Generating Adversarial yet Inconspicuous Patches with a Single Image
Nanyang Technological University（南洋理工大学）
深度神经网络已经被证明容易受到对抗补丁的攻击，其中外来模式可能导致模型错误预测。然而，现有的对抗性补丁生成方法很少考虑补丁与图像背景之间的上下文一致性，导致这种补丁很容易被检测到，从而导致对抗攻击失败。另一方面，这些方法需要大量的数据进行训练，这在计算上是昂贵的。为了克服这些挑战，我们提出了一种方法来生成对抗性但不显眼的补丁与一个单一的图像。在我们的方法中，对抗补丁是以一种由粗到细的方式产生的，具有多个尺度的生成器和鉴别器。在Min-Max训练过程中对上下文信息进行编码，以使匹配与环境一致。补丁位置的选择是基于受害者模型的感知灵敏度。通过大量的实验，我们的方法显示出强大的攻击能力，在白盒和黑盒设置。显著性检测实验和用户评价实验表明，该方法能有效地避免人工观察，具有较好的隐蔽性。最后，我们证明了我们的方法保留了物理世界中的攻击能力。
2021-04-21 cs.AI cs.CV
Sparse patches adversarial attacks via extrapolating point-wise information
Technion – Israel Institute of Technology（以色列理工学院）；Ben-Gurion University of the Negev（内盖夫本-古里安大学）
本文提出通过逐点修剪密集对抗扰动的方法，实现多个稀疏补丁位置与扰动的同时优化，并在稀疏对抗攻击多个设置中显著超越现有最先进水平。
2024-11-25 cs.CV cs.LG
Feasibility of Inconspicuous GAN-generated Adversarial Patches against Object Detection
FZI Research Center for Information Technology（FZI信息技术研究中心）；Karlsruhe Institute of Technology (KIT)（卡尔斯鲁厄理工学院）
对抗补丁生成的标准方法会导致嘈杂的明显模式，这些模式很容易被人类识别。最近的研究提出了几种使用生成对抗网络（GANs）生成自然斑块的方法，但只有其中一些在目标检测用例中进行了评估。此外，现有技术主要集中在通过将单个大的限界框与面片直接重叠来抑制输入中的单个大的边界框。抑制面片附近的对象是一项不同的、更复杂的任务。在这项工作中，我们评估了现有的方法来生成不显眼的补丁。我们已经调整了最初为不同计算机视觉任务开发的方法，以适应YOLOv3和COCO数据集的目标检测用例。我们已经评估了两种方法来生成自然的补丁：通过将补丁生成到GAN训练过程中，并通过使用预训练的GAN。对于这两种情况下，我们已经评估了性能和自然的补丁外观之间的权衡。我们的实验表明，使用预训练的GAN有助于获得逼真的补丁，同时保持与传统对抗补丁相似的性能。
2022-07-15 cs.CV cs.LG
Minority Reports Defense: Defending Against Adversarial Patches
University of California, Berkeley（加州大学伯克利分校）；University of Michigan（密歇根大学）
深度学习图像分类容易受到对抗攻击的攻击，即使攻击者只改变了图像的一小部分。我们提出了一种防御补丁攻击的基础上部分遮挡周围的每个候选补丁位置的图像，使几个遮挡完全隐藏补丁。我们在CIFAR-10、Fashion MNIST和MNIST上证明，我们的防御可以针对一定规模的补丁攻击提供经过认证的安全性。
2020-04-28 cs.CR cs.CV cs.LG
Embodied Active Defense: Leveraging Recurrent Feedback to Counter Adversarial Patches
Tsinghua University（清华大学）
本文提出具身主动防御EAD，通过感知与策略两个循环模块主动感知并行动以对抗3D环境中的对抗性补丁，在保持标准准确率的同时显著提升鲁棒性和对未知攻击的泛化能力。
2024-03-31 cs.AI cs.CV
CapGen:An Environment-Adaptive Generator of Adversarial Patches
Tsinghua University（清华大学）
针对现有对抗补丁易被察觉、忽略元素动态的问题，提出环境自适应的CAPGen方法，发现模式比颜色对攻击性能影响更大，进而提出快速生成策略，实现隐身性与对抗性兼顾。
2024-12-10 cs.CV
On the interplay of adversarial robustness and architecture components: patches, convolution and attention
University of Tübingen（图宾根大学）
近年来，图像分类的新架构组件已经开发出来，从Transformers中使用的attention和patch开始。虽然先前的工作已经分析了架构组件的某些方面对对抗攻击的鲁棒性的影响，特别是对于视觉Transformer，但对主要因素的理解仍然有限。我们比较了几种具有不同架构的（非）鲁棒分类器，并研究了它们的特性，包括对抗性训练对学习特征的可解释性和对未知威胁模型的鲁棒性的影响。从ResNet到ConvNeXt的消融揭示了导致几乎$10\%$更高$\ell_\infty$ -稳健性的关键架构变化。
2022-09-14 cs.CV cs.LG
On adversarial patches: real-world attack on ArcFace-100 face recognition system
Skolkovo Institute of Science and Technology（斯科尔科沃科学技术学院）；Intelligent Systems Lab（智能系统实验室）；Huawei Moscow Research Center（华为莫斯科研究中心）
