Adversarial Defense by Latent Style Transformations
CSIRO’s Data61（澳大利亚联邦科学与工业研究组织Data61）；Monash University（莫纳什大学）
机器学习模型已经证明了对对抗攻击的脆弱性，更具体地说，是对对抗示例的错误分类。在本文中，我们研究了一个攻击不可知防御对抗攻击的高分辨率图像检测可疑输入。我们的方法背后的直觉是，正常图像的基本特征通常与非基本样式转换一致，例如，稍微改变人像的面部表情。相反，对抗性示例通常对这种转换敏感。在我们的方法来检测敌对的情况下，我们提出了一个在\underline{V} ertible \underline{A} utoencoder的基础上的\underline{S} tyleGAN2生成器通过\underline{A}对抗训练（VASA），以逆图像解开潜在代码，揭示层次风格。然后，我们建立了一组编辑的副本与非必要的风格转换，通过执行潜在的移位和重建，基于潜代码和风格转换之间的对应关系。这些编辑副本的基于分类的一致性用于区分对抗实例。
2022-02-22 cs.CV cs.LG
Latent Network Embedding via Adversarial Auto-encoders
Beijing University of Technology（北京工业大学）；University of Chinese Academy of Sciences（中国科学院大学）
图自动编码器已被证明是有用的网络嵌入任务。然而，目前的模型只考虑了显式结构，没有探索信息的潜在结构中凝聚在网络。为了解决这个问题，我们提出了一个潜在的网络嵌入模型的基础上对抗图自动编码器。在此框架下，发现潜在结构的问题被公式化为推断的潜在关系，从部分观察。一个潜在的传输矩阵，描述了现有的优势和潜在的关系，来自基于影响级联通过模拟网络上的扩散过程进行采样。此外，由于推理过程可能会带来额外的噪声，我们引入了对抗性训练，作为正则化来去除噪声，提高模型的鲁棒性。在链接预测和节点分类任务上的大量实验表明，与基线模型相比，该模型取得了更好的结果。
2021-09-30 cs.LG cs.SI
Improving Robustness of Malware Classifiers using Adversarial Strings Generated from Perturbed Latent Representations
Czech Technical University in Prague（布拉格捷克理工大学）
在恶意软件行为分析中，访问和创建的文件列表通常指示所检查的文件是恶意的还是良性的。然而，恶意软件作者试图通过生成随机文件名和/或用新版本的恶意软件修改使用的文件名来避免检测。这些变化代表了现实世界的对抗性例子。这项工作的目标是生成真实的对抗性示例，并提高分类器对这些攻击的鲁棒性。我们的方法以无监督的方式学习输入字符串的潜在表示，并在潜在域中使用基于梯度的对抗攻击方法来生成输入域中的对抗示例。我们使用这些例子来提高分类器的鲁棒性，通过训练生成的对抗性字符串集。与只在扰动的潜在向量上训练的分类器相比，我们的方法产生的分类器明显更鲁棒，而不会在标准精度上有很大的权衡。
2021-10-22 cs.CR cs.LG
Harnessing the Vulnerability of Latent Layers in Adversarially Trained Models
Adobe Inc（奥多比公司）；IIT Hyderabad（印度理工学院海得拉巴分校）
神经网络很容易受到对抗攻击--视觉上难以察觉的精心制作的小噪声，当添加到输入中时，会大大改变输出。防御这些对抗攻击的最有效方法是使用对抗训练的方法。我们分析了对抗性训练的鲁棒模型，以研究它们在潜在层水平上对对抗攻击的脆弱性。我们的分析表明，相反的输入层，这是强大的对抗攻击，这些强大的模型的潜在层是非常容易受到小幅度的对抗扰动。利用这些信息，我们引入了一种新技术潜在对抗训练（LAT），该技术包括微调对抗训练的模型，以确保特征层的鲁棒性。我们还提出了潜在攻击（LA），一种用于构建对抗性示例的新算法。LAT导致测试准确性的微小改善，并导致针对MNIST，CIFAR-10，CIFAR-100数据集显示的通用一阶对抗PGD攻击的最先进的对抗准确性。
2019-06-25 cs.CR cs.CV cs.LG
Generating Out of Distribution Adversarial Attack using Latent Space Poisoning
Bharati Vidyapeeth’s College of Engineering（巴拉蒂维迪佩斯工程学院）；IIT Delhi（印度理工学院德里分校）
传统的对抗攻击依赖于由来自网络的梯度生成的扰动，这些扰动通常由梯度引导搜索来保护，以向网络提供对抗对应物。在本文中，我们提出了一种新的生成对抗性示例的机制，其中实际图像没有被损坏，而是利用其潜在空间表示来篡改图像的固有结构，同时保持感知质量不变，并作为合法的数据样本。与基于梯度的攻击相反，潜在空间中毒利用分类器对训练数据集的独立和相同分布进行建模的倾向，并通过产生分布样本来欺骗它。我们训练一个解开的变分自编码器（β-VAE）来模拟潜在空间中的数据，然后我们使用类条件分布函数添加噪声扰动的潜在空间的约束下，它是错误分类的目标标签。我们在MNIST，SVHN和CelebA数据集上的实证结果验证了生成的对抗性示例可以很容易地欺骗使用可证明的鲁棒防御机制设计的鲁棒l_0，l_2，l_inf范数分类器。
2022-03-05 cs.CV cs.LG
LatentPoison - Adversarial Attacks On The Latent Space
Imperial College London（帝国理工学院）
机器学习（ML）系统的鲁棒性和安全性交织在一起，其中非鲁棒ML系统（分类器、回归器等）可能会受到使用各种漏洞的攻击。随着可扩展的深度学习方法的出现，监督、无监督和强化学习算法的鲁棒性受到了很多重视。在这里，我们研究了一个深度变分自编码器（dVAE），一个无监督的生成框架的潜在空间的鲁棒性，以表明它确实有可能扰动潜在空间，翻转类预测，并保持分类概率近似相等的攻击前后。这意味着查看解码器输出的代理将保持对攻击的遗忘。
