich（苏黎世联邦理工学院）
对抗性可转移性是一个有趣的属性-针对一个模型的对抗性扰动对另一个模型也有效，而这些模型来自不同的模型家族或训练过程。为了更好地保护ML系统免受对抗攻击，提出了几个问题：对抗可转移性的充分条件是什么？有没有一种方法可以减少对抗性的可转移性，以提高集成ML模型的鲁棒性？为了回答这些问题，在这项工作中，我们首先从理论上分析和概述了模型之间的对抗性可转移性的充分条件，然后提出了一个实用的算法，以减少集成内的基础模型之间的可转移性，以提高其鲁棒性。理论分析表明，仅仅提高基模型梯度间的正交性并不足以保证低的可传递性，同时，模型平滑度是控制可传递性的重要因素。在一定条件下，我们还给出了对抗性可转移性的上界和下界。在理论分析的启发下，我们提出了一种有效的迁移性降低平滑（Transferability Reduced Smooth，TRS）集成训练策略，通过在基模型之间同时增强梯度正交性和模型平滑性来训练具有低迁移性的鲁棒集成。我们对TRS进行了广泛的实验，并与6个最先进的集成基线进行了比较，以对抗8个不同数据集上的白盒攻击，证明了所提出的TRS显著优于所有基线。
2021-11-06 cs.LG
Detect & Reject for Transferability of Black-box Adversarial Attacks Against Network Intrusion Detection Systems
Royal Military Academy（皇家军事学院）
在过去的十年中，机器学习技术在基于异常的入侵检测系统中的应用取得了很大的成功。然而，最近的研究表明，一般的机器学习和深度学习都容易受到对抗攻击的攻击，攻击者试图通过提供欺骗性输入来欺骗模型。计算机视觉领域的研究首次发现了这一漏洞，研究表明，旨在欺骗特定模型的对抗性图像可以欺骗其他机器学习模型。在本文中，我们研究了对抗性网络流量对多个基于机器学习的入侵检测系统的可转移性。此外，我们分析了集成入侵检测系统的鲁棒性，这是臭名昭著的更好的准确性相比，一个单一的模型，对对抗攻击的可转移性。最后，我们研究检测和拦截作为一种防御机制，以限制对抗性网络流量对基于机器学习的入侵检测系统的可转移性的影响。
2021-12-22 cs.CR cs.LG
Adversarially Robust Models may not Transfer Better: Sufficient Conditions for Domain Transferability from the View of Regularization
University of Illinois at Urbana-Champaign（伊利诺伊大学厄巴纳-香槟分校）
机器学习（ML）的鲁棒性和领域泛化从根本上是相关的：它们本质上分别涉及对抗和自然环境下的数据分布偏移。一方面，最近的研究表明，更强大的（对抗性训练）模型更具泛化性。另一方面，对它们的基本联系缺乏理论上的理解。在本文中，我们探讨正则化和域可转移性之间的关系，考虑不同的因素，如范数正则化和数据增强（DA）。我们提出了一个一般的理论框架，证明涉及模型函数类正则化的因素是相对域可转移性的充分条件。我们的分析表明，“鲁棒性”对于可转移性来说既不是必要的，也不是充分的;相反，正则化是理解域可转移性的一个更基本的视角。然后，我们讨论了流行的DA协议（包括对抗训练），并展示了在某些条件下，它们何时可以被视为函数类正则化，从而提高泛化能力。我们进行了大量的实验来验证我们的理论研究结果，并显示了几个反例，其中鲁棒性和泛化在不同的数据集上呈负相关。
2022-06-23 cs.LG
Attack Transferability Characterization for Adversarially Robust Multi-label Classification
King Abdullah University of Science and Technology（阿卜杜拉国王科技大学）；Inria（法国国家信息与自动化研究所）
尽管多标签规避攻击的普遍存在，它是一个开放的，但重要的问题是描述的多标签学习系统的对抗性脆弱性的来源，并评估其可攻击性。在这项研究中，我们专注于针对多标签分类器的非目标规避攻击。威胁的目标是在相同的输入扰动下，尽可能多的标签导致分类错误。我们的工作获得了深入的了解多标签对抗攻击的攻击的转移性的基础上的多标签分类器的功能特性的特征。通过建立对抗风险的信息论分析，我们揭示了攻击的可转移性水平如何决定分类器的可攻击性。此外，我们提出了一个以可转移性为中心的可攻击性评估，命名为软攻击性估计（SAE），以评估目标多标签分类器的内在脆弱性水平。然后将该估计器作为可转移性调整正则化项集成到多标签学习范式中，以实现对抗性鲁棒分类。对真实数据的实验研究与理论分析相呼应，验证了可迁移正则化多标记学习方法的有效性。
2021-06-29 cs.CR cs.LG
Boosting Adversarial Transferability by Achieving Flat Local Maxima