最近的工作表明，在数字域的对抗攻击的图像分类的脆弱性。然而，大多数攻击涉及向图像添加小扰动以欺骗分类器。不幸的是，这样的程序不能用于进行现实世界的攻击，在现实世界中，向照片添加对抗属性是一种更实用的方法。在本文中，我们研究了现实世界中的人脸识别系统的攻击问题。我们研究了最好的公共人脸识别系统之一，LResNet 100 E-IR与ArcFace损失的安全性，并提出了一种简单的方法来攻击它在物理世界中。该方法建议创建一个可以打印的对抗补丁，添加为面部属性并拍照;然后将具有这种属性的人的照片传递给分类器，使得分类器的识别类从正确的变为所需的。所提出的生成过程允许不仅在面部的不同区域（例如鼻子或前额）上，而且在一些可穿戴配件（例如眼镜）上投射对抗性补丁。
2020-04-01 cs.CR cs.CV cs.LG
PatchGuard: A Provably Robust Defense against Adversarial Patches via Small Receptive Fields and Masking
Princeton University（普林斯顿大学）；University of Chicago（芝加哥大学）
局部对抗补丁旨在通过任意修改图像的受限区域内的像素来诱导机器学习模型中的误分类。这种攻击可以在物理世界中通过将对抗补丁附加到要被错误分类的对象来实现，并且防御这种攻击是一个未解决的/开放的问题。在本文中，我们提出了一个名为PatchGuard的通用防御框架，它可以实现高可证明的鲁棒性，同时保持对本地化对抗补丁的高准确性。PatchGuard的基石涉及使用具有小感受野的CNN来限制被对抗补丁破坏的特征数量。给定有界数量的损坏特征，设计对抗性补丁防御的问题简化为设计安全特征聚合机制的问题。为此，我们提出了我们强大的掩蔽防御，鲁棒地检测和掩蔽损坏的功能，以恢复正确的预测。值得注意的是，我们可以证明我们的防御对我们的威胁模型中的任何对手的鲁棒性。我们对ImageNet，ImageNet（ImageNet的10类子集）和CIFAR-10数据集的广泛评估表明，我们的防御在可证明的鲁棒准确性和干净准确性方面都达到了最先进的性能。
2021-03-31 cs.CR cs.CV cs.LG
Improving Transferability of Adversarial Patches on Face Recognition with Generative Models
RealAI（瑞莱智慧）；Ant Financial（蚂蚁金服）；Tsinghua University（清华大学）；Beijing Institute of Technology（北京理工大学）；Nanyang Technological University（南洋理工大学）
深度卷积神经网络（CNN）极大地提高了人脸识别。最近，这些人脸识别模型已被用于安全敏感应用中的身份认证。然而，深度CNN很容易受到对抗补丁的攻击，这些补丁在物理上是可实现的，并且是隐形的，这对这些模型的实际应用提出了新的安全问题。在本文中，我们使用基于可转移性的对抗补丁来评估人脸识别模型的鲁棒性，其中攻击者对目标模型的可访问性有限。首先，我们扩展了现有的基于转移的攻击技术，以生成可转移的对抗补丁。然而，我们观察到的可转移性是敏感的初始化和退化时的扰动幅度是大的，表示过拟合的替代模型。其次，我们提出了在低维数据流形上正则化对抗补丁。流形由在合法人脸图像上预训练的生成模型表示。通过在流形上进行优化，使用人脸特征作为对抗性扰动，我们表明替代模型和目标模型的响应之间的差距显着减小，表现出更好的可移植性。大量的数字世界的实验进行了证明所提出的方法在黑箱设置的优越性。我们也将所提出的方法应用于物理世界。
2021-08-30 cs.CV cs.LG
Higher-Order Adversarial Patches for Real-Time Object Detectors
Fraunhofer IOSB and Fraunhofer Center for Machine Learning（弗劳恩霍夫联合研究所和弗劳恩霍夫机器学习中心）；Karlsruhe Institute of Technology（卡尔斯鲁厄理工学院）
本文研究了高阶对抗性补丁对实时目标检测器的影响，发现其具有更强的泛化能力，但单纯对抗训练不足以有效防御此类攻击。
2026-01-08 cs.CV
RADAP: A Robust and Adaptive Defense Against Diverse Adversarial Patches on Face Recognition
Nanjing University（南京大学）
本文提出RADAP防御机制，通过傅里叶空间采样、边缘感知损失和分割填充策略，提升人脸识别系统对多样化对抗补丁的鲁棒性，同时保持较高干净准确率。
2023-11-29 cs.CR cs.CV
Traversing the Subspace of Adversarial Patches
Fraunhofer Center for Machine Learning（弗劳恩霍夫机器学习中心）；Fraunhofer IOSB（弗劳恩霍夫联合研究所）；Karlsruher Institute of Technology（卡尔斯鲁厄理工学院）
本文验证流形假说于对抗性补丁，分析三种降维方法的重建能力，发现复杂方法不优于主成分分析，并在两个行人检测数据集上评估。
2024-12-02 cs.CV
Diffusion-Driven Deceptive Patches: Adversarial Manipulation and Forensic Detection in Facial Identity Verification
本文提出了一种基于扩散模型的对抗性补丁生成与检测方法，通过FGSM和ViT-GPT2模型提升对抗性攻击的隐蔽性与有效性，并实现了高SSIM的检测性能。
2026-01-14 cs.AI cs.CV
Eigenpatches -- Adversarial Patches from Principal Components
