指纹识别系统的白盒评估

RSFNet：一种使用区域特定颜色滤镜的白盒图像修图方法

RSFNet: A White-Box Image Retouching Approach using Region-Specific Color Filters

DAMO Academy, Alibaba Group（阿里巴巴集团达摩院）；Nanyang Technological University（南洋理工大学）

针对现有白盒图像修图方法无法细粒度调整的问题，提出采用并行区域特定滤镜线性求和的RSFNet框架，同时生成滤镜参数与区域注意力图，实现了更优的修图效果与更高的用户编辑便利性。

2023-08-19cs.CV

模糊指纹：对AI图像指纹鲁棒性的系统评估

Smudged Fingerprints: A Systematic Evaluation of the Robustness of AI Image Fingerprints

School of Informatics University of Edinburgh（信息学院爱丁堡大学）

本文系统评估了AI图像指纹技术的鲁棒性，发现移除攻击效果显著，而伪造攻击则因目标模型不同而成功率各异，揭示了准确性和鲁棒性之间的权衡。

2026-01-21cs.AIcs.CV

AngelFingerprint：用于文本引导图像编辑的可追溯、可解释且白盒隐身的水印

AngelFingerprint: A Traceable, Explainable, and White-Box Stealthy Watermark for Text-Guided Image Editing

National Taiwan University（台湾大学）；National Institute of Informatics（信息学研究所）

针对文本引导图像编辑的虚假信息问题，提出AngelFingerprint水印框架，通过集成LoRA嵌入CLIP文本嵌入，结合速度对齐锚点和频率滤波器，在MagicBrush数据集上200路提示检索top-1准确率达86%，优于提示反转的20%。

2026-09-07cs.CV

白盒mHC：电磁频谱感知和可解释的流交互用于超光谱图像分类

White-Box mHC: Electromagnetic Spectrum-Aware and Interpretable Stream Interactions for Hyperspectral Image Classification

Department of Geomatics Engineering, University of Calgary（测绘工程系，卡尔加里大学）

ES-mHC通过电磁频谱感知和可解释的流交互，提升超光谱图像分类的可解释性和结构透明度。

2026-01-22cs.CV

在白盒中执行CNN信道修剪

Carrying out CNN Channel Pruning in a White Box

Xiamen University（厦门大学）；Youtu Laboratory, Tencent（腾讯优图实验室）；National Tsing Hua University（国立清华大学）；Peng Cheng Laboratory（鹏城实验室）；Peking University（北京大学）；Institute of Artificial Intelligence, Xiamen University（厦门大学人工智能研究院）

长期以来，人们一直在研究通道修剪来压缩CNN，这大大降低了整体计算量。现有的工作实现通道修剪在一个无法解释的方式，这往往会减少最终的分类错误，而没有考虑每个通道的内部影响。在本文中，我们在白盒中进行通道修剪。通过对不同通道激活的特征图进行深度可视化，我们观察到不同通道对图像分类中不同类别的贡献不同。受此启发，我们选择保留对大多数类别有贡献的渠道。具体来说，为了模拟每个通道对区分类别的贡献，我们为每个通道开发了一个类掩码，以动态训练方式w.r.t.输入图像的类别。在学习的类掩码的基础上，我们执行全局投票机制，以去除类别歧视较少的通道。最后，进行微调过程以恢复修剪模型的性能。据我们所知，这是第一次，CNN解释性理论被认为是指导信道修剪。对代表性的图像分类任务的大量实验表明，我们的白盒优于许多国家的最先进的。例如，在CIFAR-10上，它降低了65.23%的FLOP，甚至在ResNet-110上提高了0.62%的精度。在ILSVRC-2012上，白盒实现了45.6%的FLOP减少，而ResNet-50的前1精度仅损失了0.83%。

