Early-MFC: Enhanced Flow Correlation Attacks on Tor via Multi-view Triplet Networks with Early Network Traffic
针对早期网络流量下流关联攻击研究有限、现有技术难以直接应用的问题，提出基于多视角三元组网络的Early-MFC方法，还提出适配超早期场景的Early-MFC+，实现高精度稳健的Tor流关联攻击。
2025-03-21 cs.CR
Robust and Reliable Early-Stage Website Fingerprinting Attacks via Spatial-Temporal Distribution Analysis
Tsinghua University（清华大学）；Zhongguancun Laboratory（中关村实验室）
本文提出Holmes早期网站指纹攻击，通过时空分布分析和监督对比学习，在页面加载早期仅约21.71%流量下实现鲁棒识别，F1-score较现有方法平均提升169.18%。
2024-07-01 cs.AI cs.CR cs.LG
SDN-Based Intrusion Detection System for Early Detection and Mitigation of DDoS Attacks
本文讨论了物联网（IoT）新兴范式中网络设备引入的相关网络安全漏洞，以及减轻某些类型的分布式拒绝服务（DDoS）攻击的负面影响的迫切需要，这些攻击试图探索这些安全漏洞。本文设计并实现了一个软件定义的入侵检测系统（IDS），它能够在攻击源处对攻击进行主动防御，保证网络基础设施的正常运行。我们的建议包括一个IDS，它可以自动检测几种DDoS攻击，然后当检测到攻击时，它会通知软件定义网络（SDN）控制器。当前提案还将一些方便的流量转发决策从SDN控制器下载到网络设备。评估结果表明，我们的建议及时检测基于DDoS的几种类型的网络攻击，减轻其对网络性能的负面影响，并确保正常流量的正确数据传输。我们的工作揭示了在网络基础设施的抽象视图上的编程相关性，以及时检测僵尸网络利用，从源头上减轻恶意流量，并保护良性流量。
2021-04-15 cs.CR cs.NI
Keyshuffling Attack for Persistent Early Code Execution in the Nintendo 3DS Secure Bootchain
我们演示了对任天堂3DS的安全引导链的攻击，以获得早期的代码执行。该攻击利用ECB密码模式的块洗牌漏洞来重新排列任天堂3DS加密密钥库中的密钥。因为混洗密钥将确定性地将加密的固件二进制解密为不正确的明文数据并执行它，并且因为设备的存储器内容在硬重启之间被保持，所以可以可靠地到达到存储器中的有效载荷的分支指令。该有效载荷由于其由特权处理器执行以及其早期执行，能够提取解密设备的加密密钥库所需的硬件秘密的散列，并建立系统的持久利用。
2018-01-31 cs.CR
Early detection of Crossfire attacks using deep learning
交叉火力攻击是最近提出的一种威胁，旨在将整个地理区域（如城市或州）与互联网断开连接。该攻击分多个阶段进行，使用大规模分布式僵尸网络生成低速率良性流量，旨在拥塞选定的网络链路，即所谓的目标链路。采用良性流量，同时针对多个网络链路，使得检测Crossfire攻击成为一个严峻的挑战。在本文中，我们提出了一个早期检测交叉火力攻击的框架，即，在攻击的预热阶段进行检测。我们建议在潜在的诱饵服务器上监控流量，并讨论了与其他监控方法相比的优势。由于低速率攻击流量很难从背景流量中区分出来，我们研究了几种深度学习方法来挖掘时空特征以进行攻击检测。我们研究了自动编码器，卷积神经网络（CNN）和长短期记忆（LSTM）网络来检测Crossfire攻击的预热期。我们报告令人鼓舞的实验结果。
2018-04-20 cs.CR
Grounds for Suspicion: Physics-based Early Warnings for Stealthy Attacks on Industrial Control Systems