Fraunhofer Center for Machine Learning（弗劳恩霍夫机器学习中心）；Fraunhofer IOSB（弗劳恩霍夫IOSB）
本文提出Eigenpatches方法，通过分析375个对抗补丁并计算其主成分，利用线性组合高效生成对抗补丁以欺骗目标检测器，解决了传统白盒攻击计算成本高的问题。
2023-06-19 cs.CV
Network transferability of adversarial patches in real-time object detection
Fraunhofer Center for Machine Learning, Fraunhofer IOSB（弗劳恩霍夫机器学习研究中心，弗劳恩霍夫IOSB）
本文研究对抗补丁在实时目标检测中的网络迁移性，发现用较大模型优化的补丁跨网络迁移效果更好。
2024-08-28 cs.CV
IPatch: A Remote Adversarial Patch
Ben-Gurion University（本-古里安大学）
自动驾驶汽车和医疗筛查等应用使用深度学习模型来定位和识别单个帧中的数百个对象。在过去，已经证明了攻击者如何通过在场景中放置对抗补丁来欺骗这些模型。但是，这些补丁必须放置在目标位置，并且不会显式地改变图像中其他位置的语义。在本文中，我们介绍了一种新型的对抗补丁，它改变了模型对图像语义的感知。这些补丁可以放置在图像中的任何地方，以改变远离补丁的位置的分类或语义。我们将这类新的对抗性示例称为“远程对抗补丁”（RAP）。我们实现了自己的RAP，称为IPatch，并使用CamVid街景数据集上的五种最先进的架构和八种不同的编码器对图像分割RAP攻击进行了深入分析。此外，我们证明了攻击可以扩展到对象识别模型与流行的YOLOv3模型的初步结果。我们发现，补丁可以改变远程目标区域的分类，平均成功率高达93%。
2021-06-02 cs.AI cs.CR cs.CV
Developing Imperceptible Adversarial Patches to Camouflage Military Assets From Computer Vision Enabled Technologies
University of New South Wales（新南威尔士大学）
卷积神经网络（CNN）在目标检测中已经显示出快速的进展和高水平的成功。然而，最近的证据突出表明，它们易受对抗攻击的伤害。这些攻击是计算图像扰动或对抗补丁，导致对象误分类或检测抑制。传统的伪装方法是不切实际的，当应用于伪装飞机和其他大型移动资产从自主检测的情报，监视和侦察技术和第五代导弹。在本文中，我们提出了一种独特的方法，产生难以察觉的补丁，能够从计算机视觉启用技术的大型军事资产。我们开发这些补丁最大限度地提高目标检测损失，同时限制补丁的颜色感知。这项工作还旨在进一步理解对抗性示例及其对目标检测算法的影响。
2022-05-11 cs.CV
DOEPatch: Dynamically Optimized Ensemble Model for Adversarial Patches Generation
School of Automation, Northwestern Polytechnical University（西北工业大学自动化学院）
本文提出DOEPatch方法，通过引入能量概念和动态优化集成模型生成通用对抗补丁，在多个目标检测模型及物理世界中验证了其攻击有效性。
2024-09-29 cs.CV
You Cannot Easily Catch Me: A Low-Detectable Adversarial Patch for Object Detectors
Shanghai Jiao Tong University（上海交通大学）；Tsinghua University（清华大学）
盲点或彻底的欺骗可能会困扰和欺骗机器学习模型。无法识别的物体，如数字“贴纸”，也被称为对抗补丁，可以欺骗面部识别系统，监控系统和自动驾驶汽车。幸运的是，大多数现有的对抗补丁都可以被称为对抗补丁检测器的简单分类网络所欺骗，禁用和拒绝，该网络将对抗补丁与原始图像区分开来。对象检测器对图像内的对象的类型进行分类和预测，例如通过区分摩托车手和摩托车，同时还通过在每个对象周围“绘制”所谓的边界框来定位每个对象在图像内的位置，再次将摩托车手和摩托车分开。然而，为了更好地训练检测器，我们需要在探测模型的盲点时，不断地让它们经历令人困惑或欺骗性的对抗补丁。对于这样的探测器，我们提出了一种新的方法，即低可检测的对抗补丁，它用小而纹理一致的对抗补丁攻击对象检测器，使这些对手不太可能被识别出来。具体地说，我们使用几个几何图元来模拟的形状和位置的补丁。为了提高我们的攻击性能，我们还分配不同的权重的边界框方面的损失函数。在常用检测数据集COCO和驾驶视频数据集D2-City上的实验表明，LDAP是一种有效的攻击方法，可以抵抗对抗性补丁检测器。
2021-09-30 cs.AI cs.CV
On Physical Adversarial Patches for Object Detection
Carnegie Mellon University（卡内基梅隆大学）
在本文中，我们展示了针对对象检测器的物理对抗补丁攻击，特别是YOLOv3检测器。与以前的工作物理目标检测攻击，这需要补丁被错误分类或避免检测的对象重叠，我们表明，一个适当设计的补丁可以抑制几乎所有检测到的对象在图像中。也就是说，我们可以将补丁放置在图像中的任何地方，导致图像中所有现有的物体都被检测器完全错过，即使是那些远离补丁本身的物体。这反过来又开辟了针对目标检测系统的新的物理攻击路线，该系统不需要修改场景中的对象。该系统的演示可以在https://youtu.be/WXnQjbZ1e7Y上找到。
2019-06-20 cs.CR cs.CV cs.LG
Distributional Modeling for Location-Aware Adversarial Patches
Beihang University（北京航空航天大学）；Tsinghua University（清华大学）
本文提出分布优化对抗补丁（DOPatch），通过优化对抗位置的多模态分布，实现高效黑盒查询攻击，并利用分布建模对抗训练提升模型鲁棒性。