2022-01-28cs.CV

无损版权保护 via 内在模型指纹

Lossless Copyright Protection via Intrinsic Model Fingerprinting

TrajPrint通过提取确定性生成过程中的独特流形指纹，实现无损模型版权验证，具备高鲁棒性和黑盒API兼容性。

2026-01-29cs.CRcs.CV

Harmonizer：学习执行白盒图像和视频协调

Harmonizer: Learning to Perform White-Box Image and Video Harmonization

City University of Hong Kong（香港城市大学）；Australian National University（澳大利亚国立大学）

最近的图像协调工作解决了这个问题，作为一个像素的图像翻译任务，通过大型自动编码器。在处理高分辨率图像时，它们的性能不令人满意，推理速度慢。在这项工作中，我们观察到，调整基本图像滤波器的输入参数，例如，亮度和对比度足以让人类从合成图像中产生逼真的图像。因此，我们将图像协调视为图像级回归问题，以学习人类用于任务的过滤器的参数。我们提出了一个图像协调框架。与基于黑盒自动编码器的现有方法不同，Harmonizer包含用于滤波器参数预测的神经网络和用于图像协调的几个白盒滤波器（基于预测的参数）。我们还引入了一个级联回归器和一个动态的损失策略的协调器学习滤波器参数更稳定，更准确。由于我们的网络只输出图像级别的参数，并且我们使用的滤波器是有效的，因此Harmonizer比现有方法更轻，更快。综合实验表明，Harmonizer明显优于现有的方法，特别是在高分辨率的输入。最后，我们将Harmonizer应用于视频协调，它在1080P分辨率下实现了跨帧和56 fps的一致结果。代码和模型可在https://github.com/ZHKKKe/Harmonizer上获得。

2022-07-20cs.CV

面向图像的可扩展黑盒模型归因

Scalable Black-Box Model Attribution for Images

Tel Aviv University（特拉维夫大学）

该研究提出轻量级CNN模型RPA，在黑盒设置下实现图像生成模型归因，准确率优于现有方法，具数据高效、成本独立、鲁棒性强等优势，还可通过少样本适配新模型。

2026-09-22cs.CV

从黑盒到白盒：不同条件下置信度校准的检验

From Black-box to White-box: Examining Confidence Calibration under different Conditions

Fraunhofer Institute for Cognitive Systems IKS（弗劳恩霍夫认知系统研究所IKS）；Ruhr West University of Applied Sciences（鲁尔西应用科学大学）

置信度校准是在安全关键应用中应用人工神经网络时的主要关注点。由于过去在这一领域的大多数研究都集中在分类上，所以直到最近，目标检测范围内的置信度校准才得到更多的关注。在前人工作的基础上，研究了目标检测模型与图像位置和盒子尺度的误标定问题。我们的主要贡献是额外考虑框选择方法（如非最大值抑制）对校准的影响。我们调查的默认内在校准的目标检测模型，以及它是如何影响这些后处理技术。为此，我们区分黑盒校准与非最大抑制和白盒校准与原始网络输出。我们的实验表明，后处理高度影响置信度校准。我们发现，非最大抑制有可能降低最初校准良好的预测，导致过度自信，从而错误校准的模型。

2021-01-08cs.CVcs.LG

多样性可以转移：白盒和黑盒攻击的输出多样性

Diversity can be Transferred: Output Diversification for White- and Black-box Attacks

Department of Computer Science, Stanford University（斯坦福大学计算机科学系）；Mitsubishi UFJ Trust Investment Technology Institute（三菱UFJ信托投资技术研究所）；Japan Digital Design（日本数字设计公司（Japan Digital Design））

对抗攻击通常涉及从均匀或高斯分布中提取的输入的随机扰动，例如，以初始化基于优化的白盒攻击或在黑盒攻击中生成更新方向。然而，这些简单的扰动可能是次优的，因为它们对被攻击的模型是不可知的。为了提高这些攻击的效率，我们提出了输出多样化采样（ODS），一种新的采样策略，试图最大限度地提高多样性的目标模型的输出之间生成的样本。虽然ODS是一种基于梯度的策略，但ODS提供的多样性是可转移的，并且可以通过代理模型帮助白盒和黑盒攻击。经验上，我们证明，ODS显着提高现有的白盒和黑盒攻击的性能。特别是，ODS将ImageNet上最先进的黑盒攻击所需的查询数量减少了两倍。