2017-11-08 cs.CR cs.LG
Regularization with Latent Space Virtual Adversarial Training
Philips Co-Creation Center（飞利浦共创中心）；University of Tsukuba（筑波大学）；I Dragon Corporation（I Dragon公司）；The Tokyo Foundation for Policy Research（东京政策研究基金会）；Lowe’s Services India Pvt. Ltd.（劳氏印度服务私人有限公司）
虚拟对抗训练（VAT）在最近开发的正则化方法（称为一致性正则化）中显示出令人印象深刻的结果。VAT利用对抗样本，通过在输入空间中注入扰动生成，用于训练，从而增强分类器的泛化能力。然而，这样的对抗样本只能在输入数据点周围的非常小的区域内生成，这限制了这样的样本的对抗有效性。为了解决这个问题，我们提出了LVAT（潜在空间增值税），它注入扰动的潜在空间，而不是输入空间。LVAT可以灵活地生成对抗样本，从而产生更多的不利影响，从而更有效地进行正则化。潜在空间是由生成模型构建的，在本文中，我们研究了两种不同类型的模型：变分自动编码器和归一化流，特别是Glow。我们使用SVHN和CIFAR-10数据集评估了我们的方法在图像分类任务的监督和半监督学习场景中的性能。在我们的评估中，我们发现我们的方法优于VAT和其他最先进的方法。
2022-12-24 cs.CV cs.LG
Generating Adversarial Attacks in the Latent Space
Chennai Mathematical Institute（金奈数学研究所）
本文提出使用生成对抗网络在潜在特征空间中注入对抗扰动，摆脱了传统输入空间中基于噪声裕度的先验限制，并在多个数据集上验证了该方法生成对抗攻击的有效性与高度的视觉真实性。
2023-04-10 cs.CR cs.CV cs.LG
Towards Speeding up Adversarial Training in Latent Spaces
School of Big-Data Science, Zhejiang University of Science and Technology（浙江科技大学大数据学院）；Hangzhou Hikvision Digital Technology Co., Ltd.（杭州海康威视数字技术股份有限公司）；College of Computer Science and Technology, Zhejiang University（浙江大学计算机科学与技术学院）；School of Computer Science and Technology, Huizhou University（惠州学院计算机科学与技术学院）；Cyberspace Institute of Advanced Technology, Guangzhou University（广州大学先进技术网络空间学院）；CY Cergy Paris University（赛吉巴黎大学）
对抗性训练被广泛认为是防御对抗性示例的最有效方法之一。然而，现有的对抗训练方法消耗难以忍受的时间，因为它们需要在大的输入空间中生成对抗样本。为了加快对抗训练，我们提出了一种新的对抗训练方法，它不需要生成真实的对抗示例。通过向logits添加扰动来生成内生对抗性示例（EAE）--潜在空间中的对抗性示例，可以避免耗时的梯度计算。在CIFAR-10和ImageNet上进行了大量的实验，结果表明，与现有方法相比，我们的EAE对抗训练不仅缩短了训练时间，而且增强了模型的鲁棒性，并且对干净示例的准确性影响较小。
2021-03-09 cs.AI cs.LG
Latent Policies for Adversarial Imitation Learning
University of California, San Diego（加州大学圣地亚哥分校）
本文认为学习机器人运动和操作任务的专家演示。生成对抗性模仿学习（GAIL）训练区分专家和代理转换的鉴别器，然后使用鉴别器输出定义的奖励来优化代理的策略生成器。这种生成式对抗训练方法非常强大，但取决于训练器和生成器训练之间的微妙平衡。在高维问题中，训练可能很容易过度拟合或利用与任务无关的特征的关联进行转换分类。这项工作的一个关键见解是，在合适的潜在任务空间中执行模仿学习可以使训练过程稳定，即使在具有挑战性的高维问题中也是如此。我们使用一个动作编码器-解码器模型来获得一个低维的潜在动作空间，并使用对抗性模仿学习（LAPAL）来训练一个潜在策略。编码器-解码器模型可以从状态-动作对离线训练以获得任务不可知的潜在动作表示，或者在线训练，同时进行编码器和生成器训练，以获得任务感知的潜在动作表示。我们证明了LAPAL训练是稳定的，具有接近单调的性能改进，并且在大多数运动和操作任务中实现了专家性能，而GAIL基线收敛较慢，并且在高维环境中没有实现专家性能。
2022-06-22 cs.LG cs.RO
On the Adversarial Robustness of Generative Autoencoders in the Latent Space
Xi’an Jiaotong University（西安交通大学）
本文首次研究生成式自编码器在潜在空间中的对抗鲁棒性，通过潜在空间攻击揭示VAEs的脆弱性，比较变分与确定性变体的鲁棒性差异，并验证对抗训练可提升潜在鲁棒性。
2023-07-05 cs.AI cs.CR cs.LG
Variational Inference with Latent Space Quantization for Adversarial Resilience
SigTuple Technologies（SigTuple科技公司）；Indian Institute of Technology Delhi（印度理工学院德里分校）