2023-06-28 cs.CV
NeRFTAP: Enhancing Transferability of Adversarial Patches on Face Recognition using Neural Radiance Fields
Nanjing University（南京大学）
本文提出NeRFTAP攻击方法，利用基于NeRF的3D-GAN生成新视角人脸图像并结合风格一致性损失，同时提升对抗补丁向FR模型和受害者人脸图像的迁移性，实验证明其优于现有攻击技术。
2023-11-29 cs.CR cs.CV
Dynamic Adversarial Patch for Evading Object Detection Models
Ben-Gurion University of the Negev（本-古里安大学）
最近的研究表明，用于计算机视觉的神经网络模型（例如，YOLO和Fast R-CNN）容易受到对抗性规避攻击。大多数针对对象检测器的现有现实世界对抗攻击使用附着到目标对象的对抗补丁（例如，一个精心制作的贴纸放在一个停止标志）。这种方法可能对相机相对于目标对象的位置的变化不鲁棒;此外，当应用于诸如汽车的非平面对象时，它可能不起作用。在这项研究中，我们提出了一种针对对象检测器的创新攻击方法，该方法应用于现实世界的设置中，解决了现有攻击的一些局限性。我们的方法使用动态对抗补丁，这些补丁被放置在目标对象上的多个预定位置。应用对抗性学习算法以生成所使用的补丁。动态攻击是通过根据相机的位置（即，目标检测系统的位置）。为了在真实世界的设置中演示我们的攻击，我们通过将平面屏幕连接到目标对象来实现补丁;屏幕用于显示补丁并根据当前相机位置在它们之间切换。因此，攻击是动态的，并根据情况进行自我调整，以达到最佳效果。我们通过以汽车为目标对象攻击YOLOv 2对象检测器来评估我们的动态补丁方法，并在从宽视角范围拍摄汽车时成功地在高达90%的视频帧中误导它。我们通过生成考虑目标对象及其分类之间的语义距离的补丁来改进攻击。我们还检查了攻击在不同车型之间的可转移性，并能够在71%的时间内误导检测器。
2020-10-25 cs.CR cs.CV cs.LG
PatchDEMUX: A Certifiably Robust Framework for Multi-label Classifiers Against Adversarial Patches
UC Berkeley（加州大学伯克利分校）；Princeton University（普林斯顿大学）
本文提出PatchDEMUX框架，通过将多标签分类转化为孤立的二元分类问题扩展单标签可认证防御，并在单补丁场景下提供更严格的鲁棒性界限，在MS-COCO和PASCAL VOC数据集上实现了高鲁棒性与高干净性能。
2025-05-30 cs.CR cs.CV cs.LG
Breaking the Illusion: Real-world Challenges for Adversarial Patches in Object Detection
Graz University of Technology（格拉茨工业大学）；Complexity Science Hub Vienna（维也纳复杂性科学中心）
本研究针对YOLO目标检测网络，在现实世界中测试全局和局部两种对抗性补丁，分析补丁参数对攻击效果的影响，揭示现实条件下攻击面临的挑战，为开发更鲁棒的防御提供依据。
2024-11-26 cs.CV cs.LG
BadPatch: Diffusion-Based Generation of Physical Adversarial Patches
Shanghai Key Lab of Intell. Info. Processing, School of CS, Fudan University（上海智能信息处理关键实验室，计算机科学学院，复旦大学）
提出BadPatch框架，基于扩散模型生成可定制且自然的物理对抗补丁，在保持攻击性能的同时提升隐蔽性，并构建了首个物理对抗T恤数据集AdvT-shirt-1K。
2025-08-10 cs.CV
The Weaknesses of Adversarial Camouflage in Overhead Imagery
IQT Labs（IQT实验室）
机器学习对于分析不断增长的头顶图像语料库越来越重要。先进的计算机视觉目标检测技术在从卫星和无人机图像中识别船舶、汽车和飞机等感兴趣的目标方面取得了巨大成功。然而，依赖于计算机视觉会暴露出重大的漏洞，即目标检测算法对对抗攻击的敏感性。在本文中，我们探讨了对抗性伪装的有效性和缺点，在一个开销的图像背景下。虽然最近的一些论文已经证明了使用对抗补丁可靠地欺骗深度学习分类器和对象检测器的能力，但大多数工作都是在相对统一的数据集上进行的，并且只有一类对象。在这项工作中，我们利用VisDrone数据集，它具有广泛的视角和对象大小。我们探索四种不同的对象类：公共汽车，汽车，卡车，货车。我们构建了一个包含24个对抗性补丁的库来伪装这些对象，并为我们的补丁引入了一个补丁透明度变量。贴片的透明度（或α值）与其功效高度相关。此外，我们还表明，虽然对抗性补丁可能会欺骗对象检测器，但这种补丁的存在往往很容易被发现，补丁平均比补丁要隐藏的对象高出24%。这就提出了这样的补丁是否真正构成伪装的问题。源代码可在https://github.com/IQTLabs/camolo上获得。
2022-07-06 cs.CV
Adversarial Purification of Information Masking
Nanjing University of Science and Technology（南京理工大学）
本文提出一种名为 IMPure 的新型对抗净化方法，通过掩蔽并重构图像块及混合样本等策略彻底消除对抗扰动，在 ImageNet 数据集上抵御九种攻击达到最先进水平。
2023-11-26 cs.CR cs.CV cs.LG
Physical Evaluation of Naturalistic Adversarial Patches for Camera-Based Traffic-Sign Detection
