Distillation-Enhanced Physical Adversarial Attacks
Tsinghua University（清华大学）；Beihang University（北京航空航天大学）
针对物理对抗补丁难以兼顾隐蔽性与攻击效果的问题，提出基于对抗知识蒸馏的教师—学生补丁优化方法，在保持隐蔽的同时将攻击性能提升20%。
2025-01-04 cs.CV
Adversarial Catoptric Light: An Effective, Stealthy and Robust Physical-World Attack to DNNs
University of Electronic Science and Technology of China（电子科技大学）
本文提出了一种名为对抗性反射光（AdvCL）的新型物理世界攻击方法，利用自然反射光现象在黑盒设置下对DNNs生成隐蔽且鲁棒的对抗扰动，实验证明其在物理场景中攻击成功率达83.5%，超越基线且鲁棒性强。
2023-05-23 cs.CR cs.CV cs.LG
Stealthy Physical Masked Face Recognition Attack via Adversarial Style Optimization
The University of Sydney（悉尼大学）；University of New South Wales Canberra（新南威尔士大学堪培拉分校）；CSIRO（澳大利亚联邦科学与工业研究组织）
本文提出一种隐蔽物理蒙面人脸识别攻击方法，通过对抗风格优化训练风格口罩生成器并联合优化风格选择，实现针对人脸识别模型的有效有目标攻击。
2023-09-18 cs.CV
Adversarial Sticker: A Stealthy Attack Method in the Physical World
Institute of Artificial Intelligence, Beihang University（北京航空航天大学人工智能研究院）；Beihang University（北京航空航天大学）
为了评估深度学习在物理世界中的脆弱性，最近的工作引入了对抗补丁，并将它们应用于不同的任务。在本文中，我们提出了另一种对抗补丁：有意义的对抗贴纸，这是一种物理上可行的隐形攻击方法，使用我们生活中存在的真实贴纸。与以前通过设计扰动的对抗补丁不同，我们的方法操纵贴纸在对象上的粘贴位置和旋转角度来执行物理攻击。由于位置和旋转角度受印刷损失和颜色失真的影响较小，因此对抗性贴纸可以在物理世界中保持良好的攻击性能。此外，为了使对抗贴纸在真实场景中更实用，我们在黑盒设置中使用有限的信息进行攻击，而不是白盒设置中使用威胁模型的所有细节。为了有效地解决贴纸的参数，我们设计了基于区域的启发式差分进化算法，它利用新发现的区域聚集的有效解决方案和自适应调整策略的评价标准。我们的方法在人脸识别中得到了全面的验证，然后扩展到图像检索和交通标志识别。大量的实验表明，该方法在复杂的物理条件下是有效的和高效的，并具有很好的推广到不同的任务。
2022-12-19 cs.CV
A Unified Framework for Stealthy Adversarial Generation via Latent Optimization and Transferability Enhancement
EECE, UCAS（UCAS电子工程系）；UCAS Beijing China（UCAS北京）；IIP, ICT, CAS（中国科学院信息工程研究所）；SCST, UCAS（UCAS软件学院）；ICT, CAS Beijing China（中国科学院信息工程研究所）
针对扩散模型对抗样本生成难以泛化及传统可迁移性策略难以适配的问题，提出一个统一框架，通过图像编辑将传统可迁移性增强策略无缝融入扩散模型对抗样本生成，并在ACM MM25竞赛中获第一名。
2025-06-30 cs.CV
HOTCOLD Block: Fooling Thermal Infrared Detectors with a Novel Wearable Design
Wuhan University（武汉大学）；The University of Tokyo（东京大学）；RIISE；National Institute of Informatics（国立情报学研究所）；ETH Zurich（苏黎世联邦理工学院）
对热红外成像的对抗攻击暴露了相关应用的风险。评估这些系统的安全性对于在现实世界中安全地部署它们至关重要。在许多情况下，在物理空间中实现攻击需要复杂的特殊扰动。这些解决方案通常是\emph{impractical}和\emph{attention-grabbing}。为了满足物理上实用和隐身的对抗攻击的需求，我们引入了\textsc{HotCold} Block，这是一种针对红外探测器的新型物理攻击，该探测器利用可穿戴的加温贴和降温贴来隐藏人员。通过将这些容易获得的温度控制材料附着在身体上，\textsc{HotCold} Block有效地避开了人眼。此外，与构建具有复杂纹理和结构特征的对抗补丁的现有方法不同，\textsc{HotCold} Block利用面向SSP的对抗优化算法，该算法可以使用纯色块进行攻击，并探索大小，形状和位置对攻击性能的影响。在数字和物理环境中的广泛的实验结果表明，我们提出的\textsc{HotCold}块的性能。\emph{Code is available: \textcolor{magenta}{https://github.com/weihui1308/HOTCOLDBlock}}。
2022-12-12 cs.CV
Generating Transferable and Stealthy Adversarial Patch via Attention-guided Adversarial Inpainting
Hong Kong Polytechnic University（香港理工大学）；Hunan University（湖南大学）
针对现有对抗补丁易察觉、跨模型迁移性弱的问题，提出两阶段Adv-Inpainting攻击方法，通过注意力引导融合特征并优化补丁，实现了更隐蔽、可迁移性更强的人脸识别对抗攻击。
2023-10-01 cs.AI cs.CV