2020-10-30cs.CVcs.LGstat.ML

关于CVPR 2018白盒对抗性示例防御的鲁棒性

On the Robustness of the CVPR 2018 White-Box Adversarial Example Defenses

Massachusetts Institute of Technology（麻省理工学院）；University of California, Berkeley（加州大学伯克利分校）

众所周知，神经网络容易受到对抗性样本的攻击。在本文中，我们评估了CVPR 2018上出现的两种白盒防御，发现它们是无效的：当应用现有技术时，我们可以将防御模型的准确性降低到0%。

2018-04-10cs.CRcs.CVcs.LG

Patronus：保护文本到图像模型免受白盒对手攻击

Patronus: Safeguarding Text-to-Image Models against White-Box Adversaries

College of Computing and Data Science, Nanyang Technological University（南洋理工大学计算与数据科学学院）；College of Electrical Engineering and the Ubiquitous System Security Lab (USSLab), Zhejiang University（浙江大学电子工程学院和无处不在系统安全实验室）；ETH Zurich（苏黎世联邦理工学院）

针对白盒对手可通过微调绕过T2I安全机制的问题，本文提出Patronus框架，利用内部审核器与不可微调对齐机制阻断不安全生成并抵御恶意微调。

2025-10-18cs.CRcs.CV

极简白盒Transformer中分割能力的涌现

Emergence of Segmentation with Minimalistic White-Box Transformers

ShanghaiTech（上海科技大学）；NYU（纽约大学）；TTIC（丰田技术研究所）；HKU（香港大学）；UC Berkeley（加州大学伯克利分校）

本研究证明，通过采用白盒Transformer架构CRATE，即使在极简监督训练下也能涌现分割特性，并揭示其与设计数学功能的一致性，为可解释基础模型提供了新路径。

2023-08-30cs.CVcs.LG

显著性回归：滤除高频成分如何改善白盒解释

Saliency strikes back: How filtering out high frequencies improves white-box explanations

Carney Institute for Brain Science, Brown University（布朗大学卡尼脑科学研究所）；CerCo, CNRS（法国国家科学研究中心CerCo研究所）；SNCF（法国国家铁路公司）；Institute of Mathematics of Toulouse, University Paul Sabatier（保罗萨巴蒂埃大学图卢兹数学研究所）

针对白盒归因方法梯度信号易受高频伪影污染的问题，提出FORGrad方法，通过按模型架构定制最优截止频率滤除高频成分，提升白盒方法性能并兼顾忠实性与计算效率。

2024-06-07cs.AIcs.CVcs.LG

基于对比损失的离线手写签名验证模型的白盒误报对抗攻击方法

A White-Box False Positive Adversarial Attack Method on Contrastive Loss Based Offline Handwritten Signature Verification Models

University of St Andrews（圣安德鲁斯大学）

本文提出了一种针对基于对比损失的离线手写签名验证模型的白盒误报对抗攻击方法，将攻击视为书写风格迁移，通过引入两个新损失函数扰动嵌入向量距离并保持图像最小扰动，实现了优于其他方法的攻击性能。

2024-02-09cs.AIcs.CRcs.CV

调查顶级$k$白盒和可转移黑盒攻击

Investigating Top-$k$ White-Box and Transferable Black-box Attack

Korea Advanced Institute of Science and Technology (KAIST)（韩国科学技术院）

现有的工作已经确定了顶- $1$攻击成功率（ASR）的限制，作为一个度量来评估攻击强度，但专门研究它在白盒设置，而我们的工作将其扩展到一个更实际的黑盒设置：可转移的攻击。据广泛报道，更强的I-FGSM传输比简单的FGSM更差，导致普遍认为可传输性与白盒攻击强度不一致。我们的工作挑战这一信念的实证发现，更强的攻击实际上转移更好的一般顶级$k$ ASR表示的兴趣类排名（ICR）攻击后。为了增加攻击强度，从几何角度对logit梯度进行直观的解释，我们发现常用损失的弱点在于优先考虑速度来欺骗网络，而不是最大化其强度。为此，我们提出了一个新的标准化CE损失，引导logit更新的方向隐式地最大化其排名距离地面真相类。在各种环境下的大量结果已经验证了我们提出的新损失是简单而有效的顶部$k$攻击。代码可在：\url{https://bit.ly/3uCiomP}