Department of Computing Sciences, University of Hartford（计算科学系，哈特福大学）；Department of Electrical and Computer Engineering, Tennessee Technological University（电气与计算机工程系，田纳西技术大学）；Center for Manufacturing Research, Tennessee Technological University（制造研究中心，田纳西技术大学）
本文通过构建CompGTSRB数据集，评估自然对抗性补丁在物理交通标志检测中的有效性，并提出系统物理协议以提升补丁评估的可信度。
2026-02-27 cs.AI cs.CR cs.CV
SpaNN: Detecting Multiple Adversarial Patches on CNNs by Spanning Saliency Thresholds
KTH Royal Institute of Technology（皇家理工学院）
SpaNN是一种不依赖固定显著性阈值、计算复杂度与补丁数量无关的对抗性补丁检测器，通过集成二值化特征图聚类，在目标检测和分类上分别超越现有防御最多11和27个百分点。
2025-06-23 cs.CV cs.LG
AngleRoCL: Angle-Robust Concept Learning for Physically View-Invariant T2I Adversarial Patches
NKIARI, Shenzhen Futian（深圳福田NKIARI）；VCIP, CS, Nankai University（南开大学VCIP研究所）；CRRC Zhuzhou Institute（株洲CRRC研究所）；CFAR and IHPC, Agency for Science, Technology and Research (A*STAR)（新加坡科技研究局CFAR和IHPC）
本文提出AngleRoCL方法，通过学习可泛化的文本嵌入概念，增强T2I扩散模型生成对抗补丁的角度鲁棒性，在多个视角下对五个SOTA检测器实现超过50%的平均攻击有效性提升。
2025-10-24 cs.CV
Improving the Transferability of Adversarial Examples with Restructure Embedded Patches
Beijing Institute of Technology（北京理工大学）
视觉Transformer（ViTs）在各种计算机视觉任务中表现出令人印象深刻的性能。然而，由ViTs生成的对抗性示例很难转移到具有不同结构的其他网络。现有的攻击方法没有考虑ViTs结构和自注意力机制的特殊性，导致ViTs生成的对抗样本的可移植性差。我们通过重构输入的嵌入补丁来攻击ViTs中独特的自我注意力机制。重构后的嵌入贴片使自我注意力机制能够获得更多样的贴片连接，并帮助ViT保持对象上的感兴趣区域。因此，我们提出了一种针对ViTs中独特的自我注意力机制的攻击方法，称为自我注意补丁重组（SAPR）。我们的方法是简单的实现，但有效的，适用于任何自注意力为基础的网络和梯度转移为基础的攻击方法。我们评估了不同结构的黑盒模型上的攻击可转移性。结果表明，我们的方法在白盒ViTs上生成的对抗性示例具有更高的可移植性和更高的图像质量。我们的研究推进了对ViTs的黑盒传输攻击的发展，并证明了使用白盒ViTs攻击其他黑盒模型的可行性。
2022-04-27 cs.CV
Energy Attack: On Transferring Adversarial Examples
Shanghai Jiao Tong University（上海交通大学）
在这项工作中，我们提出了能量攻击，一个基于传输的黑盒$L_\infty$ -对抗攻击。该攻击是无参数的，不需要梯度近似。特别地，我们首先获得一个代理模型的白盒对抗扰动，并将这些扰动分成小块。然后，我们提取的单位分量向量和特征值的这些补丁的主成分分析（PCA）。基于特征值，我们可以模拟对抗扰动的能量分布。然后，我们通过根据扰动补丁的能量分布进行采样来执行黑盒攻击，并将采样的补丁平铺以形成全尺寸的对抗性扰动。这可以在没有访问受害者模型的情况下完成。大量的实验表明，所提出的能量攻击在各种模型和多个数据集上的黑盒攻击中达到了最先进的性能。此外，提取的分布能够在不同的模型架构和不同的数据集之间传输，因此是视觉架构所固有的。
2021-09-09 cs.CV cs.LG
Physically Adversarial Infrared Patches with Learnable Shapes and Locations
Beihang University（北京航空航天大学）；Institute of Artificial Intelligence, Beihang University（北京航空航天大学人工智能研究院）
由于红外目标检测器在安全关键任务中的广泛应用，有必要评估其对现实世界中对抗性示例的鲁棒性。然而，由于数字世界到物理世界的复杂转换，目前很少有物理红外攻击在实际应用中实现起来比较复杂。为了解决这个问题，在本文中，我们提出了一种物理上可行的红外攻击方法称为“对抗红外补丁”。考虑到红外摄像机通过捕获目标的热辐射成像的机理，对抗性红外贴片通过在目标物体上贴上一片隔热材料来操纵其热分布，从而进行攻击。为了增强对抗攻击，我们提出了一种新的聚合正则化，以指导同时学习补丁的形状和位置的目标对象。因此，可以采用简单的基于梯度的优化来求解它们。我们验证对抗红外补丁在不同的目标检测任务与各种目标检测器。实验结果表明，在不同角度、不同距离、不同姿态和不同场景下，与行人检测器和车辆检测器相比，该方法的攻击成功率（ASR）达到90%以上.更重要的是，对抗性红外贴片易于实现，在物理世界中构建仅需0.5小时，验证了其有效性和高效性。
2023-03-24 cs.CV
Adversarial Patch
Google（谷歌公司）