DVS-Attacks: Adversarial Attacks on Dynamic Vision Sensors for Spiking Neural Networks
Technische Universität Wien（维也纳工业大学）；Politecnico di Torino（都灵理工大学）；New York University（纽约大学）
尽管脉冲神经网络（SNN）在神经形态硬件上实现并与基于事件的动态视觉传感器（DVS）耦合时是节能的，但其易受安全威胁的影响，例如对抗攻击，即，添加到输入的小扰动用于引起误分类。为此，我们提出了DVS攻击，一组隐形而有效的对抗攻击方法，目标是扰乱组成SNN输入的事件序列。首先，我们证明了DVS的噪声滤波器可以用作对抗对抗攻击的防御机制。之后，我们实现了几种攻击，并在两种类型的噪声过滤器的DVS相机的存在下测试它们。实验结果表明，过滤器只能部分防御SNN对我们提出的DVS攻击。使用噪声滤波器的最佳设置，与原始的干净帧相比，我们提出的Mask Filter Aware Dash Attack在DVS-Gesture数据集上降低了20%以上的准确性，在MNIST数据集上降低了65%以上的准确性。所有建议的DVS攻击和噪声滤波器的源代码都在https://github.com/albertomarchisio/DVS-Attacks上发布。
2021-07-01 cs.CV cs.LG
SAAM: Stealthy Adversarial Attack on Monocular Depth Estimation
New York University (NYU) Abu Dhabi（纽约大学阿布扎比分校）；Technology Innovation Institute (TII)（技术创新研究所）
本文提出SAAM，一种针对单目深度估计的隐蔽对抗攻击，通过自然外观补丁造成60%深度误差并影响99%区域，揭示边缘设备上MDE的安全威胁。
2023-12-20 cs.CR cs.CV
BppAttack: Stealthy and Efficient Trojan Attacks against Deep Neural Networks via Image Quantization and Contrastive Adversarial Learning
Rutgers University（罗格斯大学）
深度神经网络易受木马攻击。现有的攻击使用可见的模式（例如，补丁或图像变换）作为触发器，其易受人类检查的影响。在本文中，我们提出了隐蔽且高效的特洛伊木马攻击BppAttack。基于现有的人类视觉系统的生物学文献，我们建议使用图像量化和抖动作为木马触发器，使不易察觉的变化。它是一种不需要训练辅助模型的隐蔽而有效的攻击。由于对图像进行的微小更改，很难在训练期间注入此类触发器。为了缓解这个问题，我们提出了一种基于对比学习的方法，该方法利用对抗攻击来生成负样本对，从而使学习到的触发器精确而准确。该方法在MNIST、CIFAR-10、GTSRB和CelebA四个基准数据集上实现了高攻击成功率。它还有效地绕过了现有的特洛伊木马防御和人工检查。我们的代码可以在https://github.com/RU-System-Software-and-Security/BppAttack上找到。
2022-05-26 cs.CR cs.CV cs.LG
Semantically Distributed Robust Optimization for Vision-and-Language Inference
Arizona State University（亚利桑那州立大学）
对视觉-语言模型的分析表明，在释义、否定、语篇蕴涵、同义词或反义词替换等语言现象下，视觉-语言模型是脆弱的。虽然已经设计了数据增强技术来减轻这些故障模式，但是可以将这些知识集成到培训管道中的方法仍然没有得到充分的探索。在本文中，我们提出了\textbf{SDRO}，一个模型不可知的方法，利用一组语言转换在分布式鲁棒优化设置，以及一个集成技术，利用这些转换在推理。在具有图像（NLVR $^2$）和视频（VIOLIN）的基准数据集上的实验证明了性能的改进以及对对抗攻击的鲁棒性。二进制VQA的实验探索这种方法的推广到其他V\&L任务。
2022-03-14 cs.CL cs.CV
Pasadena: Perceptually Aware and Stealthy Adversarial Denoise Attack
Nanyang Technological University（南洋理工大学）；Alibaba Group（阿里巴巴集团）；Tianjin University（天津大学）；State Administration of Cultural Heritage（国家文物局）
图像去噪可以去除由于低质量的成像传感器、不稳定的图像传输过程或低光照条件而广泛存在于多媒体设备捕获的图像中的自然噪声。最近的工作还发现，图像去噪有利于高级视觉任务，例如，图像分类。在这项工作中，我们试图挑战这一常识，并探索一个全新的问题，即，图像去噪是否能够在提高图像质量的同时欺骗最先进的深度神经网络（DNN）。为此，我们首次尝试从对抗攻击的角度来研究这个问题，提出了对抗去噪攻击。更具体地说，我们的主要贡献有三个方面：首先，我们确定了一个新的任务，该任务将攻击偷偷嵌入到广泛部署在多媒体设备中的图像去噪模块中，作为图像后处理操作，以同时提高视觉图像质量并欺骗DNN。其次，我们将这个新任务表示为图像滤波的核预测问题，并提出了对抗去噪核预测，可以同时产生有效的去噪和对抗攻击的对抗无噪声核。第三，我们实现了一个自适应感知区域定位，以识别语义相关的脆弱区域，攻击可以更有效，同时不会对去噪造成太大的伤害。我们将所提出的方法命名为Pasadena（感知感知和隐形对抗DENoise攻击），并在NeurIPS的17个对抗性竞争数据集CVPR 2021-AIC-VI：ImageNet上的无限制对抗攻击等上验证了我们的方法。综合评估和分析表明，我们的方法不仅实现了去噪，而且比最先进的攻击具有更高的成功率和可移植性。
2021-08-24 cs.CV eess.IV
Out-of-Bounding-Box Triggers: A Stealthy Approach to Cheat Object Detectors