Xidian University（西安电子科技大学）；Tianjin University（天津大学）；Huawei Singular Security Lab（华为奇点安全实验室）
本文提出通过惩罚梯度范数使对抗样本落在平坦局部区域，并设计近似优化与多样本梯度平均方法，从而显著提升对抗攻击的迁移性。
2023-11-02 cs.CR cs.CV cs.LG
On the Transferability of Adversarial Attacksagainst Neural Text Classifier
School of Computer Science, Fudan University（复旦大学计算机学院）；Shanghai Key Laboratory of Intelligent Information Processing（上海市智能信息处理重点实验室）；Department of Computer Science, University of California, Los Angeles（加利福尼亚大学洛杉矶分校计算机科学系）
深度神经网络容易受到对抗攻击的攻击，其中对输入的小扰动会改变模型预测。在许多情况下，故意为一个模型制作的恶意输入可以欺骗另一个模型。在本文中，我们提出了第一个研究，系统地研究了文本分类模型的对抗性示例的可移植性，并探讨了各种因素，包括网络架构，标记化方案，词嵌入和模型容量，如何影响对抗性示例的可移植性。基于这些研究，我们提出了一个遗传算法，以找到一个集成的模型，可以用来诱导对抗性的例子，愚弄几乎所有现有的模型。这种对抗性的例子反映了学习过程的缺陷和训练集中的数据偏差。最后，我们从这些对抗性示例中推导出可用于模型诊断的单词替换规则。
2021-09-22 cs.CL cs.LG
Transferability of Adversarial Attacks in Video-based MLLMs: A Cross-modal Image-to-Video Approach
本文提出了一种跨模态图像到视频的对抗攻击方法，用于研究视频多模态大语言模型的可迁移性，实验表明该方法在多个视频-文本多模态任务中表现出强对抗转移性。
2026-01-09 cs.CR cs.CV cs.LG
On Improving Adversarial Transferability of Vision Transformers
Australian National University（澳大利亚国立大学）；Stony Brook University（石溪大学）；Linköping University（林雪平大学）；Mohamed bin Zayed University of AI（穆罕默德·本·扎耶德人工智能大学）；Qualcomm USA（美国高通公司）
视觉Transformer（ViTs）通过自我注意将输入图像处理为补丁序列;这是一种与卷积神经网络（CNN）完全不同的架构。这使得研究ViT模型的对抗特征空间及其可转移性变得有趣。特别是，我们观察到，通过传统的对抗攻击发现的对抗性模式显示非常\emph{low}黑盒可转移性，即使是大型ViT模型。我们表明，这种现象是由于次优的攻击程序，不利用真正的代表性的潜力的ViTs。深度ViT由多个块组成，具有由自注意和前馈层组成的一致架构，其中每个块能够独立地产生类令牌。仅使用最后一个类令牌（传统方法）制定攻击不会直接利用存储在早期令牌中的判别信息，导致ViT的对抗性可转移性较差。使用组合性质的ViT模型，我们通过引入两个新的策略，具体的ViT模型的架构，提高现有的攻击的可转移性。(i)自我包围：我们提出了一种方法，通过将单个ViT模型分解为一个网络集合来找到多个有区别的通路。这允许在每个ViT块处明确地利用类特定信息。(ii)令牌细化：然后我们建议细化令牌，以进一步提高ViT每个块的区分能力。我们的令牌细化系统地结合类令牌与结构信息中保存的补丁令牌。
2022-03-03 cs.AI cs.CV cs.LG
Defense-guided Transferable Adversarial Attacks
虽然深度神经网络可以出色地执行具有挑战性的任务，但它们容易受到对抗性示例的影响，这些示例通过对干净的输入施加人类无法感知的扰动来误导分类器。在无查询的黑盒场景下，对抗性示例很难转换到未知模型，已经提出了几种可转换性较低的方法。为了解决这个问题，我们设计了一个最大最小框架的启发输入转换，这是有益的对抗攻击和防御。在最小化过程中，我们利用输入的仿射变换来降低损失值作为防御;在最大化过程中，我们利用动量迭代算法来增加损失值作为攻击。为了进一步促进可转移性，我们用最大-最小理论确定转换值。在Imagenet上进行的大量实验表明，我们的防御引导可转移攻击在可转移性上实现了令人印象深刻的提高。实验表明，我们的对抗攻击的ASR平均达到58.38%，在正常训练的模型上比最先进的方法高出12.1%，在对抗训练的模型上高出11.13%。此外，我们还提供了关于提高可转移性的解释性见解，我们的方法有望成为评估深度模型鲁棒性的基准。