尽管深度神经网络在对高维数据流形建模方面取得了巨大的成功，但它们仍受到对抗攻击的威胁-通过仔细扰动获得的感知有效的输入类样本的存在，导致底层模型的性能下降。现有防御机制的主要问题包括不同攻击、模型和大量推理时间的不可推广性。在本文中，我们提出了一个广义的防御机制，利用正则化的潜在空间的生成模型的表达能力。我们设计了一个对抗过滤器，没有访问分类器和对手，这使得它可以与任何分类器串联使用。其基本思想是从数据流形学习Lipschitz约束映射，将对抗性扰动引入到量化的潜在空间，并将其重新映射到真实的数据流形。具体来说，我们同时自动编码的数据流形和它的扰动隐式通过扰动的正则化和量化生成的潜在空间，实现变分推理。我们证明了所提出的配方在提供针对多种攻击类型（黑盒和白盒）和方法的弹性方面的有效性，同时几乎是实时的。我们的实验表明，所提出的方法超越了国家的最先进的技术在几种情况下。
2019-09-06 cs.CV cs.LG
Exploring Adversarial Examples via Invertible Neural Networks
Purdue University（普渡大学）
对抗性样本（AE）是可以通过向原始图像中引入轻微扰动来误导深度神经网络（DNN）分类器的图像。这种安全漏洞近年来引发了广泛的研究，因为它可以将现实世界的威胁引入依赖神经网络的系统。然而，对对抗性例子的特征的深刻理解仍然难以捉摸。我们提出了一种新的方式来实现这种理解，通过最近的发展，即可逆的神经模型与Lipschitz连续映射函数从输入到输出。通过将任何潜在表示反转回其对应的输入图像的能力，我们可以在更深层次上研究对抗性示例，并解开对抗性示例的潜在表示。鉴于这种新的视角，我们提出了一种快速的潜在空间对抗性示例生成方法，可以加速对抗性训练。此外，这种新的视角可能有助于对抗性示例检测的新方法。
2020-12-24 cs.CR cs.LG
Assessing Adversarial Robustness of Latent Reasoning Models
Yuanpei College, Peking University（北京大学元培学院）；CISPA Helmholtz Center for Information Security（CISPA亥姆霍兹信息安全中心）
本研究系统评估了潜在推理模型在文本和多模态场景下的对抗鲁棒性，发现其普遍不如显式CoT基线，尤其在白盒攻击下性能严重下降，并揭示了不同模态的失败模式，强调设计隐式推理系统需兼顾效率与鲁棒性。
2026-09-22 cs.CL cs.LG stat.ML
Generative Model Adversarial Training for Deep Compressed Sensing
University of Central Florida（中佛罗里达大学）
深度压缩感知假设数据在潜在空间中具有稀疏表示，即，它本质上是低维。原始数据被假设为通过低维到高维的生成器从低维空间映射。在这项工作中，我们提出了如何设计这样一个低到高维的基于深度学习的生成器适合压缩感知，同时满足鲁棒性普遍对抗扰动的潜在域。我们还证明了为什么噪音被认为是在潜在的空间。这项工作也支持与理论分析的鲁棒性训练的发电机对抗扰动。在真实数据集上的实验证实了所提出的\emph{generative model adversarial training for deep compressed sensing.}的有效性
2021-06-20 cs.LG eess.IV
AdversariaL attacK sAfety aLIgnment(ALKALI): Safeguarding LLMs through GRACE: Geometric Representation-Aware Contrastive Enhancement- Introducing Adversarial Vulnerability Quality Index (AVQI)
Manipal University（马尼帕尔大学）；GGSI University（GGSI大学）；IIITDM Kancheepuram（坎奇普拉姆印度信息技术设计制造学院）；Meta AI；Amazon（亚马逊）；BITS Goa（果阿比尔拉理工学院）
该研究构建含 9,000 条提示的 ALKALI 对抗基准，揭示 LLM 的潜在伪装盲点，并提出 GRACE 几何对比对齐框架与 AVQI 指标，最高降低 39% ASR。
2025-09-28 cs.CL cs.LG
AFD: Mitigating Feature Gap for Adversarial Robustness by Feature Disentanglement
Xidian University（西安电子科技大学）；Chongqing University of Posts and Telecommunications（重庆邮电大学）
针对对抗微调中自然与对抗样本最后隐藏层特征差距增大的问题，本文提出AFD，通过特征解耦器分离并消除对抗样本的特定潜在特征，同时对齐干净特征，在三个基准上取得优于现有方法的鲁棒性。
2024-12-10 cs.AI cs.CV cs.LG
Adversarial Neural Pruning with Latent Vulnerability Suppression
KAIST（韩国科学技术院）；AITRICS
尽管深度神经网络在各种计算机视觉任务上表现出色，但众所周知，它们容易受到对抗性扰动的影响，这使得将它们部署在现实世界的安全关键型应用中具有挑战性。在本文中，我们推测对抗脆弱性的主要原因是潜在特征空间的失真，并提供有效抑制它们的方法。解释一下，我们为每个潜在特征定义了\emph{vulnerability}，然后提出了一个新的对抗学习损失，\emph{Vulnerability Suppression (VS)}损失，旨在最大限度地减少训练过程中的特征级漏洞。我们进一步提出了一个贝叶斯框架来修剪具有高脆弱性的特征，以减少对抗样本的脆弱性和损失。我们在多个基准数据集上验证了我们的\emph{Adversarial Neural Pruning with Vulnerability Suppression (ANP-VS)}方法，在这些数据集上，它不仅获得了最先进的对抗鲁棒性，而且还提高了干净示例的性能，仅使用了整个网络使用的一小部分参数。进一步的定性分析表明，这些改进来自对特征级脆弱性的抑制。
2020-07-02 cs.CR cs.CV cs.LG