我们提出了一种在现实世界中创建通用的，鲁棒的，有针对性的对抗图像补丁的方法。补丁是通用的，因为它们可以用来攻击任何场景，健壮的，因为它们在各种各样的变换下工作，有针对性的，因为它们可以导致分类器输出任何目标类。这些对抗补丁可以打印，添加到任何场景，拍照，并呈现给图像分类器;即使补丁很小，它们也会导致分类器忽略场景中的其他项目并报告所选的目标类别。为了重现论文中的结果，我们的代码可以在https://github.com/tensorflow/cleverhans/tree/master/examples/adversarial_patch上找到。
2018-05-17 cs.CV
ScaleCert: Scalable Certified Defense against Adversarial Patches with Sparse Superficial Layers
Institute of Computing Technology, CAS（中国科学院计算技术研究所）；University of Chinese Academy of Sciences（中国科学院大学）；Cambricon Technologies（寒武纪科技）；UC Santa Barbara（加州大学圣巴巴拉分校）；Northeastern University（东北大学）；Drexel University（德雷塞尔大学）
对抗性的补丁攻击，工艺的像素在一个有限的区域的输入图像显示其强大的攻击效果，即使在物理环境中的噪声或变形。针对对抗性补丁攻击的现有认证防御在MNIST和CIFAR-10数据集等小图像上运行良好，但在ImageNet等高分辨率图像上的认证准确性非常差。迫切需要设计强大而有效的防御措施，以抵御行业级大图像中这种实际而有害的攻击。在这项工作中，我们提出了认证的防御方法，实现了高分辨率图像的高可证明的鲁棒性，并大大提高了认证防御的实际应用。我们工作的基本见解是，对抗补丁打算利用局部的表面重要神经元（SIN）来操纵预测结果。因此，我们利用基于SIN的DNN压缩技术，通过减少对抗性区域搜索开销和过滤预测噪声来显着提高认证的准确性。我们的实验结果表明，在ImageNet数据集上，认证准确率从36.3%（最先进的认证检测）提高到60.4%，这在很大程度上推动了认证防御的实际应用。
2021-11-04 cs.CR cs.CV cs.LG
Generating Transferable and Stealthy Adversarial Patch via Attention-guided Adversarial Inpainting
Hong Kong Polytechnic University（香港理工大学）；Hunan University（湖南大学）
针对现有对抗补丁易察觉、跨模型迁移性弱的问题，提出两阶段Adv-Inpainting攻击方法，通过注意力引导融合特征并优化补丁，实现了更隐蔽、可迁移性更强的人脸识别对抗攻击。
2023-10-01 cs.AI cs.CV
Vision Transformers: the threat of realistic adversarial patches
Vrije Universiteit Brussel（自由大学布鲁塞尔）；Open University of the Netherlands（荷兰开放大学）；Netherlands Defence Academy（荷兰国防学院）；Fraunhofer Institute of Optronics（弗劳恩霍夫光学研究所）；imec；Belgian Royal Military Academy（比利时皇家军事学院）
本研究设计现实对抗补丁，验证其从CNN到ViT的可迁移性，发现不同ViT模型攻击成功率差异显著，预训练规模影响鲁棒性。
2025-09-25 cs.AI cs.CV
Digital-to-Physical Transfer of Adversarial Patches for Aerial Vehicle Detection
School of Information Technology, Incheon National University（信息科技学院，Incheon国立大学）
本文通过数字优化和物理部署，评估了针对YOLOv3空中飞行器检测器的物理对抗性补丁攻击，发现ON补丁在物理环境中鲁棒性更强。
2026-05-29 cs.AI cs.CV
PBCAT: Patch-based composite adversarial training against physically realizable attacks on object detection
Department of Computer Science and Technology, BNRist, IDG/McGovern Institute for Brain Research, THBI, Tsinghua University（清华大学计算机科学与技术系）；University of Science and Technology Beijing（北京科技大学）；Huawei Technologies（华为技术有限公司）；Chinese Institute for Brain Research (CIBR)（中国脑科学研究院）
提出PBCAT，一种基于补丁的复合对抗训练方法，结合局部对抗补丁和全局扰动，统一防御多种物理可实现攻击，显著提升目标检测鲁棒性。
2025-07-09 cs.AI cs.CV cs.LG
PatchCleanser: Certifiably Robust Defense against Adversarial Patches for Any Image Classifier
Princeton University（普林斯顿大学）