2020-11-04 cs.CV cs.LG
Stochastic Variance Reduced Ensemble Adversarial Attack for Boosting the Adversarial Transferability
Huazhong University of Science and Technology（华中科技大学）；Cornell University（康奈尔大学）
黑盒对抗攻击因其在深度学习安全领域的实际应用而引起了广泛关注。同时，这是非常具有挑战性的，因为无法访问目标模型的网络架构或内部权重。基于样本对多个模型保持对抗性，则更有可能将攻击能力转移到其他模型的假设，基于集合的对抗攻击方法是一种有效的黑盒攻击方法，被广泛应用。然而，集成攻击的方式是相当少的研究，和现有的集成攻击简单地融合所有模型的输出均匀。在这项工作中，我们把迭代集成攻击作为一个随机梯度下降优化过程，在不同的模型上的梯度的方差可能会导致不良的局部最优。为此，我们提出了一种新的攻击方法称为随机方差减少集成（SVRE）攻击，它可以减少集成模型的梯度方差，并充分利用集成攻击。在标准ImageNet数据集上的实验结果表明，该方法可以提高对抗性可转移性，并显着优于现有的集成攻击。代码可在https://github.com/JHL-HUST/SVRE上获得。
2022-04-23 cs.CR cs.CV cs.LG
Enabling Heterogeneous Adversarial Transferability via Feature Permutation Attacks
Missouri University of Science and Technology（密苏里科技大学）；University of Kentucky（肯塔基大学）
提出特征排列攻击（FPA），通过重排特征图模拟长距离依赖，增强CNN、ViT和MLP间的对抗迁移性，在14种架构上分别提升攻击成功率7.68%、14.57%和14.48%，且可集成于现有攻击。
2025-03-26 cs.CR cs.CV cs.LG
Benchmarking Transferable Adversarial Attacks
The University of Sydney（悉尼大学）；Suzhou Yierqi（苏州亿尔齐）
本研究首次全面回顾对抗性攻击的可迁移性，系统分类并评估多种增强方法，并引入集成十种领先方法的基准框架TAA-Beb，为跨模型架构比较分析提供标准化平台，揭示各方法的有效性与局限。
2024-02-16 cs.CV cs.LG
Harmonizing Intra-coherence and Inter-divergence in Ensemble Attacks for Adversarial Transferability
针对模型集成攻击中共享梯度捕捉不足和权重分配缺乏自适应的问题，提出HEAT方法，首次将领域泛化引入对抗样本生成，通过奇异值分解合成共识梯度并动态平衡内一致性与间多样性，显著提升了对抗迁移性。
2025-05-02 cs.AI cs.LG
LRS: Enhancing Adversarial Transferability through Lipschitz Regularized Surrogate
Missouri University of Science and Technology（密苏里科技大学）
本文提出 Lipschitz 正则化替代模型 LRS，通过平滑替代模型损失景观提升对抗样本的黑盒迁移攻击成功率，并揭示其与局部 Lipschitz 常数、损失景观及鲁棒性的关系。
2024-01-22 cs.CR cs.LG
The Effect of Class Definitions on the Transferability of Adversarial Attacks Against Forensic CNNs
Drexel University（德雷塞尔大学）
近年来，卷积神经网络（CNN）已被研究人员广泛用于执行图像篡改检测等取证任务。与此同时，对抗攻击已经被开发出来，能够欺骗基于CNN的分类器。了解对抗攻击的可转移性，即攻击与训练对象不同的CNN的攻击能力，对于设计抵抗攻击的CNN具有重要意义。虽然对对象识别CNN的攻击被认为是可转移的，但Barni等人最近的工作表明，对法医CNN的攻击很难转移到其他CNN架构或使用不同数据集训练的CNN。在本文中，我们证明了对法医CNN的对抗攻击甚至比以前认为的更不可转移，即使在几乎相同的CNN架构之间也是如此！我们发现，针对CNN的几种常见的对抗攻击无法转移到CNN上，CNN的唯一区别在于类定义（即使用相同数据训练的相同CNN架构）。我们注意到，类定义的所有公式都包含不变的类。这对未来设计对对抗性和反取证攻击具有鲁棒性的取证CNN具有重要意义。
2021-01-26 cs.CR cs.CV cs.LG
Seeking Flat Minima over Diverse Surrogates for Improved Adversarial Transferability: A Theoretical Framework and Algorithmic Instantiation