LatentBreak: Jailbreaking Large Language Models through Latent Space Feedback
University of Cagliari（卡利亚里大学）；Centre for AI Governance（人工智能治理中心）；Foundation AI – Cisco Systems Inc.（AI基金会——思科系统公司）
针对现有越狱攻击易被基于困惑度的过滤检测的问题，本文提出白盒攻击LatentBreak，通过最小化潜在空间距离来替换词语生成低困惑度自然对抗提示，在多个安全模型上有效规避防御并优于现有算法。
2025-10-30 cs.AI cs.CL cs.LG
Inference Time Evidences of Adversarial Attacks for Forensic on Transformers
Osaka University（大阪大学）
视觉Transformer（ViTs）正在成为视觉任务的一个非常流行的范例，因为它们在图像分类上实现了最先进的性能。然而，尽管早期的作品暗示这种网络结构增加了对对抗攻击的鲁棒性，但一些作品认为ViTs仍然很脆弱。本文介绍了我们的第一次尝试，在推理时间使用网络的输入和输出以及潜在的功能检测对抗攻击。我们设计了基于ViT的模型的输入、输出和潜在向量的四个量化（或衍生物），这些量化提供了推理的签名，这可能有利于攻击检测，并根据经验研究了它们在干净样本和对抗样本上的行为。结果表明，来自输入（图像）和输出（后验概率）的量化对于区分干净样本和对抗样本是有希望的，而潜向量提供的区分能力较低，尽管它们提供了对抗扰动如何工作的一些见解。
2023-01-31 cs.CV cs.LG
Adversarial Attacks to Latent Representations of Distributed Neural Networks in Split Computing
Institute for the Wireless Internet of Things at Northeastern University（东北大学无线物联网研究所）；Air Force Research Laboratory（空军研究实验室）
该研究针对分布式DNN对抗攻击韧性研究空白，从信息论角度证明潜在维度、拆分点与鲁棒性的权衡关系，并通过多架构、多方法、多攻击的ImageNet-1K实验验证，为鲁棒分布式DNN设计提供新视角。
2025-10-01 cs.AI cs.LG
Generalizable Adversarial Attacks with Latent Variable Perturbation Modelling
McGill University（麦吉尔大学）；Mila
对深度神经网络的对抗攻击传统上依赖于约束优化范式，其中优化过程用于获得给定输入示例的单个对抗性扰动。在这项工作中，我们将问题定义为学习对抗性扰动的分布，使我们能够在给定未扰动输入的情况下生成不同的对抗性分布。我们表明，这个框架是域不可知的，在相同的框架可以用来攻击不同的输入域，以最小的修改。在三个不同的领域-图像，文本和图形-我们的方法生成白盒攻击的成功率是有竞争力的或优于现有的方法，与一个新的国家的最先进的实现在图形域。最后，我们证明了我们的框架可以有效地生成一个不同的攻击集为一个单一的输入，甚至能够攻击\textit{unseen}测试实例中的zero-shot的方式，表现出攻击泛化。
2020-01-20 cs.CR cs.LG stat.ML
MS2MetGAN: Latent-space adversarial training for metabolite-spectrum matching in MS/MS database search
MS2MetGAN通过生成对抗网络生成负样本，提升代谢物鉴定准确性，采用自编码器学习潜空间表示，实现代谢物-质谱匹配。
2026-03-07 cs.IR cs.LG q-bio.QM
Generating Semantic Adversarial Examples via Feature Manipulation
CSIRO’s Data61（联邦科学与工业研究组织Data61）；Monash University（莫纳什大学）；University of Melbourne（墨尔本大学）
深度神经网络对对抗攻击的脆弱性已经得到了广泛的证明（例如，对抗性示例攻击）。传统的攻击执行非结构化的逐像素扰动来欺骗分类器。另一种方法是在潜在空间中进行扰动。然而，由于缺乏可解释性和解纠缠，这种扰动很难控制。在本文中，我们提出了一个更实际的对抗攻击，通过设计结构化的扰动与语义。我们所提出的技术操纵图像的语义属性，通过解开潜在的代码。我们的技术背后的直觉是，类似领域的图像具有一些共同共享但与主题无关的语义属性，例如手写数字中线条的粗细，这些属性可以双向映射到解开的潜在代码。我们通过操纵这些潜在代码的单个或组合来生成对抗性扰动，并根据潜在代码的复杂性和重建图像的平滑性，提出了两种无监督的语义操纵方法：基于矢量的解纠缠表示和基于特征图的解纠缠表示。我们对真实世界的图像数据进行了广泛的实验评估，以证明我们对黑盒分类器的攻击能力。我们进一步证明了存在一个普遍的，图像不可知的语义对抗的例子。
2022-05-20 cs.CR cs.LG stat.ML
Transferring Adversarial Robustness Through Robust Representation Matching
Stony Brook University（石溪大学）；IBM（国际商业机器公司）
随着机器学习的广泛使用，对其安全性和可靠性的担忧变得普遍。因此，许多人已经开发出防御措施来强化神经网络，以对抗对抗性示例，即被可靠地错误分类的不知不觉地扰动的输入。对抗性训练是为数不多的能够可靠地抵御针对神经网络的此类攻击的已知防御方法之一，其中在训练期间生成并使用对抗性示例。然而，对抗性训练会带来显著的训练开销，并且随着模型复杂性和输入维度的变化而变化。在本文中，我们提出了鲁棒表示匹配（RRM），这是一种低成本的方法，可以将对抗训练模型的鲁棒性转移到针对相同任务训练的新模型中，而不管架构差异如何。受师生学习的启发，我们的方法引入了一种新颖的训练损失，鼓励学生学习教师的鲁棒表示。与以前的作品相比，RRM在模型性能和对抗训练时间方面都更优越。在CIFAR-10上，RRM训练一个健壮的模型$\sim 1.8\times$的速度比最先进的。此外，RRM在高维数据集上仍然有效。在Restricted-ImageNet上，RRM训练ResNet 50模型$\sim 18\times$的速度比标准对抗训练更快。