针对图像分类模型的对抗性补丁攻击旨在将对抗性制作的像素注入受限图像区域内（即，补丁）用于引起模型误分类。这种攻击可以在物理世界中通过将补丁打印并附加到受害对象来实现;因此，它对计算机视觉系统构成了现实世界的威胁。为了应对这种威胁，我们设计了PatchCleanser作为对抗性补丁的可靠防御。在PatchCleanser中，我们对输入图像执行两轮像素掩蔽，以中和对抗性补丁的影响。这种图像空间操作使PatchCleanser与任何最先进的图像分类器兼容，以实现高精度。此外，我们可以证明PatchCleanser总是能够预测某些图像上的正确类别标签，以对抗我们的威胁模型中的任何自适应白盒攻击者，从而实现认证的鲁棒性。我们在ImageNet，ImageNet，CIFAR-10，CIFAR-100，SVHN和Flowers-102数据集上广泛评估了PatchCleanser，并证明我们的防御实现了与最先进的分类模型相似的干净准确性，并且还显着提高了先前工作的认证鲁棒性。值得注意的是，PatchCleanser针对1000级ImageNet数据集图像上任何位置2%像素的方形斑块，实现了83.9%的top-1清洁准确度和62.1%的top-1认证稳健准确度。
2022-04-08 cs.CR cs.CV
ODDR: Outlier Detection & Dimension Reduction Based Defense Against Adversarial Patches
New York University (NYU)（纽约大学（NYU））；Technology Innovation Institute (TII)（技术创新研究院（TII））
本文提出ODDR防御策略，通过分片、隔离和中和三阶段流程，利用异常值检测与降维技术有效消除对抗补丁攻击，在多任务和多种架构中显著提升模型准确率并优于现有防御方法。
2024-08-27 cs.CR cs.CV
Learning Transferable 3D Adversarial Cloaks for Deep Trained Detectors
University of Texas at Austin（德克萨斯大学奥斯汀分校）
本文提出了一种新的基于补丁的对抗攻击管道，在三维人体网格上训练对抗补丁。我们在参考人体网格上采样三角形面部，并在这些面部上创建对抗性纹理图谱。对抗性纹理被转移到各种姿势的人类网格中，这些网格被渲染到真实世界背景图像的集合上。与传统的基于补丁的对抗攻击相反，先前的工作试图使用附加的对抗补丁来欺骗训练的对象检测器，这种新形式的攻击被映射到3D对象世界，并通过可微分渲染反向传播到纹理图谱。因此，对抗补丁在与真实世界材料一致的变形下进行训练。此外，与现有的对抗补丁不同，我们的新3D对抗补丁被证明可以在不同的视图下稳健地欺骗最先进的深度对象检测器，这可能导致在物理世界中持续强大的攻击方案。
2021-04-22 cs.AI cs.CV
Transferable Physical-World Adversarial Patches Against Object Detection in Autonomous Driving
Huazhong University of Science（华中科技大学）
本文提出AdvAD方法，通过统一框架优化多检测模型的对抗性补丁，提升其在不同架构中的鲁棒性和转移性，实验表明其在性能和可转移性上优于现有方法。
2026-04-25 cs.CV
Sparse-RS: a versatile framework for query-efficient sparse black-box adversarial attacks
EPFL（洛桑联邦理工学院）
我们提出了一个通用的框架，基于随机搜索，稀疏RS，基于分数的稀疏有针对性和无针对性的攻击在黑盒设置。Sparse-RS不依赖于替代模型，并实现了最先进的成功率和查询效率的多个稀疏攻击模型：$l_0$ -有界扰动，对抗补丁和对抗帧。$l_0$版本的无目标Sparse-RS在MNIST、CIFAR-10和ImageNet上的性能优于所有黑盒甚至所有白盒攻击。此外，我们的非靶向稀疏RS即使对于具有挑战性的$20\times20$对抗补丁和$2$像素宽对抗帧的设置，对于$224\times224$图像也实现了非常高的成功率。最后，我们证明了Sparse-RS可以用于生成有针对性的通用对抗补丁，其性能显着优于现有方法。我们框架的代码可以在https://github.com/fra31/sparse-rs上找到。
2022-02-08 cs.CR cs.CV cs.LG
Defending Adversarial Patches via Joint Region Localizing and Inpainting
Beihang University（北京航空航天大学）
针对对抗性补丁攻击，提出一种基于“定位与修复”机制的防御方法，通过双分支定位子网络检测补丁区域并利用上下文线索修复内容，联合优化两模块以提升防御效果。
2023-07-26 cs.CV
Boosting Cross-task Transferability of Adversarial Patches with Visual Relations
Shen Yuan Honors College, Beihang University（北京航空航天大学沈元荣誉学院）；Beihang University（北京航空航天大学）；Zhongguancun Laboratory（中关村实验室）
本文提出基于视觉关系的跨任务对抗补丁生成方法 VRAP，通过场景图结合目标识别欺骗与谓词关系消除来破坏视觉推理信息，显著提升对抗补丁在视觉问答和图像描述等推理任务上的黑盒可迁移性。
2023-04-11 cs.CR cs.CV cs.LG
TnT Attacks! Universal Naturalistic Adversarial Patches Against Deep Neural Network Systems
The University of Adelaide（阿德莱德大学）；Rutgers University（罗格斯大学）