Institute of Software, Chinese Academy of Sciences（中国科学院软件研究所）；University of Chinese Academy of Sciences（中国科学院大学）；Automotive Software Innovation Center（汽车软件创新中心）
本文提出一种在边界框外运作的隐蔽对抗触发器，结合特征引导和通用Auto-PGD优化策略制作高质量触发器，使目标检测模型无法检测到物体，并在数字和物理环境中验证了其高效性。
2024-10-14 cs.CV
Hidden Tail: Adversarial Image Causing Stealthy Resource Consumption in Vision-Language Models
University of Electronic Science and Technology of China（电子科技大学）；City University of Hong Kong（香港城市大学）；Nanyang Technological University（南洋理工大学）
提出隐蔽资源消耗攻击Hidden Tail，通过优化对抗图像诱导VLM生成最大长度输出，平衡有效性与隐蔽性，实验显示输出长度最多增加19.2倍。
2025-08-26 cs.CR cs.CV
Adversarial Camouflage: Hiding Physical-World Attacks with Natural Styles
Swinburne University of Technology（斯威本科技大学）；The University of Melbourne（墨尔本大学）；Shanghai Jiao Tong University（上海交通大学）
众所周知，深度神经网络（DNN）容易受到对抗性样本的攻击。现有的作品主要集中在通过小而不可感知的扰动创建的数字对抗示例，或者通过人类观察者很容易识别的大而不太现实的扭曲创建的物理世界对抗示例。在本文中，我们提出了一种名为对抗性伪装（\emph{AdvCam}）的新方法，可以将物理世界的对抗性示例制作和伪装成对人类观察者来说合法的自然风格。具体来说，\emph{AdvCam}将大的对抗性扰动转换为自定义样式，然后将其“隐藏”在目标对象或目标外背景中。实验评估表明，在数字和物理世界场景中，由\emph{AdvCam}制作的对抗性示例具有良好的隐蔽性和高度的隐蔽性，同时仍然有效地欺骗了最先进的DNN图像分类器。因此，\emph{AdvCam}是一种灵活的方法，可以帮助设计隐形攻击来评估DNN的鲁棒性。\emph{AdvCam}还可用于保护私人信息不被深度学习系统检测到。
2020-06-22 cs.CV
Penny Wise, Pixel Foolish: Bypassing Price Constraints in Multimodal Agents via Visual Adversarial Perturbations
City University of Hong Kong（香港城市大学）；Peking University（北京大学）
研究发现多模态大语言模型在价格受限环境下易受视觉误导，提出PriceBlind攻击框架，通过语义解耦损失提升图像嵌入精度，实现80%的攻击成功率，并展示鲁棒编码和防御机制对攻击的抑制效果。
2026-04-15 cs.CR cs.CV cs.LG
Deflecting Adversarial Attacks
University of California, San Diego（加利福尼亚大学圣地亚哥分校）；Google Brain（谷歌大脑）
有一个正在进行的循环，即针对对抗攻击的更强防御随后被更先进的防御感知攻击打破。我们提出了一种新的方法来结束这个循环，我们通过使攻击者产生一个语义上类似于攻击目标类的输入来“偏转”对抗攻击。为此，我们首先提出了一种基于Capsule Networks的更强大的防御，该防御结合了三种检测机制，以在标准和防御感知攻击中实现最先进的检测性能。然后，我们通过进行一项人类研究，要求参与者标记攻击产生的图像，表明针对我们防御的未检测到的攻击通常在感知上类似于对抗性目标类。这些攻击图像不能再被称为“敌对”，因为我们的网络对它们的分类方式与人类相同。
2020-02-18 cs.CV cs.LG stat.ML
Interpretations Cannot Be Trusted: Stealthy and Effective Adversarial Perturbations against Interpretable Deep Learning
Sungkyunkwan University（成均馆大学）；Loyola University（洛约拉大学）
深度学习方法由于其出色的性能而在各种应用中获得了越来越多的关注。为了探索这种高性能如何与数据工件的正确使用和给定任务的准确问题表述相关，解释模型已成为开发基于深度学习的系统的关键组件。解释模型使人们能够理解深度学习模型的内部工作原理，并在检测输入数据中的工件误用时提供安全感。与预测模型类似，解释模型也容易受到对抗性输入的影响。这项工作介绍了两种攻击，AdvEdge和AdvEdge $^{+}$，欺骗目标深度学习模型和耦合解释模型。我们评估了针对两个深度学习模型架构以及代表不同类别解释模型的四个解释模型的拟议攻击的有效性。我们的实验包括使用各种攻击框架的攻击实现。我们还探讨了针对此类攻击的潜在对策。我们的分析显示了我们的攻击在欺骗深度学习模型及其解释器方面的有效性，并强调了改进和规避攻击的见解。
2022-11-29 cs.CR cs.CV cs.LG
Physical Attack on Monocular Depth Estimation with Optimal Adversarial Patches
Purdue University（普渡大学）；Rochester Institute of Technology（罗切斯特理工学院）