2022-05-05 cs.CR cs.CV cs.LG
Adversarial robustness for latent models: Revisiting the robust-standard accuracies tradeoff
University of Southern California（南加州大学）
在过去的几年中，已经提出了几种对抗性训练方法来提高机器学习模型对输入中的对抗性扰动的鲁棒性。尽管在这方面取得了显着的进展，对抗性训练经常被观察到降低标准测试的准确性。这种现象引起了研究界的兴趣，以调查标准的准确性（a.k.a泛化）和鲁棒的准确性（a.k.a鲁棒泛化）作为两个性能指标之间的潜在权衡。在本文中，我们重新审视了这种权衡的潜在模型，并认为这种权衡是减轻数据享有低维结构。特别地，我们考虑了两种数据生成模型下的二进制分类，即高斯混合模型和广义线性模型，其中特征数据位于低维流形上。我们开发了一个理论表明，低维流形结构允许一个获得的模型，几乎是最佳的两个方面，标准的精度和鲁棒的精度措施。我们进一步证实了我们的理论与几个数值实验，包括混合因子分析器（MFA）模型在MNIST数据集上训练。
2022-04-01 cs.LG math.ST stat.ML
Latent Adversarial Training Improves the Representation of Refusal
Apart Research（Apart研究）
研究LAT对语言模型拒绝行为表示的影响，发现LAT将拒绝表示集中于前两个SVD组件，提高了跨模型攻击鲁棒性但增加了自生成攻击的脆弱性。
2025-04-26 cs.CL cs.LG
Target-free Latent Safety Alignment
University of Technology Sydney（悉尼科技大学）；Southeast University（东南大学）；Nanjing University of Posts and Telecommunications（南京邮电大学）
针对现有对抗训练生成有害行为同质化的问题，提出无目标对抗训练框架，通过放大潜在空间行为偏移生成语义多样对抗样本，以语义熵度量多样性，提升对越狱攻击的鲁棒性。
2026-10-06 cs.AI cs.LG
Unifying Image Counterfactuals and Feature Attributions with Latent-Space Adversarial Attacks
Department of Statistics, University of California, Berkeley（加州大学伯克利分校统计学系）；Department of Statistics and Data Science, University of Pennsylvania（宾夕法尼亚大学统计学与数据科学系）
本文提出反事实攻击方法，通过在潜在空间进行对抗攻击生成反事实图像，并结合特征归因提供全局解释，在MNIST和CelebA数据集上验证了其有效性。
2025-04-21 cs.CV cs.LG
Defending Against Unforeseen Failure Modes with Latent Adversarial Training
MIT CSAIL（麻省理工学院计算机科学与人工智能实验室）；Columbia University（哥伦比亚大学）；Harvard University（哈佛大学）
针对AI系统存在未预见有害故障模式、现有对抗训练难以防御未知攻击的问题，提出利用潜在对抗训练（LAT），基于网络潜在表示在无触发样本下清除后门、防御未知攻击，在多任务中相较AT同时提升鲁棒性与干净数据性能。
2025-07-29 cs.AI cs.CR cs.LG
Latent Geometric Chords for Query-Efficient Decision-Based Adversarial Attacks
提出潜在几何和弦（LGC）方法，通过曲率感知的几何搜索在压缩语义流形中导航决策边界，并引入残差对抗生成（RAG）机制以高视觉保真度实现查询高效的决策型黑盒对抗攻击。
2026-06-11 cs.CR cs.CV cs.LG
Semantic Autoencoder and Its Potential Usage for Adversarial Attack
自动编码器可以对输入数据进行适当的潜在表示，但这种仅基于输入数据内在属性的表示往往不足以表达某些语义信息。一个典型的情况是，在对这些表示进行聚类时可能无法形成清晰的边界。通过编码的潜在表示，不仅取决于输入数据的内容，但也输入数据的语义，如标签信息，我们提出了一个增强的自动编码器架构命名为语义自动编码器。通过t-SNE的表示分布的实验表明，这两种类型的编码器之间有明显的区别，并确认了语义的至高无上的，而这两种类型的自动编码器的解码样本表现出微弱的差异，无论是客观上还是主观上。基于这一观察，我们认为对抗攻击依赖于通过自动编码器获得的潜在表示的学习算法。结果表明，在语义编码器中引入错误标签信息后，对抗样本的潜在内容与原始输入数据的潜在内容呈现不同的分布，但两者的差异都很小。由于需要保护广泛的深度学习应用，我们的工作建立的这种新的攻击方式值得关注。
2022-05-31 cs.CR cs.LG
Natural Adversarial Examples
UC Berkeley（加州大学伯克利分校）；University of Washington（华盛顿大学）；UChicago（芝加哥大学）