深度神经网络容易受到来自敌对输入的攻击，最近，特洛伊木马误导或劫持模型的决策。通过探索空间有界的对抗示例空间和生成对抗网络内的自然输入空间的超集，我们揭示了一类有趣的空间有界的、物理上可实现的对抗示例--通用自然对抗包--的存在。现在，对手可以用一个补丁来武装自己，这个补丁是自然的，看起来不那么恶意，物理上可实现的，高效的，实现高攻击成功率的，通用的。TnT是通用的，因为在场景中使用TnT捕获的任何输入图像将：i）误导网络（无目标攻击）;或ii）迫使网络做出恶意决定（有目标攻击）。有趣的是，现在，对抗性补丁攻击者有可能施加更高级别的控制-选择位置无关的，自然外观的补丁作为触发器的能力，而不是被限制到嘈杂的扰动-到目前为止，只有特洛伊木马攻击方法才有可能干扰模型构建过程，以嵌入后门风险发现;但是，仍然实现了可在物理世界中部署的补丁。通过对大规模视觉分类任务ImageNet的广泛实验，以及对整个50，000张图像验证集的评估，我们展示了TnTs的现实威胁和攻击的鲁棒性。我们展示了攻击的泛化，以创建补丁，实现比现有的最先进的方法更高的攻击成功率。我们的研究结果显示了攻击对不同视觉分类任务（CIFAR-10，GTSRB，PubFig）和多个最先进的深度神经网络（如WideResnet 50，Inception-V3和VGG-16）的可推广性。
2022-07-26 cs.CR cs.CV
PatchGuard++: Efficient Provable Attack Detection against Adversarial Patches
Princeton University（普林斯顿大学）
对抗补丁可以任意操纵图像像素在一个有限的区域，以诱导模型误分类。这种局部化攻击的威胁已经引起了极大的关注，因为对手可以通过将补丁附加到受害者对象来发起物理上可实现的攻击。最近的可证明鲁棒的防御通常遵循PatchGuard框架，使用具有小感受野的CNN和安全特征聚合来进行鲁棒的模型预测。在本文中，我们将PatchGuard扩展到PatchGuard++，用于可证明地检测对抗补丁攻击，以提高可证明的鲁棒准确性和干净准确性。在PatchGuard++中，我们首先使用具有小感受野的CNN进行特征提取，以便限制被对抗补丁损坏的特征数量。接下来，我们在特征空间中应用掩码，并在所有可能的掩码特征映射上评估预测。最后，我们从所有掩码预测中提取一个模式来捕获对抗补丁攻击。我们在ImageNet（ImageNet的10类子集），ImageNet和CIFAR-10上评估了PatchGuard++，并证明PatchGuard++显着提高了可证明的鲁棒性和干净的性能。
2021-04-26 cs.CV
Fight Fire with Fire: Combating Adversarial Patch Attacks using Pattern-randomized Defensive Patches
School of Information, Renmin University of China（中国人民大学信息学院）
本文提出一种以攻为守的对抗性补丁防御方法，通过注入随机化的金丝雀和啄木鸟补丁来探测和反击攻击，无需修改模型，且对未知和自适应攻击均表现出高鲁棒性和低开销。
2024-11-08 cs.CV
Harnessing Perceptual Adversarial Patches for Crowd Counting
Beihang University（北京航空航天大学）；Zhongguancun Laboratory（中关村实验室）；Johns Hopkins University（约翰斯·霍普金斯大学）；JD Explore Academy（京东探索研究院）；The University of Sydney（悉尼大学）
已被广泛用于估计安全关键场景中的人数的人群计数被证明易受物理世界中的对抗性示例（例如，对抗补丁）。虽然有害，但对抗性示例对于评估和更好地理解模型鲁棒性也很有价值。然而，现有的对抗性人群计数示例生成方法在不同的黑盒模型之间缺乏很强的可移植性，这限制了它们在现实世界系统中的实用性。基于攻击可转移性与模型不变特征正相关的事实，提出了感知对抗补丁（PAP）生成框架，利用模型共享感知特征对人群计数场景中的对抗扰动进行定制。具体来说，我们手工制作一个自适应人群密度加权方法来捕获不同模型的不变尺度感知特征，并利用密度引导注意力来捕获模型共享的位置感知。这两个都被证明可以提高我们的对抗补丁的攻击转移性。大量的实验表明，我们的PAP可以在数字和物理世界中实现最先进的攻击性能，并大大优于以前的提案（最多+685.7 MAE和+699.5 MSE）。此外，我们还通过经验证明，使用PAP进行对抗性训练可以使vanilla模型的性能受益，从而减轻人群计数场景中的几个实际挑战，包括跨数据集的泛化（高达-376.0 MAE和-354.9 MSE）以及对复杂背景的鲁棒性（高达-10.3 MAE和-16.4 MSE）。
2022-09-09 cs.CV
APRICOT: A Dataset of Physical Adversarial Attacks on Object Detection
The MITRE Corporation（米特公司）
本文提出包含1000多张标注照片的物理对抗攻击数据集APRICOT，分析了物理对抗补丁对目标检测模型的攻击效果，并建立了多种防御方法的基线，为相关研究提供基准。
2020-08-20 cs.CV
Physical Attack on Monocular Depth Estimation with Optimal Adversarial Patches
Purdue University（普渡大学）；Rochester Institute of Technology（罗切斯特理工学院）
深度学习大大提高了单目深度估计（MDE）的性能，MDE是完全基于视觉的自动驾驶（AD）系统（例如，Tesla和Toyota）。在这项工作中，我们开发了一个攻击基于学习的MDE。特别是，我们使用基于优化的方法来系统地生成隐身的面向物理对象的对抗补丁来攻击深度估计。我们通过面向对象的对抗性设计、敏感区域定位和自然风格的伪装来平衡攻击的隐身性和有效性。使用真实世界的驾驶场景，我们评估了我们对并发MDE模型和AD的代表性下游任务（即，3D目标检测）。实验结果表明，该方法能够针对不同的目标对象和模型生成隐身、有效和鲁棒的对抗性补丁，在车辆后方1/9的补丁下，目标检测的平均深度估计误差大于6 m，攻击成功率（ASR）达到93%。实车在三条不同行驶路线上的实地测试表明，该算法在连续视频帧中的平均深度估计误差超过6 m，目标检测目标检测率从90.70%降低到5.16%。
2022-07-11 cs.CV