深度学习大大提高了单目深度估计（MDE）的性能，MDE是完全基于视觉的自动驾驶（AD）系统（例如，Tesla和Toyota）。在这项工作中，我们开发了一个攻击基于学习的MDE。特别是，我们使用基于优化的方法来系统地生成隐身的面向物理对象的对抗补丁来攻击深度估计。我们通过面向对象的对抗性设计、敏感区域定位和自然风格的伪装来平衡攻击的隐身性和有效性。使用真实世界的驾驶场景，我们评估了我们对并发MDE模型和AD的代表性下游任务（即，3D目标检测）。实验结果表明，该方法能够针对不同的目标对象和模型生成隐身、有效和鲁棒的对抗性补丁，在车辆后方1/9的补丁下，目标检测的平均深度估计误差大于6 m，攻击成功率（ASR）达到93%。实车在三条不同行驶路线上的实地测试表明，该算法在连续视频帧中的平均深度估计误差超过6 m，目标检测目标检测率从90.70%降低到5.16%。
2022-07-11 cs.CV
DASH: A Meta-Attack Framework for Synthesizing Effective and Stealthy Adversarial Examples
University of Maine（缅因大学）；University of Florida（佛罗里达大学）；University of Tennessee, Knoxville（田纳西大学，基洛纳）
提出DASH元攻击框架，通过多阶段自适应组合Lp约束攻击方法，生成有效且感知对齐的对抗样本，在多个数据集上优于现有方法。
2026-05-25 cs.CV cs.LG
Stealthy in Semantics, Antagonistic in Space: Attacking Visible-Infrared Object Detectors via Object-Level Misalignment
Beijing University of Technology（北京工业大学）；Peking University（北京大学）；National Key Laboratory of Space Integrated Information System, Institute of Software, Chinese Academy of Sciences（中国科学院软件研究所空间集成信息系统全国重点实验室）；Intelligent Science & Technology Academy of CASIC（中国航天科工集团智能科技研究院）
提出CamoShift对抗框架，通过语义伪装和红外目标级移位打破跨模态对齐，平衡攻击强度与视觉隐蔽性，实现可见光-红外目标检测的高效攻击。
2026-09-17 cs.CV
Learning Unseen Emotions from Gestures via Semantically-Conditioned Zero-Shot Perception with Adversarial Autoencoders
University of Maryland（马里兰大学）
我们提出了一种新的广义的zero-shot算法来识别感知的情绪从手势。我们的任务是将手势映射到训练中没有遇到的新情感类别。我们引入了一个对抗性的，基于自动编码器的表示学习，它将3D运动捕获的手势序列与使用word 2 vec嵌入的自然语言感知情感术语的矢量化表示相关联。语言语义嵌入提供了一个情感标签空间的表示，我们利用这个潜在的分布映射的手势序列到适当的分类情感标签。我们训练我们的方法使用的手势注释与已知的情感条款和手势没有注释任何情绪的组合。我们评估我们的方法上的MPI情绪身体表情数据库（EBEDB），并获得$58.43\%$的准确性。这提高了当前最先进的算法的性能，通过$25$ - $27\%$在绝对值上的广义零样本学习。
2021-12-02 cs.CV
Feature-Aware Token Attack for Compression-Triggered Stealthy Failures in Large Vision-Language Models
Beijing University of Posts and Telecommunications（北京邮电大学）；Jiangnan University（江南大学）；Nanyang Technological University（南洋理工大学）；Chongqing University of Posts and Telecommunications（重庆邮电大学）
提出特征感知令牌攻击（FATA），通过注意力抑制与特征保留，在压缩推理中引发隐蔽故障，同时保持全令牌正确性，实验显示高成功率与低检测率。
2026-10-01 cs.CV
Improving Consistency and Correctness of Sequence Inpainting using Semantically Guided Generative Adversarial Network
Indian Institute of Technology Kharagpur（印度理工学院卡拉格普尔分校）
用于图像修补的当代基准方法基于深度生成模型，并且特别利用对抗性损失来产生逼真的重建。然而，这些模型不能直接应用于图像/视频序列，因为一个固有的缺点-重建可能是独立的现实，但是，当可视化为一个序列，往往缺乏保真度的原始未损坏的序列。其根本原因是这些方法试图找到最佳匹配的潜在空间表示接近自然图像流形没有任何显式的距离为基础的损失。在本文中，我们提出了一个语义条件生成对抗网络（GAN）的序列修复。条件信息约束GAN将潜在表示映射到图像流形中的关于场景的潜在姿态和语义的点。据我们所知，这是第一个同时解决基于生成模型的修复的一致性和正确性的工作。我们表明，我们的生成模型学习解开姿势和外观信息;这种独立性被我们的模型利用来生成高度一致的重建。条件信息还帮助GAN中的生成器网络产生与原始GAN公式相比更清晰的图像。这有助于实现更吸引人的修复性能。虽然通用，我们的算法是针对面部修复。当应用于CelebA和Youtube Faces数据集时，所提出的方法在定量评估（峰值信噪比）和分辨率和变形的各种组合的人类视觉评分方面都比当前基准有了显着的改进。
2017-11-17 cs.CV
MIRAGE: Stealthy Visual Prompt Injection for Vulnerability Detection in Web Agents
SDU（山东大学）
提出MIRAGE框架，利用扩散模型在受限区域生成视觉上无害的对抗图像，实现针对多模态大模型Web代理的隐蔽间接提示注入攻击，以检测其视觉漏洞。