本文提出理论框架和算法，通过优化对抗样本在多样化替代模型上的平坦极小值，提升对抗迁移性，并通过实验验证有效性。
2026-03-29 cs.CR cs.LG
Boosting Transferability of Targeted Adversarial Examples via Hierarchical Generative Networks
RealAI（瑞莱智慧）；Peng Cheng Laboratory（鹏城实验室）；Pazhou Laboratory（琶洲实验室）；Tsinghua University（清华大学）；Sea AI Lab（Sea人工智能实验室）
基于转移的对抗攻击可以在黑盒环境下评估模型的鲁棒性。几种方法已经证明了令人印象深刻的非靶向可转移性，然而，有效地产生靶向可转移性仍然具有挑战性。为此，我们开发了一个简单而有效的框架，应用分层生成网络来制作有针对性的基于转移的对抗性示例。特别是，我们有助于摊销的设计，以及适应多类有针对性的攻击。在ImageNet上进行的大量实验表明，我们的方法比现有方法显著提高了针对性黑盒攻击的成功率-它仅基于一个替代白盒模型对六个不同模型的平均成功率达到29.1%，这明显优于最先进的基于梯度的攻击方法。此外，所提出的方法也是更有效的超过一个数量级比基于梯度的方法。
2022-07-22 cs.AI cs.LG
Why Does Little Robustness Help? A Further Step Towards Understanding Adversarial Transferability
School of Cyber Science and Engineering, Huazhong University of Science and Technology（电子科学与工程学院，华中科技大学）；School of Software Engineering, Huazhong University of Science and Technology（软件工程学院，华中科技大学）；School of Information and Communication Technology, Griffith University（信息与通信技术学院，格里菲斯大学）；School of Computer Science and Technology, Huazhong University of Science and Technology（计算机科学与技术学院，华中科技大学）
本文探讨了对抗转移性中的模型平滑性和梯度相似性权衡，提出通过优化两者提升转移性，验证了输入梯度正则化与SAM的结合效果。
2025-12-16 cs.CR cs.CV cs.LG
Demystifying the Transferability of Adversarial Attacks in Computer Networks
Sabanci University（萨班哲大学）；University of Padua（帕多瓦大学）；Moulay Ismail University of Meknes（梅克内斯穆莱·伊斯梅尔大学）；Florida International University（佛罗里达国际大学）
卷积神经网络（CNN）模型是最常用的深度学习网络之一，广泛应用于学术界和工业界。最近的研究表明，针对此类模型的对抗攻击即使在攻击者所针对的模型之外的模型上使用，也可以保持其有效性。这个主要的属性被称为可转移性，这使得CNN不适合安全应用。在本文中，我们提供了第一项全面的研究，评估了基于CNN的计算机网络模型针对对抗性可转移性的鲁棒性。此外，我们调查的可转移性的财产问题是否持有在计算机网络的应用。在我们的实验中，我们首先考虑五种不同的攻击：迭代快速梯度方法（I-FGSM），基于雅可比的显着图（JSMA），有限内存Broyden Fletcher Goldfarb Shanno BFGS（L-BFGS），投影梯度下降（PGD）和DeepFool攻击。然后，我们对三个众所周知的数据集执行这些攻击：基于网络的物联网检测（N-BaIoT）数据集，域生成算法（DGA）数据集和RIPE Atlas数据集。我们的实验结果清楚地表明，可转移性发生在I-FGSM，JSMA和LBFGS攻击的特定用例中。在这种情况下，目标网络上的攻击成功率从63.00%到100%不等。最后，我们提出了两种屏蔽策略，通过考虑最强大的攻击（MPA）和不匹配的LSTM架构来阻止攻击的可转移性。
2022-03-31 cs.AI cs.CR cs.CV
Understanding Model Ensemble in Transferable Adversarial Attack
Huazhong University of Science and Technology（华中科技大学）