对工业控制系统的秘密攻击可能会在逃避检测的同时造成重大损害。在本文中，我们的目标不是关注隐形攻击的检测，而是向运营商提供早期预警，以避免物理损坏并提前保存可能在调查期间作为证据的数据。我们提出了一个框架，以提供怀疑的理由，即反映秘密攻击成功可能性的初步指标。我们提出了两个理由怀疑的基础上的行为的物理过程：（i）一个隐形攻击的可行性，（ii）接近不安全的操作区域。我们提出了一个度量标准，以衡量怀疑的理由，在实时和提供健全的原则，以确保这样的度量标准是一致的怀疑的理由。我们将我们的框架应用于线性时不变（LTI）系统，并将怀疑度量计算作为一个实时可达性问题。我们验证了我们的框架的案例研究，涉及基准田纳西-伊士曼过程。我们通过数值模拟表明，我们可以在潜在的隐形攻击造成损害之前提供早期预警，同时对网络造成最小的负载。最后，我们将我们的框架应用于一个用例，以说明它在支持早期证据收集方面的有用性。
2021-06-15 cs.CR
On the critical path to implant backdoors and the effectiveness of potential mitigation techniques: Early learnings from XZ
本文针对XZ Utils后门引发的新型供应链攻击，梳理其关键攻击路径，并结合攻击各阶段介绍对应的潜在缓解技术，为供应链攻击防护提供参考。
2024-04-13 cs.CR
Attacker Profiling Through Analysis of Attack Patterns in Geographically Distributed Honeypots
本研究针对地理位置对蜜罐威胁情报价值的影响研究不足的问题，通过分析地理分布式蜜罐大型公开数据集的攻击模式构建攻击者画像，发现蜜罐位置助力攻击识别与画像，且仅需两个分布式蜜罐加生产服务器即可搭建针对高资源攻击者的有效预警系统。
2023-05-02 cs.CR cs.NI
Evaluating Apple Intelligence's Writing Tools for Privacy Against Large Language Model-Based Inference Attacks: Insights from Early Datasets
School of Computing（计算学院）；Southern Illinois University Carbondale（南伊利诺伊大学卡罗拉多分校）
本文首次实证评估 Apple Intelligence 写作工具通过重写和语气调整抵御基于大语言模型的情绪推理攻击的隐私保护潜力，为端侧自适应隐私保护机制奠定基础。
2025-06-04 cs.CR cs.LG
Improving Deep Learning Model Robustness Against Adversarial Attack by Increasing the Network Capacity
Northumbria University（诺森比亚大学）
如今，我们越来越依赖于深度学习（DL）模型，因此保护这些系统的安全性至关重要。本文探讨了深度学习中的安全问题，并通过实验分析了构建更具弹性模型的前进方向。通过实验分析了一种新方法的优点和缺点，该方法可以提高DL模型对对抗攻击的鲁棒性。结果显示了改进和新的想法，可以作为研究人员和从业人员创建越来越好的DL算法的建议。
2022-04-24 cs.CR cs.LG cs.NI
An Adaptable Deep Learning-Based Intrusion Detection System to Zero-Day Attacks
Sharif University of Technology（谢里夫理工大学）
入侵检测系统（IDS）是计算机网络安全监控的重要组成部分。IDS区分恶意流量和良性流量，并确定针对组织资产的攻击类型。IDS的主要挑战是面临新的（即，零日）攻击，并将它们与良性流量和现有类型的攻击分开。随着基于深度学习的IDS在自动提取高级特征方面的强大功能及其与耗时且昂贵的签名提取过程的独立性，在新一代IDS中仍然存在上述挑战。在本文中，我们提出了一个基于深度学习的IDS解决新攻击的框架。该框架是第一种在安全范围内使用基于深度新颖性的分类器以及基于深度结构的专用层的传统聚类的方法。此外，我们引入DOC++作为DOC的新版本，作为一个深度新颖的分类器。我们还在预处理阶段采用了深度入侵检测（DID）框架，这提高了深度学习算法检测基于内容的攻击的能力。我们比较了四种不同的算法（包括DOC，DOC++，OpenMax和AutoSVM）作为框架的新颖性分类器，并使用CIC-IDS 2017和CSE-CIC-IDS 2018数据集进行评估。我们的研究结果表明，DOC++是开集识别模块的最佳实现。此外，聚类和后训练阶段的完备性和同质性证明了该模型对于监督标记和更新阶段是足够好的。
2021-08-20 cs.CR cs.LG cs.NI