2022-03-30cs.AIcs.CRcs.CV

基于扩展GAN框架的白盒卡通化

White-Box Cartoonization Using An Extended GAN Framework

University of Mumbai（孟买大学）

在本研究中，我们建议通过对抗过程实现一个新的框架来估计生成模型，以扩展现有的GAN框架并开发一个白盒可控图像卡通化，它可以从真实世界的照片和视频中生成高质量的卡通图像/视频。我们的系统的学习目的是基于三个不同的表示：表面表示，结构表示和纹理表示。表面表示是指图像的光滑表面。结构表示涉及稀疏颜色块并压缩通用内容。纹理表示卡通图像中的纹理、曲线和特征。生成对抗网络（GAN）框架将图像分解为不同的表示，并从中学习以生成卡通图像。这种分解使框架更加可控和灵活，允许用户根据所需的输出进行更改。这种方法克服了任何以前的系统在保持清晰度，颜色，纹理，图像的形状，但显示卡通图像的特性。

2021-07-09cs.CVcs.LG

MRxaI：医疗场景下图像分类器的黑盒可解释性

MRxaI: Black-Box Explainability for Image Classifiers in a Medical Setting

King’s College London（伦敦国王学院）

本文在脑癌MRI数据集上比较多种黑盒解释方法与gradcam的性能，发现多数黑盒工具不适用于医学图像分类，但基于因果的rex表现与gradcam相当。

2023-11-24cs.AIcs.CV

一种嵌入自学习分割模块的全自动潜在指纹匹配器

A Fully Automated Latent Fingerprint Matcher with Embedded Self-learning Segmentation Module

The University of New South Wales（新南威尔士大学）

潜指纹对于在犯罪现场无意中留下指纹痕迹的犯罪嫌疑人的识别具有实用价值。然而，设计一个完全自动化的潜在指纹匹配器是一个非常具有挑战性的任务，因为它需要解决许多具有挑战性的问题，包括在部分和低质量的潜在指纹图像上分离重叠的结构化图案，并找到与具有不同分辨率的大型背景数据库的匹配。目前还没有完全自动化的潜在指纹匹配器可供公众使用，大多数文献报道都使用了一个专门的潜在指纹匹配器COTS 3，这是公众无法访问的。这将使评估和比较相关的研究工作变得不可行，而这对研究界至关重要。在这项研究中，我们的目标是开发一个全自动的潜在匹配器的自适应检测的兴趣区域和强大的匹配的潜在打印。与人工进行的匹配过程不同，所提出的潜在匹配器可以像一个密封的黑匣子一样运行，而无需任何人工干预。该匹配器由以下两个模块组成：（i）基于字典学习的感兴趣区域（ROI）分割方案;和（ii）基于遗传算法的细节点集匹配单元。在NIST SD 27潜在指纹数据库上的实验结果表明，该匹配器的性能优于目前公开的最先进的潜在指纹匹配器。