2026-10-16 cs.AI cs.CR cs.CV
Semantically Selective Augmentation for Deep Compact Person Re-Identification
University of Bristol（布里斯托大学）
我们提出了一种深度人员重新识别方法，该方法将语义选择性的深度数据增强与基于聚类的网络压缩相结合，以生成高性能，轻型和快速的推理网络。特别是，我们建议通过从深度卷积生成对抗网络（DCGAN）中采样来增强有限的训练数据，DCGAN的训练受到语义分类器的约束，以显式控制生成过程的域特异性。因此，我们在分类器网络中编码信息，这些信息可用于指导对抗合成，并为我们的CondenseNet ID网络训练提供动力。我们提供了一个定量和定性分析的方法及其变体的一些数据集，获得的结果，优于国家的最先进的LIMA数据集的长期监测在室内生活空间。
2018-06-18 cs.CV
KLIEP-based Density Ratio Estimation for Semantically Consistent Synthetic to Real Images Adaptation in Urban Traffic Scenes
TU Munich（慕尼黑工业大学）；BMW AG（宝马集团）；Google（谷歌）
合成数据已应用于许多基于深度学习的计算机视觉任务。仅在合成数据上训练的算法的有限性能已经接近领域自适应技术，例如基于生成对抗框架的技术。我们展示了对抗训练如何单独在翻译图像中引入语义不一致。为了解决这个问题，我们提出了密度预匹配策略，使用基于KLIEP的密度比估计过程。最后，我们表明，上述策略提高了质量的翻译图像的基础方法和它们的可用性的语义分割任务的背景下，自动驾驶。
2021-05-26 cs.CV
IAP: Invisible Adversarial Patch Attack through Perceptibility-Aware Localization and Perturbation Optimization
CISPA Helmholtz Center for Information Security（CISPA海德堡信息安全研究中心）
IAP通过感知性感知定位和扰动优化生成隐形对抗补丁，在目标攻击中保持高成功率且不易被人类和防御机制察觉。
2025-07-09 cs.AI cs.CV
Semantically Adversarial Learnable Filters
Queen Mary University of London（伦敦玛丽女王大学）
我们提出了一个对抗性的框架，通过考虑图像内容和标签的语义来制作误导分类器的扰动。提出的框架结合了结构损失和语义对抗损失的多任务目标函数训练一个完全卷积神经网络。结构损失有助于产生扰动，其类型和幅度由目标图像处理滤波器定义。语义对抗性损失考虑（语义）标签的组以制作扰动，其防止过滤后的图像{from}被分类为具有相同组中的标签。我们使用三种不同的目标过滤器来验证我们的框架，即细节增强，对数变换和伽马校正过滤器;并针对三种分类器ResNet 50，ResNet 18和AlexNet评估逆向过滤图像，这些分类器在ImageNet上进行了预训练。我们表明，所提出的框架生成过滤图像具有较高的成功率，鲁棒性和可转移性看不见的分类。我们还讨论了客观和主观评价的对抗扰动。
2022-04-05 cs.CV cs.LG
Adversarial Camera Patch: An Effective and Robust Physical-World Attack on Object Detectors
University of Electronic Science and Technology of China（电子科技大学）
针对现有相机物理攻击需在镜头部署多个贴片、复杂度高的问题，本文提出单一对抗性相机贴片 ADCP，以更简洁的方式对目标检测器实施隐蔽物理攻击。
2023-12-11 cs.CV
Semantically Consistent Image Completion with Fine-grained Details
The Chinese University of Hong Kong（香港中文大学）
由于生成对抗网络（GANs）的进步，图像完成已经取得了重大进展。虽然看起来很自然，但合成的内容仍然缺乏细节，特别是对于具有复杂结构的场景或具有大孔的图像。这是因为在低水平的重建损失和高水平的对抗性损失之间存在差距。为了解决这个问题，我们引入了一个感知网络来提供中级指导，该网络在相似性增强的空间中测量合成内容和原始内容之间的语义相似性。我们对不同损失和不同水平的感知特征在图像补全中的作用进行了详细的分析，表明对抗训练和感知特征之间存在互补性。通过将它们组合在一起，我们的模型可以以端到端的方式实现近乎无缝的融合结果。此外，我们设计了一种有效的轻量级生成器架构，可以用更少的参数实现有效的图像修补。在CelebA Face和Paris StreetView数据集上进行评估，我们提出的方法显着优于现有方法。
2017-11-26 cs.CV
VAGUEGAN: Stealthy Poisoning and Backdoor Attacks on Image Generative Pipelines
University of Information Technology and Sciences (UITS)（信息科技与科学大学）
本文提出VagueGAN攻击流水线，利用PoisonerNet与生成器-判别器对制作隐蔽触发器，并验证其可迁移至ControlNet扩散编辑流程。
2025-09-29 cs.CV cs.LG
BadVideo: Stealthy Backdoor Attack against Text-to-Video Generation
The Chinese University of Hong Kong, Shenzhen（香港中文大学（深圳））；Kling Team, Kuaishou Technology（快手科技 Kling 团队）
本文提出首个面向文本到视频生成的后门攻击框架 BadVideo，利用视频冗余信息通过时空组合与动态元素变换隐蔽植入恶意内容，并可规避基于单帧的内容审核。
2025-07-25 cs.AI cs.CV