我们引入了两个具有挑战性的数据集，这些数据集可靠地导致机器学习模型性能大幅下降。这些数据集是用一种简单的对抗性过滤技术收集的，以创建具有有限虚假线索的数据集。我们的数据集的真实世界，未经修改的例子可靠地转移到各种看不见的模型，这表明计算机视觉模型有共同的弱点。第一个数据集称为ImageNet-A，类似于ImageNet测试集，但它对现有模型更具挑战性。我们还策划了一个名为ImageNet-O的对抗性分布外检测数据集，这是为ImageNet模型创建的第一个分布外检测数据集。在ImageNet-A上，DenseNet-121获得了约2%的准确度，准确度下降约90%，并且其在ImageNet-O上的分布外检测性能接近随机机会水平。我们发现，现有的数据增强技术很难提高性能，使用其他公共训练数据集提供的改进有限。然而，我们发现，计算机视觉架构的改进提供了一个有前途的道路走向强大的模型。
2021-03-04 cs.CV cs.LG stat.ML
Deep Latent Defence
Imperial College London（帝国理工学院）；Airbus（空中客车公司）
深度学习方法在从计算机视觉到自然语言处理的一系列任务中表现出了最先进的性能。然而，众所周知的是，这样的系统容易受到攻击者的攻击，这些攻击者精心制作输入以引起错误分类。攻击者为了引起这种错误分类而需要引入的扰动水平可以非常小，并且通常是不可感知的。这是一个重大的安全问题，特别是在错误分类可能对人类造成伤害的情况下。因此，我们提出了Deep Latent Defense，这是一种旨在将对抗训练与检测系统相结合的架构。深度潜伏防御的核心是一个经过对抗训练的神经网络。一系列编码器在数据通过网络时获取数据的中间层表示，并将其投影到一个潜在空间，我们使用该空间通过$k$ -nn分类器检测对抗样本。我们目前的结果使用灰盒和白盒攻击者，以及自适应$L_{\infty}$有界攻击，这是专门为尝试和逃避我们的防御。我们发现，即使在我们研究过的最强攻击者模型下，我们的防御也能够提供显着的防御优势。
2020-09-27 cs.LG stat.ML
Metrics and methods for robustness evaluation of neural networks with generative models
ITMO University（圣彼得堡国立信息技术机械与光学大学）；Aalto University（阿尔托大学）；Northeastern University（东北大学）
最近的研究表明，现代深度神经网络分类器很容易被愚弄，假设对手能够稍微修改它们的输入。许多论文已经提出了对抗攻击、防御和方法来测量对这种对抗扰动的鲁棒性。然而，大多数通常认为的对抗性示例都是基于神经网络的输入空间中的$\ell_p$有界扰动，这不太可能自然出现。近年来，特别是在计算机视觉中，研究人员发现了“自然”或“语义”扰动，例如旋转、亮度变化或更高级别的变化，但这些扰动尚未被系统地用于测量分类器的性能。在本文中，我们提出了几个度量分类器的鲁棒性自然对抗的例子，和方法来评估他们。这些指标称为潜在空间性能指标，基于生成模型捕获概率分布的能力，并在其潜在空间中定义。在三个图像分类的案例研究中，我们评估了几个分类器，包括传统的和强大的方式训练的建议指标。我们发现，对抗鲁棒性的潜在对应物与分类器的准确性相关，而不是其传统的对抗鲁棒性，但后者仍然反映在发现的潜在扰动的属性上。此外，我们发现潜在对抗性扰动的新方法表明，这些扰动通常在感知上很小。
2020-03-15 cs.CV cs.LG stat.ML
REALISTA: Realistic Latent Adversarial Attacks that Elicit LLM Hallucinations
University of Waterloo（滑铁卢大学）
提出REALISTA框架，通过潜在空间优化语义等价的对抗提示，有效引发大语言模型幻觉，优于现有方法。
2026-05-31 cs.AI cs.CL cs.CR
Denoising Adversarial Autoencoders
BICV Imperial College London（伦敦帝国理工学院BICV）
无监督学习越来越受到人们的关注，因为它释放了大量未标记数据中的潜力，以学习有用的表示进行推理。自动编码器是生成模型的一种形式，可以通过学习从潜在表示空间重建未标记的输入数据来训练。如果自动编码器学会从损坏的输入样本中恢复干净的输入样本，则它可以产生更鲁棒的表示。可以通过在训练期间引入正则化来进一步改进表示，以形成潜在空间中的编码数据的分布。我们建议去噪对抗性自动编码器，它结合了去噪和正则化，使用对抗性训练来塑造潜在空间的分布。我们引入了一种新的分析，展示了如何将去噪纳入对抗性自动编码器的训练和采样中。进行实验，以评估的贡献，去噪表示分类和样本合成的学习。我们的研究结果表明，使用去噪标准训练的自动编码器实现了更高的分类性能，并且可以合成与输入数据更一致的样本，而不是没有腐败过程的样本。
2018-01-04 cs.CV cs.LG stat.ML
Deep adversarial neural decoding
Radboud University（拉德堡德大学）
在这里，我们提出了一种新的方法，通过结合概率推理和深度学习来解决从大脑反应中重建感知刺激的问题。我们的方法首先用最大后验估计反转从潜在特征到大脑响应的线性变换，然后用卷积神经网络的对抗训练反转从感知刺激到潜在特征的非线性变换。我们用功能性磁共振成像实验测试了我们的方法，并表明它可以从大脑激活中生成最先进的感知面部重建。
2017-06-15 cs.LG q-bio.NC stat.ML
Efficient Semi-Supervised Adversarial Training via Latent Clustering-Based Data Reduction
CISPA Helmholtz Center for Information Security（CISPA信息安全赫尔姆霍兹中心）
本文提出基于潜在聚类的数据减少方法，有效降低半监督对抗训练的数据和计算需求，同时保持鲁棒性优势。
2026-03-07 cs.AI cs.CR cs.CV
Efficient Safety Alignment of Language Models via Latent Personality Traits
Mila, Quebec AI Institute（米拉，魁北克人工智能研究所）；McGill University（麦吉尔大学）；LawZero；Université de Montréal（蒙特利尔大学）