2014-06-26cs.CRcs.CV

白盒对抗攻击的提升梯度

Boosting Gradient for White-Box Adversarial Attacks

Xidian University（西安电子科技大学）

深度神经网络（DNN）在各种人工智能应用中发挥着关键作用，例如图像分类和对象识别。然而，越来越多的研究表明，DNN中存在对抗性样本，这些样本与原始样本几乎没有什么不同，但可以极大地改变网络输出。现有的白盒攻击算法可以生成强大的对抗性示例。然而，大多数算法都集中在如何迭代地最好地利用梯度来提高对抗性能。相比之下，在本文中，我们专注于广泛使用的ReLU激活函数的性质，并发现存在两种现象（即，错误的阻塞和过度传输）在反向传播期间误导ReLU中的梯度计算。这两个问题都扩大了梯度的损失函数的预测变化与相应的实际变化之间的差异，并误导梯度，导致更大的扰动。因此，我们提出了一种通用的对抗性示例生成方法，称为ADV-ReLU，以增强基于梯度的白盒攻击算法的性能。在网络的反向传播过程中，我们的方法计算损失函数相对于网络输入的梯度，将值映射到分数，并选择其中的一部分来更新误导梯度。在\emph{ImageNet}上的综合实验结果表明，我们的ADV-ReLU可以很容易地集成到许多最先进的基于梯度的白盒攻击算法中，以及转移到黑盒攻击者，以进一步减少${\ell _2}$范数的扰动。

2020-10-21cs.CRcs.CVcs.LG

EvoIQA - 通过进化白盒逻辑解释图像失真

EvoIQA - Explaining Image Distortions with Evolved White-Box Logic

Michigan State University（密歇根州立大学）

本文提出EvoIQA，一种基于遗传编程的可解释符号回归框架，通过进化出的数学公式评估图像质量，优于传统方法并达到深度学习模型性能。

2026-03-16cs.CVcs.NE

Dendrite Net：分类、回归和系统辨识的白盒模块

Dendrite Net: A White-Box Module for Classification, Regression, and System Identification

Xi’an Jiaotong University（西安交通大学）

生物树突计算的模拟是人工智能发展的关键。本文提出了一种类似于支持向量机或多层感知器的基本机器学习算法--树枝状网络（DD）。DD的主要概念是，如果输出的逻辑表达式包含输入之间的相应类的逻辑关系（而$\backslash$或$\backslash$不包含），则算法可以在学习后识别该类。实验和主要结果：白盒机器学习算法DD对黑盒系统表现出良好的系统辨识性能。其次，通过9个实际应用验证了DD相对于模仿神经元细胞体（Cell body Net）进行回归的MLP结构具有更好的泛化能力。第三，通过MNIST和FASHION-MNIST数据集，验证了DD在更大的训练损失下比Cell body Net具有更高的分类准确率。模块的数量可以有效地调整DD的逻辑表达能力，避免过拟合，使其易于获得具有出色泛化能力的模型。最后，在MATLAB和PyTorch（Python）中的重复实验表明，DD在历元和前向传播方面都比Cell body Net快。本文的主要贡献是基本的机器学习算法（DD）具有白盒属性，可控精度更好的泛化能力，和较低的计算复杂性。DD不仅可以用于广义工程，而且DD作为深度学习的模块具有巨大的发展潜力。DD代码可在GitHub上获得：https://github.com/liugang1234567/Gang-neuron。

2021-11-19cs.CVcs.LG

基于不变神经元变换的白盒DNN水印算法

Cracking White-box DNN Watermarks via Invariant Neuron Transforms

Fudan University（复旦大学）

近年来，如何保护深度神经网络（DNN）的知识产权（IP）成为人工智能行业的主要关注点。为了打击潜在的模型盗版，最近的工作探索了各种水印策略，以将秘密身份消息嵌入到预测行为或内部（例如，权重和神经元激活）。牺牲更少的功能并涉及关于目标模型的更多知识，水印方案的后一分支（即，白盒模型水印）被声称是准确的、可信的和安全的，可以抵抗大多数已知的水印去除攻击，并且在工业中具有新兴的研究成果和应用。在本文中，我们提出了第一个有效的去除攻击，几乎所有现有的白盒水印方案，可证明没有性能开销，不需要先验知识。通过分析这些IP保护机制在神经元的粒度，我们第一次发现他们共同依赖于一组脆弱的功能，本地神经元组，所有这些都可以被任意篡改我们提出的链不变的神经元变换。在$9$最先进的白盒水印方案和广泛的行业级DNN架构上，我们的攻击首次将受保护模型中的嵌入身份消息减少到几乎随机。同时，与已知的去除攻击，我们的攻击不需要先验知识的训练数据分布或所采用的水印算法，并留下完整的模型功能。