Silent Killer: A Stealthy, Clean-Label, Black-Box Backdoor Attack
Ben-Gurion University（本-古里安大学）；The Hebrew University of Jerusalem（耶路撒冷希伯来大学）
提出 Silent Killer 干净标签黑盒后门攻击，利用通用对抗扰动触发器并通过梯度对齐制作隐蔽投毒，在多个数据集上达到最先进性能。
2023-10-01 cs.AI cs.CR cs.CV
Unrestricted Adversarial Examples via Semantic Manipulation
University of Illinois at Urbana-Champaign（伊利诺伊大学厄巴纳-香槟分校）
机器学习模型，特别是深度神经网络（DNN），已经被证明容易受到对抗性示例的攻击，这些示例是精心制作的具有小幅度扰动的样本。这种对抗性扰动通常通过限制它们的$\mathcal{L}_p$范数来限制，使得它们是不可感知的，因此许多当前的防御可以利用这个属性来减少它们的对抗性影响。在本文中，我们引入了“无限制”的扰动，操纵语义上有意义的基于图像的视觉描述符-颜色和纹理-以生成有效的和逼真的对抗性示例。我们表明，这些语义感知的扰动是有效的JPEG压缩，特征压缩和adversarially训练的模型。我们还表明，所提出的方法可以有效地应用于图像分类和图像描述任务的复杂数据集，如ImageNet和MSCOCO。此外，我们还进行了全面的用户研究，以表明我们生成的语义对抗示例对人类来说是照片级的，尽管与其他攻击相比存在很大的扰动。
2020-03-20 cs.CV
Backdoor Attack on Vision Language Models with Stealthy Semantic Manipulation
University of Utah（犹他大学）；Hong Kong University of Science and Technology (Guangzhou)（香港科技大学（广州））；Southern University of Science and Technology（南方科技大学）
针对视觉语言模型的跨模态融合特性，本文提出利用图文语义不匹配作为隐式触发器的BadSem数据投毒后门攻击，并构建SIMBad数据集，实验证明其ASR高、泛化与迁移性强且现有防御难以缓解。
2025-06-08 cs.CR cs.CV
Semantically Adversarial Scenario Generation with Explicit Knowledge Guidance
Carnegie Mellon University（卡内基梅隆大学）；University of Illinois Urbana-Champaign（伊利诺伊大学厄巴纳-香槟分校）
本研究针对自动驾驶场景鲁棒性测试需求，提出显式融入领域知识的语义对抗生成方法，通过树结构变分自编码器实现可控生成，可高效识别攻击3D点云分割模型的对抗驾驶场景。
2023-07-20 cs.AI cs.CV
BackWeak: Backdooring Knowledge Distillation Simply with Weak Triggers and Fine-tuning
School of Computer Science and Artificial Intelligence（计算机科学与人工智能学院）；Wuhan University of Technology（武汉科技大学）
提出BackWeak方法，通过微调教师模型嵌入弱触发器实现后门攻击，无需替代学生模型或模拟蒸馏，在标准蒸馏过程中可靠转移至不同学生架构。
2026-05-25 cs.AI cs.CR cs.CV
Semantically Accurate Super-Resolution Generative Adversarial Networks
Nearmap（Nearmap公司）；University of Sydney（悉尼大学）；Australian Centre for Field Robotics（澳大利亚现场机器人中心）
这项工作解决了语义分割和图像超分辨率的问题，通过共同考虑两者在训练生成对抗网络（GAN）中的性能。我们提出了一种新的架构和特定于域的特征丢失，允许超分辨率作为预处理步骤来操作，以提高下游计算机视觉任务的性能，特别是语义分割。我们使用Nearmap的航拍图像数据集来演示这种方法，该数据集以每像素5-7厘米的分辨率覆盖了数百个城市地区。我们表明，所提出的方法提高了感知图像质量以及所有预测类的定量分割精度，与最先进的单网络方法相比，在4倍和32倍超分辨率下，平均精度提高了11.8%和108%。这项工作表明，联合考虑基于图像和特定于任务的损失可以提高两者的性能，并推进了航空图像的语义感知超分辨率的最新技术。
2022-05-17 cs.CV eess.IV
Text-Adaptive Generative Adversarial Networks: Manipulating Images with Natural Language
Yonsei University（延世大学）
本文讨论了使用自然语言描述来处理图像的问题。我们的任务旨在语义修改图像中的对象的视觉属性，根据描述新的视觉外观的文本。虽然现有的方法合成的图像具有新的属性，他们不完全保留原始图像的文本无关的内容。在本文中，我们提出了文本自适应的生成对抗网络（TAGAN）来生成经过语义处理的图像，同时保留与文本无关的内容。我们的方法的关键是文本自适应分类器，它根据输入文本创建单词级的局部判别器来独立地分类细粒度属性。有了这个模板，生成器学习生成只有与给定文本对应的区域被修改的图像。实验结果表明，我们的方法优于现有的方法在CUB和牛津-102数据集，我们的结果大多是首选的用户研究。大量的分析表明，我们的方法是能够有效地解开视觉属性，并产生令人愉快的输出。
2018-11-28 cs.CV
Semantically Guided Adversarial Testing of Vision Models Using Language Models