研究针对大语言模型安全方法易受攻击问题，提出潜在人格对齐（LPA）方法，基于66条陈述训练，通过假设人格表征与避害共享结构，实现高攻击成功率、轻量级训练及良好泛化性。
2026-08-18 cs.AI cs.CL cs.CR
Latent Magic: An Investigation into Adversarial Examples Crafted in the Semantic Latent Space
Shanghai Jiao Tong University（上海交通大学）
本文提出在语义潜空间中构造对抗样本的框架，并设计了首个基于SSIM损失和欺骗率的对抗攻击质量评估指标，证明了潜空间对抗样本在欺骗率和可迁移性上优于像素空间样本。
2023-05-22 cs.LG
Latent Wasserstein Adversarial Imitation Learning
University of Illinois Urbana-Champaign（伊利诺伊大学厄巴纳-香槟分校）
本文提出LWAIL方法，通过动态感知潜在空间和ICVF训练，实现仅需少量状态示例即可达到专家级性能的模仿学习。
2026-03-05 cs.LG
Generalized Latent Variable Recovery for Generative Adversarial Networks
Massachusetts Institute of Technology（麻省理工学院）
生成对抗网络（GAN）的生成器经过训练，可以将从先验分布中提取的潜在向量转换为逼真的照片。这些潜在向量已经被证明可以对关于其对应图像的内容的信息进行编码。将输入图像投影到GAN的潜在空间上是不平凡的，但是以前的工作已经成功地执行了具有均匀先验的潜在空间的任务。我们将这些技术扩展到高斯先验的潜在空间，并证明了我们的技术的有效性。
2018-10-09 cs.LG stat.ML
Latent Adversarial Defence with Boundary-guided Generation
University of Technology Sydney（悉尼科技大学）；Data61, CSIRO（澳大利亚联邦科学与工业研究组织Data61）；The University of Sydney（悉尼大学）
深度神经网络（DNN）最近在许多任务中取得了巨大的成功，这鼓励DNN在模型共享场景中作为机器学习服务被广泛使用。然而，攻击者可以很容易地生成带有小扰动的对抗性示例，以欺骗DNN模型来预测错误的标签。为了提高共享DNN模型对对抗攻击的鲁棒性，我们提出了一种称为潜在对抗防御（LAD）的新方法。所提出的LAD方法通过对生成的对抗性示例进行对抗性训练来提高DNN模型的鲁棒性。与目前流行的攻击方法只在输入空间中生成重复模式的对抗样本不同，LAD方法通过对带有注意力机制的SVM构造的决策边界的法线方向的潜在特征进行扰动，生成大量的对抗样本。一旦生成了对抗性示例，我们就通过用生成的对抗性示例增强训练数据来对抗性地训练模型。在MNIST、SVHN和CelebA数据集上的大量实验证明了我们的模型在防御不同类型的对抗攻击方面的有效性。
2019-07-16 cs.CR cs.LG
Latent Adversarial Debiasing: Mitigating Collider Bias in Deep Neural Networks
University of Edinburgh（爱丁堡大学）；Jagiellonian University（雅盖隆大学）
对撞机偏差是样本选择偏差的一种有害形式，神经网络无法处理。当由于训练数据收集过程，潜在的因果信号与其他混杂信号强烈相关时，这种偏差表现出来。在混淆信号易于学习的情况下，深度神经网络将锁定这一点，由此产生的模型将难以推广到野外测试场景。我们在这里认为，失败的原因是神经网络的深层结构和所使用的贪婪梯度驱动学习过程的结合-一个更喜欢容易计算的信号时，可用的。我们表明，即使在100%的训练数据中存在混杂信号，也可以通过使用潜在对抗性去偏（LAD）生成偏置解耦的训练数据来减轻这种情况。通过在这些对抗性示例上训练神经网络，我们可以提高它们在对撞机偏差设置中的泛化能力。实验显示了LAD在无标记去偏中的最新性能，在背景色MNIST上的增益为76.12%，在前地色MNIST上的增益为35.47%，在损坏的CIFAR-10上的增益为8.27%。
2020-11-19 cs.LG
MaskAAE: Latent space optimization for Adversarial Auto-Encoders
IIT Delhi（德里印度理工学院）；Flipkart Internet Pvt. Ltd.（Flipkart互联网私人有限公司）；TIFR（塔塔基础研究院）
神经生成模型领域由非常成功的生成对抗网络（GANs）主导，尽管它们面临着训练不稳定性和模式坍塌等挑战。具有正则化潜在空间的自动编码器（AE）为生成模型提供了一个替代框架，尽管它们的性能水平还没有达到GANs的水平。在这项工作中，我们假设AE模型的潜在空间的维度对生成的数据的质量有着至关重要的影响。假设自然产生的数据从一个“真正的”生成的潜在空间，然后由一个确定性的功能采样，我们表明，获得最佳性能时，AE模型的潜在空间的维数与“真正的”生成的潜在空间相匹配。此外，我们提出了一种称为掩码对抗自动编码器（MaskAAE）的算法，其中对抗自动编码器的潜在空间的维度通过一个过程来掩盖虚假的潜在维度，从而更接近“真实”生成潜在空间的维度。我们证明，通过实验合成和几个真实世界的数据集，所提出的配方产生更好的生成质量。
2020-05-17 cs.CV cs.LG
Decafs: Disentangled Conditional adversarial Flows
Aalto University（阿尔托大学）；Orion Pharma（奥立安制药公司）；ARF（未提及具体中文译名，保留英文缩写）；University of Manchester（曼彻斯特大学）；Yai Yai Ltd（未提及具体中文译名，保留英文缩写）
研究针对基于流的模型潜在嵌入难解释及生成因素纠缠问题，提出基于李群的新型条件生成器，通过对抗损失使替代潜在空间与潜在流空间对齐，实现可解释条件生成，在图像和分子生成任务中性能强大。