本文针对模型集成对抗攻击理论基础不足的问题，通过定义可迁移性误差并对其进行分解，利用信息论工具给出误差边界，提出减少误差的三条实用指南，并通过54个模型的实验验证了该理论框架。
2025-05-28 cs.AI cs.LG
Cross-Modal Transferable Adversarial Attacks from Images to Videos
Fudan University（复旦大学）
最近的研究表明，在一个白盒模型上手工制作的对抗性示例可以用来攻击其他黑盒模型。这种跨模型可转移性使得执行黑盒攻击成为可能，这引发了现实世界DNN应用程序的安全问题。然而，现有的工作主要集中在研究共享相同输入数据模态的不同深度模型之间的对抗性可转移性。对抗扰动的跨模态可传递性从未被探索过。本文研究了对抗扰动在不同模态之间的可转移性，即，利用在白盒图像模型上生成的对抗性扰动来攻击黑盒视频模型。具体来说，由于观察到图像和视频帧之间的低级特征空间相似，我们提出了一种简单而有效的跨模态攻击方法，称为图像到视频（I2 V）攻击。I2 V通过最小化来自对抗性和良性示例的预训练图像模型的特征之间的余弦相似性来生成对抗性帧，然后组合生成的对抗性帧以对视频识别模型执行黑盒攻击。大量的实验表明，I2 V可以在不同的黑盒视频识别模型上实现高攻击成功率。在Kinetics-400和UCF-101上，I2 V的平均攻击成功率分别为77.88%和65.68%，这揭示了跨模式对抗攻击的可行性。
2021-12-10 cs.CR cs.CV cs.LG
Cross-Representation Transferability of Adversarial Attacks: From Spectrograms to Audio Waveforms
McGill University（麦吉尔大学）；École de Technologie Superiéure, Université du Québec（魁北克大学高等技术学院）；Pontifical Catholic University of Paraná（巴拉那天主教大学）
本文展示了基于频谱图的音频分类器对对抗攻击的敏感性以及这种攻击对音频波形的可转移性。一些常用的对图像的对抗攻击已经应用于Mel频率和短时傅立叶变换频谱图，并且这种扰动频谱图能够欺骗2D卷积神经网络（CNN）。这样的攻击会产生人类视觉上无法察觉的干扰频谱图。此外，从扰动的频谱图重建的音频波形也能够欺骗在原始音频上训练的1D CNN。在西方音乐数据集上的实验结果表明，2D CNN在合法样本上的平均准确率高达81.87%，而在对抗样本上的平均准确率下降到12.09%。同样，1D CNN在原始音频样本上实现了高达78.29%的平均准确度，并且在从扰动的频谱图重建的对抗音频波形上，这种性能下降到27.91%。
2020-07-29 cs.LG cs.MM cs.SD
Nesterov Accelerated Gradient and Scale Invariance for Adversarial Attacks
Huazhong University of Science and Technology（华中科技大学）；Peking University（北京大学）；Cornell University（康奈尔大学）
深度学习模型很容易受到通过对良性输入施加人类无法感知的扰动而制作的对抗性示例的影响。然而，在黑箱设置下，大多数现有对手攻击其他防御模型的可转移性往往很差。在这项工作中，从将对抗性示例生成视为一个优化过程的角度出发，我们提出了两种新的方法来提高对抗性示例的可移植性，即Nesterov迭代快速梯度符号方法（NI-FGSM）和尺度不变攻击方法（SIM）。NI-FGSM旨在将Nesterov加速梯度适应于迭代攻击，以便有效地前瞻并提高对抗示例的可移植性。而SIM是基于我们对深度学习模型的尺度不变特性的发现，我们利用它来优化输入图像的尺度副本上的对抗性扰动，以避免白盒模型受到攻击的“过拟合”，并生成更多可转移的对抗性示例。NI-FGSM和SIM可以自然地集成，以构建一个强大的基于梯度的攻击，从而生成针对防御模型的更具可转移性的对抗性示例。在ImageNet数据集上的实验结果表明，我们的攻击方法具有更高的可移植性，并且比最先进的基于梯度的攻击具有更高的攻击成功率。
2020-02-03 cs.CR cs.LG stat.ML
Understanding Adversarial Transferability in Vision-Language Models for Autonomous Driving: A Cross-Architecture Analysis
School of Computing, Clemson University, USA（克莱姆森大学计算机学院）
本文通过跨架构研究探讨视觉语言模型在自动驾驶中的对抗转移性，评估了三种架构在不同场景下的对抗效果，发现高跨架构有效性。
2026-04-30 cs.CR cs.CV cs.LG
SA-Attack: Improving Adversarial Transferability of Vision-Language Pre-training Models via Self-Augmentation