2022-05-19cs.CRcs.CVcs.LG

贝叶斯神经网络对白盒对抗攻击的鲁棒性

Robustness of Bayesian Neural Networks to White-Box Adversarial Attacks

Pennsylvania State University（宾夕法尼亚州立大学）；Applied Research Solutions（应用研究解决方案公司）；Air Force Research Lab（空军研究实验室）

贝叶斯神经网络（BNN）与传统的神经网络（TNN）不同，它具有鲁棒性，并且通过引入随机性来处理对抗攻击。这种随机性改善了对不确定性的估计，这是TNN缺乏的一个特征。因此，我们使用多个贝叶斯神经架构研究BNN对白盒攻击的鲁棒性。此外，我们通过融合贝叶斯推理（即，变分贝叶斯）到DenseNet架构和BDAV，通过将这种干预与对抗训练相结合。在CIFAR-10和FGVC-Aircraft数据集上进行了实验。我们使用强大的白盒攻击（$l_\infty$ -FGSM、$l_\infty$ -PGD、$l_2$-PGD、EOT $l_\infty$ -FGSM和EOT $l_\infty$ -PGD）来攻击我们的模型。在所有实验中，至少有一个BNN在对抗攻击场景中优于传统的神经网络。在大多数实验中，经过对抗训练的BNN优于其非贝叶斯的、经过对抗训练的对应物，并且通常具有显著的优势。最后，我们研究了网络校准，发现BNN不会做出过于自信的预测，这证明BNN在测量不确定性方面也更好。

2021-11-16cs.CRcs.CVcs.LG

图像分类任务中卷积神经网络的白盒算法

White Box Methods for Explanations of Convolutional Neural Networks in Image Classification Tasks

University of Bordeaux（波尔多大学）

近年来，深度学习已经变得流行，以解决来自多个领域的应用。卷积神经网络（CNN）特别地已经展示了用于图像分类任务的现有技术性能。然而，这些网络做出的决定是不透明的，不能由人类直接解释。已经提出了几种方法来解释理解网络预测背后的推理。在本文中，我们提出了一个拓扑结构分组这些方法的基础上，他们的假设和实现。我们主要关注白盒方法，利用网络内部架构的信息来解释其决策。考虑到图像分类的任务和经过训练的CNN，这项工作旨在提供一组方法的全面和详细的概述，这些方法可用于为特定图像创建解释图，并根据图像对网络决策的贡献为图像的每个像素分配重要性得分。我们还提出了一个进一步的分类的白盒方法的基础上，他们的实现，使更好的比较，并帮助研究人员找到最适合不同的情况下的方法。

2021-09-02cs.AIcs.CVcs.LG

深度学习算法中神经网络对抗对抗样本的脆弱性

The Vulnerability of the Neural Networks Against Adversarial Examples in Deep Learning Algorithms

随着计算机视觉、网络安全、自然语言处理等领域的深入发展，深度学习技术逐渐暴露出一定的安全隐患。现有的深度学习算法无法有效描述数据的本质特征，使得算法在面对恶意输入时无法给出正确的结果。基于当前深度学习面临的安全威胁，介绍了深度学习中的对抗示例问题，梳理了现有的黑盒和白盒的攻防方法，并进行了分类。简要介绍了近年来一些对抗性实例在不同场景下的应用，比较了对抗性实例的几种防御技术，最后总结了该研究领域存在的问题并对其未来发展进行了展望。本文详细介绍了常见的白盒攻击方法，并进一步比较了黑盒攻击和白盒攻击的异同。相应地，作者还介绍了防御方法，并分析了这些方法对黑盒和白盒攻击的性能。

2020-11-17cs.CRcs.CV

基于自监督数据估计的白盒对抗防御

White-Box Adversarial Defense via Self-Supervised Data Estimation

Harvard University（哈佛大学）；Mitsubishi Electric Research Laboratories (MERL)（三菱电机研究实验室（MERL））