2026-07-22 cs.LG
LOGAN: Latent Optimisation for Generative Adversarial Networks
DeepMind
训练生成对抗网络需要平衡微妙的对抗动态。即使经过仔细的调整，训练也可能会出现分歧，或者最终以放弃模式的不佳平衡而告终。在这项工作中，我们使用基于自然梯度的潜在优化来改进CS-GAN，并表明它通过增强机器人和生成器之间的交互来改善对抗动态。我们的实验表明，潜在优化可以显着改善GAN训练，获得ImageNet（$128 \times 128$）数据集的最新性能。我们的模型实现了$148$的初始得分（IS）和$3.4$的Fréchet初始距离（FID），与具有相同架构和参数数量的基线BigGAN-deep模型相比，IS和FID分别改进了$17\%$和$32\%$。
2020-07-01 cs.LG stat.ML
Bayesian Inverse Problems with Conditional Sinkhorn Generative Adversarial Networks in Least Volume Latent Spaces
University of Maryland（马里兰大学）；General Electric Vernova Advanced Research（通用电气维诺瓦先进研究院）
本文提出一种基于最小体积降维的潜条件Sinkhorn生成对抗网络框架，用于高效训练并解决高维非线性贝叶斯逆问题，在ODE参数反演和地下水流高维水力传导率反演中验证了其有效性。
2024-05-22 cs.LG
Generative Modeling of Bach-Style Symbolic Music: A Comparative Study of Autoregressive, Latent-Variable, and Adversarial Approaches
Stanford University（斯坦福大学）
比较自回归LSTM、潜变量模型和生成对抗网络在巴赫风格钢琴音乐生成中的表现，发现带注意力的自回归LSTM生成音乐最连贯，向量量化缓解后验塌陷，对抗方法捕捉局部音高但训练困难。
2026-06-15 cs.LG cs.SD
Discriminating Against Unrealistic Interpolations in Generative Adversarial Networks
Lund University（隆德大学）
深度生成模型的潜在空间中的插值是合成生成样本的语义上有意义的混合的标准工具之一。由于生成函数是非线性的，通常使用的潜在空间中的线性插值不会产生样本空间中的最短路径，从而导致非光滑插值。因此，最近的工作配备了一个合适的度量的潜在空间，以执行最短路径的流形上生成的样本。然而，这些通常容易偏离真实样本的流形，导致平滑但不切实际的生成，需要额外的方法来评估样本质量。生成对抗网络（GANs）通过构建，使用其网络来衡量样本质量。在本文中，我们建立了，可以有效地使用，以避免沿最短路径的低样本质量的区域。通过重用神经网络来修改潜在空间上的度量，我们提出了一种轻量级的解决方案，用于改进预训练GANs中的插值。
2022-03-02 cs.LG
ClusterGAN : Latent Space Clustering in Generative Adversarial Networks
University of Washington（华盛顿大学）
生成对抗网络（GANs）在许多无监督学习任务中取得了显著的成功，聚类无疑是一个重要的无监督学习问题。虽然人们可以潜在地利用GANs中的潜在空间反向投影来聚类，但我们证明了聚类结构不会保留在GAN潜在空间中。在本文中，我们提出了一种新的机制，使用GANs聚类的ChipterGAN。通过从独热编码变量和连续潜变量的混合物中采样潜变量，再加上一个逆网络（将数据投影到潜空间），并使用聚类特定损失进行联合训练，我们能够在潜空间中实现聚类。我们的研究结果显示了一个显着的现象，即GANs可以保持跨类别的潜在空间插值，即使神经网络从未暴露于此类向量。我们将我们的结果与各种聚类基线进行比较，并在合成和真实数据集上表现出卓越的性能。
2019-01-26 cs.LG stat.ML
Alleviating Adversarial Attacks on Variational Autoencoders with MCMC
Vrije Universiteit Amsterdam（阿姆斯特丹自由大学）；Universiteit van Amsterdam（阿姆斯特丹大学）
变分自编码器（VAE）是一种隐变量模型，可以生成复杂对象并提供有意义的隐表示。此外，它们还可以进一步用于下游任务，如分类。正如以前的工作所示，人们可以很容易地欺骗VAE，为视觉上稍微修改的输入产生意想不到的潜在表示和重建。在这里，我们研究了几个目标函数的对抗攻击建设提出了一个解决方案，以减轻这些攻击的影响。我们的方法利用马尔可夫链蒙特卡罗（MCMC）技术的推理步骤，我们激励与理论分析。因此，我们在训练过程中不包含任何额外的成本，并且在非攻击输入上的性能不会降低。我们在各种数据集（MNIST，Fashion MNIST，Color MNIST，CelebA）和VAE配置（$β$ -VAE，NVAE，$β$ -TCVAE）上验证了我们的方法，并表明我们的方法始终提高了模型对对抗攻击的鲁棒性。
2022-10-12 cs.LG
Precise Recovery of Latent Vectors from Generative Adversarial Networks
University of California, San Diego（加州大学圣地亚哥分校）
生成对抗网络（GANs）将潜在向量转换为视觉上合理的图像。通常认为，原始的GAN公式没有给出开箱即用的方法来反转映射，将图像投影回潜在空间。我们介绍一个简单的，基于梯度的技术称为随机裁剪。在实验中，对于由GAN生成的图像，我们100%准确地恢复了它们的潜在向量前图像。实验结果表明，该方法对噪声具有较好的鲁棒性.最后，我们表明，即使是看不见的图像，我们的方法似乎恢复独特的编码。
2017-02-17 cs.LG cs.NE stat.ML