Institute of Information Engineering, Chinese Academy of Sciences（中国科学院信息工程研究所）；Nanyang Technological University（南洋理工大学）；National University of Singapore（新加坡国立大学）；Sun Yat-sen University（中山大学）
针对 VLP 模型对抗样本迁移攻击，本文提出 SA-Attack，通过分别增强图像与文本模态来提升对抗样本在黑盒模型间的可迁移性，并在 FLickr30K 和 COCO 上验证有效。
2023-12-08 cs.AI cs.CR cs.CV
Boosting the Transferability of Audio Adversarial Examples with Acoustic Representation Optimization
National Engineering Research Center of Disaster Backup and Recovery（国家防灾备份与恢复工程研究中心）；School of Cyberspace Security, Beijing University of Posts and Telecommunications（北京邮电大学网络空间安全学院）
提出声学表示优化技术，通过对齐低层声学特征提升音频对抗样本跨模型可迁移性，且不损害音频质量，可即插即用。实验验证了其有效性。
2025-03-25 cs.CR cs.LG cs.SD
Resisting Deep Learning Models Against Adversarial Attack Transferability via Feature Randomization
Bahçeşehir University（巴赫切谢希尔大学）；University of Padua（帕多瓦大学）；Florida International University（佛罗里达国际大学）
在过去的几十年里，人工智能的兴起使我们有能力解决日常生活中最具挑战性的问题，例如癌症预测和自主导航。但是，如果不能防止对抗攻击，这些应用程序可能不可靠。此外，最近的工作表明，一些对抗性的例子可以在不同的模型之间转移。因此，至关重要的是通过抵抗对抗性操作的鲁棒模型来避免这种可转移性。在本文中，我们提出了一种基于特征随机化的方法，可以在测试阶段抵抗针对深度学习模型的八种对抗攻击。我们的新方法包括改变目标网络分类器的训练策略和选择随机特征样本。我们认为攻击者具有有限知识和半知识的条件进行最普遍的类型的对抗攻击。我们使用著名的UNSW-NB 15数据集（包括真实和合成攻击）评估了我们方法的鲁棒性。之后，我们证明了我们的策略优于现有的最先进的方法，如最强大的攻击，其中包括针对特定的对抗攻击微调网络模型。最后，我们的实验结果表明，我们的方法可以确保目标网络和抵抗对抗攻击的可转移性超过60%。
2022-09-11 cs.CR cs.CY cs.LG
Enhancing Adversarial Transferability via Information Bottleneck Constraints
Harbin Institute of Technology（哈尔滨工业大学）；Tshinghua University（清华大学）
本文基于信息瓶颈理论提出 IBTA 框架，通过减少对抗扰动对原始数据的依赖并利用不变特征，结合互信息下界 MILB 和 MINE 估计器，有效增强了黑盒对抗攻击的迁移性。
2024-06-08 cs.AI cs.LG
Breaking Adversarial Transferability in Fine-Tuned Speech Recognition
Idiap Research Institute（Idiap研究所）；École Polytechnique Fédérale de Lausanne (EPFL)（洛桑联邦理工学院）；Sharif University of Technology（谢里夫理工大学）；University of Isfahan（伊斯法罕大学）
针对微调ASR模型易受对抗迁移攻击的问题，提出TransferBreaker统一微调框架，通过基础对抗微调、潜在雅可比正则化和混合梯度对抗微调抑制迁移，在三种语言和四个大模型上将对抗WER从92.6降至27.8。
2026-10-08 cs.LG
Black-box Adversarial Transferability: An Empirical Study in Cybersecurity Perspective
Aligarh Muslim University（阿里格尔穆斯林大学）
本研究从网络安全视角实证检验黑盒对抗迁移性，基于CICDDoS-2019数据集实验发现深度学习模型即便在攻击者不掌握内部细节时也易受对抗攻击，白盒攻击影响更严重，凸显了研究对抗防御技术的必要性。