在本文中，我们研究了如何保护分类器免受对抗攻击的问题，这些攻击使用巧妙修改的输入数据来欺骗分类器。与以前的作品相比，这里我们关注的是白盒对抗防御，攻击者不仅可以完全访问分类器，还可以完全访问防御者，以产生尽可能强大的攻击。在这样的背景下，我们建议将防御者视为一个函数，一个高阶函数，它以函数作为其参数来表示函数空间，而不是传统的固定函数。从这个角度来看，防御者应该针对每个对抗性输入单独实现和优化。为此，我们提出了RIDE，一个有效的和可证明收敛的自监督学习算法，用于个人数据估计，以保护预测免受对抗攻击。我们证明了对抗防御性能在图像识别方面的显着改善，例如，在最先进的BPDA攻击者下，MNIST，CIFAR-10和ImageNet数据集上的测试准确率分别为98%，76%和43%。

2019-09-13cs.CVcs.LGstat.ML

黑盒模型的对抗特征攻击

Adversarial Eigen Attack on Black-Box Models

Tsinghua University（清华大学）；China Academy of Electronics and Information Technology（中国电子科学研究院）

黑盒对抗攻击由于其在人工智能安全中的实际应用而引起了广泛的研究兴趣。与白盒攻击相比，黑盒攻击由于与被攻击模型相关的可用信息较少以及对查询预算的额外约束而更加困难。提高攻击效率的一般方法是借助预先训练的可转移白盒模型。在本文中，我们提出了一种新的设置可转移的黑盒攻击：攻击者可以使用外部信息从一个预先训练的模型与可用的网络参数，但是，与以往的研究不同，没有额外的训练数据被允许进一步改变或调整的预先训练的模型。为此，我们进一步提出了一种新的算法，EigenBA来解决这个问题。该方法利用白盒模型的雅可比矩阵，在保持对原始攻击图像扰动较小的前提下，挖掘黑盒模型更多的梯度信息，提高攻击效率。我们证明了最佳扰动与雅可比矩阵的右奇异向量密切相关。在ImageNet和CIFAR-10上的进一步实验表明，即使是不可学习的预训练白盒模型也可以显着提高黑盒攻击的效率，我们提出的方法可以进一步提高攻击效率。

2020-08-27cs.CRcs.CVcs.LG

基于特征形状识别的3D点云支撑塔低资源白盒语义分割

Low-Resource White-Box Semantic Segmentation of Supporting Towers on 3D Point Clouds via Signature Shape Identification

NOVA School of Science and Technology（新里斯本大学科学与技术学院）；University of Milan（米兰大学）；EDP NEW（EDP新能源公司）；University of Bologna（博洛尼亚大学）

针对3D语义分割高资源消耗与黑盒不透明问题，提出低资源白盒模型SCENE-Net，通过GENEOs识别点云特征形状，参数少、速度快、鲁棒性强，IoU媲美SOTA，同时发布乡村地形点云数据集与代码。

2023-06-13cs.CVcs.LGmath.GT

对抗性训练可能是一把双刃剑

Adversarial training may be a double-edged sword

North Carolina State University（北卡罗来纳州立大学）；ETH Zürich（苏黎世联邦理工学院）

对抗性训练已被证明是提高图像分类器对抗白盒攻击的鲁棒性的有效方法。然而，它对黑箱攻击的有效性更加微妙。在这项工作中，我们证明了对抗性训练对深度网络决策边界的一些几何后果为某些类型的黑盒攻击提供了优势。特别是，我们定义了一个称为鲁棒性增益的度量，以表明虽然对抗性训练是一种有效的方法，可以显着提高白盒场景中的鲁棒性，但它可能无法提供针对更现实的基于决策的黑盒攻击的良好鲁棒性增益。此外，我们表明，即使是最小扰动的白盒攻击可以收敛更快对抗训练的神经网络相比，常规的。

2021-07-24cs.CRcs.CVcs.LG