Institute of Theoretical and Applied Informatics, Polish Academy of Sciences（波兰科学院理论与应用信息学研究所）；University of Lille, CNRS, Inria, Centrale Lille, UMR 9189 CRIStAL（里尔大学）
本文提出利用预训练语言与视觉-语言模型进行语义引导的对抗目标标签选择，实验证明其优于 WordNet 等静态资源，可用于构建可解释、标准化且可扩展的对抗基准。
2025-08-15 cs.CR cs.CV cs.LG
Robust Unsupervised Domain Adaptation for 3D Point Cloud Segmentation Under Source Adversarial Attacks
Southern University of Science and Technology（南方科技大学）；National University of Singapore（新加坡国立大学）
针对源域对抗攻击下3D点云分割无监督域自适应鲁棒性不足的问题，设计隐蔽对抗攻击生成AdvSynLiDAR数据集，提出AAF框架，通过扩展RLT损失和解码器分支提升模型鲁棒性，缓解性能下降。
2025-04-12 cs.CV
Adversarial Infrared Blocks: A Multi-view Black-box Attack to Thermal Infrared Detectors in Physical World
University of Electronic Science and Technology of China（电子科技大学）；Chinese Academy of Military Science（军事科学院）
针对热红外探测器物理攻击隐蔽性差且受视角限制的问题，提出对抗性红外块（AdvIB）方法，通过优化物理参数实现多视角隐蔽黑盒攻击，实验证明其在多条件下成功率超80%且具备鲁棒性。
2023-07-28 cs.AI cs.CV
Sim-CLIP: Unsupervised Siamese Adversarial Fine-Tuning for Robust and Semantically-Rich Vision-Language Models
Florida Atlantic University（佛罗里达大西洋大学）
Sim-CLIP通过无监督对抗微调提升CLIP视觉编码器的鲁棒性，同时保持语义表示。采用孪生架构和余弦相似度目标，避免大批次对比学习和额外动量编码器，实现低计算开销的鲁棒训练。
2026-04-07 cs.AI cs.CL cs.CV
Adversarial Backdoor Attack by Naturalistic Data Poisoning on Trajectory Prediction in Autonomous Driving
Okinawa Institute of Science and Technology (OIST)（冲绳科学技术大学院大学）
提出一种针对自动驾驶轨迹预测模型的黑盒对抗性后门攻击，通过双层优化生成自然隐蔽的投毒样本，在无需模型知识下显著破坏预测性能，并验证了其高效性及现有防御机制的局限。
2023-11-22 cs.CV
Semantically Decomposing the Latent Spaces of Generative Adversarial Networks
University of California, San Diego（加利福尼亚大学圣地亚哥分校）；Carnegie Mellon University（卡内基梅隆大学）；Amazon AI（亚马逊人工智能）；Stanford University（斯坦福大学）；University of California San Diego（加利福尼亚大学圣地亚哥分校）
我们提出了一种用于训练生成对抗网络的新算法，该网络联合学习身份（例如个人）和观察（例如特定照片）的潜在代码。通过固定潜在代码的身份部分，我们可以生成同一主题的不同图像，通过固定观察部分，我们可以遍历主题的流形，同时保持偶然的方面，如照明和姿势。我们的算法具有成对的训练方案，其中来自生成器的每个样本由具有共同身份码的两个图像组成。来自真实数据集的相应样本由同一主题的两张不同照片组成。为了欺骗机器人，生成器必须产生照片般逼真的、不同的、看起来描绘同一个人的配对。我们用Siamese鉴别器增强DCGAN和BEGAN方法，以促进成对训练。与人类法官和现成的人脸验证系统的实验表明，我们的算法的能力，以产生令人信服的，身份匹配的照片。
2018-02-22 cs.AI cs.CV cs.LG
Finding Rats in Cats: Detecting Stealthy Attacks using Group Anomaly Detection
Symantec Corporation（赛门铁克公司）；University College Dublin（都柏林大学学院）；The University of Auckland（奥克兰大学）
高级攻击活动跨越多个阶段，并在很长一段时间内保持隐身。攻击者使用现成工具和预安装系统应用程序（如\emph{powershell}和\emph{wmic}）来逃避检测的趋势越来越明显，因为系统管理员和安全分析师也会出于合法目的在日常任务中使用相同的工具。要开始调查，可以从操作系统中收集事件日志;但是，这些日志足够通用，通常无法将潜在攻击归因于特定的攻击组。文献中的最新方法使用了异常检测技术，其目的是区分计算机或网络系统的恶意行为和正常行为。不幸的是，基于点异常的异常检测系统在某种意义上过于严格，它们可能会错过恶意活动并对攻击进行分类，而不是离群值。因此，更好地检测恶意活动是一个研究挑战。为了应对这一挑战，在本文中，我们利用组异常检测（GAD），它检测单个数据点的异常集合。我们的方法是利用对抗自动编码器（AAE- $α$）构建一个神经网络模型，以检测利用现成工具和系统应用程序的攻击者的活动。此外，我们还构建了特定于特征提取任务的\textit{Behavior2Vec}和\textit{Command2Vec}句子嵌入深度学习模型。我们进行了广泛的实验，以评估我们的模型在现实世界的数据集收集了为期两个月。实证结果表明，我们的方法是有效的和强大的发现有针对性的攻击，笔测试，并利用自定义工具的攻击活动。