2024-04-15 cs.CR cs.LG
Breaking Transferability of Adversarial Samples with Randomness
University of Texas at Dallas（德克萨斯大学达拉斯分校）；Purdue University（普渡大学）
我们研究了对抗攻击的可转移性在深度神经网络（DNN）所观察到的漏洞中的作用。我们证明，引入随机性的DNN模型足以击败对抗攻击，因为对手没有无限的攻击预算。不是让一个特定的DNN模型对完美的知识攻击（也就是白盒攻击）具有鲁棒性，而是在DNN大军中创建随机性，完全消除了完美的知识获取的可能性，从而导致DNN集成对最强形式的攻击具有更强的鲁棒性。我们还表明，当对手有一个无限的预算的数据扰动，所有的防御技术将最终打破预算的增加。因此，重要的是要了解对手不会进一步追求这一努力的博弈鞍点。此外，我们探讨了版本空间中攻击严重性与决策边界鲁棒性之间的关系。我们的经验表明，通过简单地向学习的权重添加一个小的高斯随机噪声，DNN模型可以将其对对抗攻击的弹性提高74.2%。更重要的是，我们表明，通过在每个查询请求中随机激活/揭示预训练DNN池中的模型，我们可以对对手的攻击策略施加巨大的压力。我们将我们的随机化技术与Encourage Adversarial Training技术进行了比较，并表明我们的随机化技术在不同的攻击预算约束下更优越。
2018-06-17 cs.CR cs.LG
Adversarial Attacks in a Multi-view Setting: An Empirical Study of the Adversarial Patches Inter-view Transferability
Université de Sousse（苏塞大学）；Ecole Nationale d’Ingénieurs de Sousse（苏塞国家工程学院）；Université polytechnique Hauts-de-France（上法兰西理工大学）；IEMN-DOAE
虽然机器学习应用程序由于在解决复杂问题方面表现出的效率而成为主流，但它们存在固有的对抗攻击漏洞。对抗攻击包括对输入的附加噪声，其可以欺骗检测器。最近，成功的现实世界可打印对抗补丁被证明对最先进的神经网络有效。在从基于数字噪声的攻击到现实世界物理攻击的转变中，影响目标检测的无数因素也将影响对抗补丁。在这些因素中，视角是最有影响力的因素之一，但尚未得到充分的研究。在本文中，我们研究了视角对对抗补丁有效性的影响。为了这个目的，我们提出了第一种方法，认为多视图的背景下，通过结合现有的对抗补丁与透视几何变换，以模拟视角变化的影响。我们的方法已在两个数据集上进行了评估：第一个数据集，其中包含了最真实世界的多视图上下文的约束，和第二个数据集，经验隔离的视角的影响。实验表明，视角显着影响对抗补丁的性能，在某些情况下，补丁失去了大部分的有效性。我们相信，这些结果激励考虑到在未来的对抗攻击的视角的影响，并开辟了新的机会，对抗性防御。
2021-10-10 cs.CR cs.LG
Uncovering the Connections Between Adversarial Transferability and Knowledge Transferability
the University of Illinois at Urbana-Champaign（伊利诺伊大学厄巴纳-香槟分校）
知识可转移性或迁移学习已被广泛采用，以允许源域中的预训练模型有效地适应目标域中的下游任务。因此，探讨和了解影响知识转移的因素是非常重要的。本文首先分析和论证了知识可转移性与另一个重要现象--对抗性可转移性（\emph{i.e.}）之间的关系，即针对一个模型生成的对抗性实例可以转移到其他模型上进行攻击。我们的理论研究表明，对抗性转移表明知识转移，反之亦然。此外，基于理论的见解，我们提出了两个实用的对抗性可转移性指标来表征这一过程，作为对抗性和知识可转移性之间的双向指标。我们在不同的数据集上针对不同的场景进行了广泛的实验，显示了对抗性可转移性和知识可转移性之间的正相关性。我们的研究结果将有助于未来有效知识迁移学习和对抗性迁移分析的研究。
2021-07-08 cs.AI cs.CV cs.LG
Regularized Ensembles and Transferability in Adversarial Learning
Vanderbilt University（范德堡大学）；Washington University in St. Louis（圣路易斯华盛顿大学）
尽管卷积神经网络在广泛的领域取得了相当大的成功，但最近的研究表明，这些网络容易受到小的对抗性扰动的影响，通常被称为对抗性示例。此外，这样的例子已经被证明是非常便携的，或可转移的，从一个模型到另一个，使非常成功的黑盒攻击。我们从两个维度探讨了可转移性和鲁棒性问题：首先，考虑传统$l_p$正则化的影响，以及用线性支持向量机（SVM）替换顶层，其次，将正则化模型组合成集成的价值。我们发现，用不同的正则化器训练的模型存在可转移性的障碍，组成集成的模型的部分信息也是如此。