2019-05-20 cs.AI cs.CR cs.CV
BadSR: Stealthy Label Backdoor Attacks on Image Super-Resolution
Laboratory Of Intelligent Collaborative Computing, University of Electronic Science and Technology of China（智能协同计算实验室，电子科技大学）；School of Computer Science and Technology, Xinjiang University（计算机科学与技术学院，新疆大学）；School of Computer Science and Engineering, University of Electronic Science and Technology of China（计算机科学与工程学院，电子科技大学）；School of Computer Science, Fudan University（计算机科学学院，复旦大学）
针对现有SR模型后门攻击中投毒HR图像隐蔽性不足易被检测的问题，提出BadSR方法，通过特征空间逼近等策略提升隐蔽性，结合对抗优化触发器与遗传算法样本选择，在多模型数据集上实现高攻击成功率。
2025-05-21 cs.AI cs.CV
Adversarial Watermarking for Face Recognition
Michigan State University（密歇根州立大学）
本文提出一种新颖的人脸识别对抗性水印攻击方法，该方法在无水印时保持隐蔽，应用水印后激活攻击，在 CASIA-WebFace 数据集上最高可使人脸匹配准确率下降 95.9%。
2024-09-24 cs.AI cs.CV
Sneaky Spikes: Uncovering Stealthy Backdoor Attacks in Spiking Neural Networks with Neuromorphic Data
Radboud University（拉德堡德大学）；Ikerlan Research Centre（伊克尔兰研究中心）
本文研究SNN在神经形态数据上的后门攻击，提出可调节位置与颜色的触发器策略，实现最高100%攻击成功率且几乎不降低干净准确率，并验证现有图像防御的不足。
2024-02-05 cs.CR cs.CV cs.LG
Isometric 3D Adversarial Examples in the Physical World
Tsinghua University（清华大学）；RealAI（瑞莱智慧）；Peng Cheng Laboratory（鹏城实验室）；Pazhou Laboratory (Huangpu)（琶洲实验室（黄埔））
3D深度学习模型与2D模型一样容易受到对抗性示例的影响。然而，现有的攻击方法仍然远离隐身，并且在物理世界中遭受严重的性能下降。虽然3D数据是高度结构化的，但很难在欧氏空间中用简单的度量来约束扰动。在本文中，我们提出了一种新的$ε$ -等距（$ε$ -ISO）攻击生成自然和强大的3D对抗的例子在物理世界中，考虑到3D对象的几何属性和物理变换的不变性。对于自然性，我们通过采用高斯曲率作为理论分析保证的代理度量，将对抗性示例约束为与原始示例$ε$等距。对于物理变换的不变性，我们提出了一种变换最大值（MaxOT）方法，该方法主动搜索最有害的变换，而不是随机变换，以使生成的对抗性示例在物理世界中更加健壮。在典型点云识别模型上的实验表明，与现有的攻击方法相比，该方法可以显著提高攻击成功率和生成的3D对抗性实例的自然度。
2022-10-27 cs.AI cs.CR cs.CV
Adversarial Perturbations Against Real-Time Video Classification Systems
University of California, Riverside（加州大学河滨分校）；United States Army Research Laboratory（美国陆军研究实验室）
最近的研究已经证明了机器学习系统对对抗性扰动的脆弱性。然而，这些研究大多局限于图像上的扰动，更一般地说，分类不处理随时间变化的输入。在本文中，我们问“对抗扰动可能在实时的【形】视频分类系统，如果是这样，他们必须满足什么性质？“这样的系统在监控应用、智能车辆和智能老年人护理中有应用，因此，错误分类可能特别有害（例如，可能错过老年人护理设施处的事故）。我们表明，占时间结构是在这样的系统中生成对抗性例子的关键。我们利用生成对抗网络（GAN）架构的最新进展来解释时间相关性，并生成对抗样本，这些样本可能导致目标活动的错误分类率超过80%。更重要的是，这些样本也基本上不影响其他活动，使它们非常隐蔽。最后，我们还惊讶地发现，在许多情况下，相同的扰动可以应用于视频剪辑中的每一帧，这使得对手实现错误分类的能力相对容易。
2018-07-02 cs.CR cs.CV cs.LG
Dynamic Adversarial Attacks on Autonomous Driving Systems
Drexel University（德雷塞尔大学）
本文针对自动驾驶系统韧性问题，提出一种动态对抗攻击机制，通过移动车辆屏幕显示动态优化的对抗性补丁欺骗目标检测模型，实现非共定位、隐蔽的攻击，并首次在真实场景验证，提升对自动驾驶系统安全研究的认知。
2024-12-03 cs.CV cs.LG cs.RO
Invisible Optical Adversarial Stripes on Traffic Sign against Autonomous Vehicles
Nanyang Technological University（南洋理工大学）；University of Pittsburgh（匹兹堡大学）；Singapore Institute of Technology（新加坡理工学院）
本文提出利用LED和摄像头卷帘快门效应生成人眼不可见对抗条纹的GhostStripe攻击系统，可稳定误导自动驾驶交通标志识别，最高达94%的帧识别错误，并探讨了多层面防御对策。
2024-07-10 cs.CR cs.CV cs.SY