2018-12-05 cs.CV cs.LG stat.ML
A Unified Approach to Interpreting and Boosting Adversarial Transferability
Shanghai Jiao Tong University（上海交通大学）；Peking University（北京大学）
本文发现并证明对抗迁移性与对抗扰动内部交互呈负相关，并据此提出在攻击中直接惩罚交互以显著提升对抗迁移性。
2023-12-01 cs.AI cs.CV cs.LG
Proving Common Mechanisms Shared by Twelve Methods of Boosting Adversarial Transferability
Shanghai Jiao Tong University（上海交通大学）；Tsinghua University（清华大学）；Peking University（北京大学）
虽然已经提出了许多方法来增强对抗性扰动的可转移性，但这些方法都是以启发式方式设计的，并且提高对抗性可转移性的本质机制仍然不清楚。本文从统一的角度总结了先前12种可迁移性提升方法所共有的共同机制，即，这些方法都减少了区域对抗扰动之间的博弈论交互。为此，我们专注于区域对抗扰动之间的所有相互作用的攻击效用，我们首先发现并证明了对抗转移性和相互作用的攻击效用之间的负相关性。基于这一发现，我们从理论上证明并实证验证了12种先前的可转移性提升方法都减少了区域对抗性扰动之间的相互作用。更重要的是，我们认为减少相互作用是增强对抗性可转移性的根本原因。此外，我们设计的相互作用损失直接惩罚攻击过程中区域对抗扰动之间的相互作用。实验结果表明，交互损失显著提高了对抗扰动的可传递性。
2022-07-24 cs.AI cs.CV cs.LG
On the Role of Generalization in Transferability of Adversarial Examples
The Chinese University of Hong Kong（香港中文大学）
黑盒对抗攻击为看不见的神经网络（NN）设计对抗示例在过去几年中受到了极大的关注。虽然在文献中已经提出了几个成功的黑盒攻击方案，但驱动黑盒对抗示例可转移性的潜在因素仍然缺乏深入的了解。在本文中，我们的目的是证明的作用，用于生成对抗性的例子中的攻击方案的可转移性未观察到的NN分类器的替代分类器的泛化性能。要做到这一点，我们应用最大-最小对抗性的例子游戏框架，并显示的黑盒攻击方案在应用于不同的NN分类器的成功的替代NN的泛化性能的重要性。我们证明了理论上的泛化界的训练和测试样本的攻击转移率之间的差异。我们的界限表明，具有更好泛化行为的替代NN可以产生更多可转移的对抗性示例。此外，我们还证明了标准的基于算子范数的正则化方法可以提高所设计的对抗性示例的可移植性。我们通过几个数值实验来支持我们的理论结果，这些实验显示了替代网络的泛化在生成可转移的对抗性示例中的作用。我们的实证结果表明Lipschitz正则化方法在提高对抗性示例的可移植性方面的能力。
2022-06-18 cs.LG stat.ML
Going Further: Flatness at the Rescue of Early Stopping for Adversarial Example Transferability
University of Luxembourg（卢森堡大学）；Parameter Lab（帕拉米特实验室）
本文反驳了早停提升对抗样本可迁移性的鲁棒特征假设，转而从损失景观锐度角度解释，并证明SAM等锐度感知最小化器可超越早停法，最高提升28.8个百分点。
2024-02-20 cs.CV cs.LG stat.ML
Adversarial Transferability in Wearable Sensor Systems
Washington State University（华盛顿州立大学）
机器学习用于可穿戴传感器系统中的推理和决策。然而，最近的研究发现，机器学习算法很容易通过向其输入添加对抗性扰动而被愚弄。更有趣的是，为一个机器学习系统生成的对抗性示例对其他系统也有效。对抗性例子的这种性质被称为可转移性。在这项工作中，我们从以下角度研究了可穿戴传感器系统中的对抗可转移性：1）机器学习系统之间的可转移性，2）跨学科的可转移性，3）跨传感器身体位置的可转移性，以及4）跨数据集的可转移性。我们发现，在大多数情况下，强无针对性的转移。有针对性的攻击成功率较低，成功评分从$0\%$到$80\%$。对抗性示例的可移植性取决于许多因素，例如包含来自所有受试者的数据、传感器身体位置、数据集中的样本数量、学习算法的类型以及源和目标系统数据集的分布。当源系统和目标系统的数据分布变得更加明显时，对抗性示例的可移植性急剧下降。我们还为社区提供设计强大传感器系统的指导方针。
2021-07-15 cs.CR cs.LG eess.SP