Mitigating 51% Attacks in Blockchain Systems Through Early Detection and Checkpoint-Based Defense
University of Colorado, Boulder（科罗拉多大学博尔德分校）；University of Colorado Denver（科罗拉多大学丹佛分校）
针对PoW区块链的51%攻击，提出结合早期算力监控预警与检查点限制链重组深度的两层防御，经蒙特卡洛模拟验证可有效降低攻击影响。
2026-09-15 cs.CR
Cross-Domain AI for Early Attack Detection and Defense Against Malicious Flows in O-RAN
本文针对O-RAN中攻击检测数据集匮乏的问题，提出利用跨域AI结合传输网络与RAN数据训练流量分类器，实现93%准确率的早期攻击检测。
2024-01-17 cs.CR cs.NI
Early Approaches to Adversarial Fine-Tuning for Prompt Injection Defense: A 2022 Study of GPT-3 and Contemporary Models
本文记录了2022年针对LLM提示注入和目标劫持攻击的早期研究，提出并评估了Adversarial Fine-Tuning防御技术，发现其能将小型GPT-3变体的攻击成功率降至接近零，为现代提示注入防御研究奠定了基础。
2025-09-15 cs.CR cs.LG
Adaptive DDoS attack detection method based on multiple-kernel learning
分布式拒绝服务（DDoS）攻击给社会造成了巨大的经济损失。它们已成为互联网安全的主要威胁之一。目前大多数基于单一特征和固定模型参数的检测方法无法有效检测云和大数据环境下的早期DDoS攻击。提出了一种基于多核学习（MKL）的自适应DDoS攻击检测方法（ADADM）。基于DDoS攻击流的突发性、地址分布性和通信交互性，定义了5个特征来描述网络流量特征。基于集成学习框架，通过梯度上升增加类间均值，梯度下降减少类内方差，自适应调整各维权重，并且通过训练具有两个特征的简单多核学习（SMKL）模型来建立分类器以识别早期DDoS攻击，所述两个特征包括类间均方差增长（M-SMKL）和类内均方差增长（M-SMKL）。类方差下降（S-SMKL）。采用滑动窗口机制协调S-SMKL和M-SMKL检测早期DDoS攻击。实验结果表明，该方法能够早期、准确地检测到DDoS攻击。
2019-05-20 cs.CR
An Early Categorization of Prompt Injection Attacks on Large Language Models
Copenhagen Business School（哥本哈根商学院）；Temple University（天普大学）
针对大语言模型面临的新型提示注入攻击问题，本文梳理相关新兴威胁，提出攻击分类体系以指导后续研究与开发漏洞核查，并结合文献与实证分析其对三类相关群体的影响。
2024-01-31 cs.CL cs.CR cs.LG
Imperceptible CMOS camera dazzle for adversarial attacks on deep neural networks
Ben Gurion University（本古里安大学）
本文提出一种利用光源对卷帘快门CMOS相机进行眩光干扰的不可见光学对抗攻击，并给出在光源完全不可见条件下欺骗深度神经网络所需的适光条件。
2023-10-22 cs.CR cs.LG
"Give a Positive Review Only": An Early Investigation Into In-Paper Prompt Injection Attacks and Defenses for AI Reviewers
Institute of Information Engineering, CAS（中国科学院信息工程研究所）；School of Cyber Security, University of Chinese Academy of Sciences（中国科学院大学网络安全学院）；The Conversational AI (CoAI) group, DCST, Tsinghua University（清华大学计算机科学与技术系对话式人工智能小组）
本文首次系统研究针对AI审稿人的论文内提示注入攻击，提出静态与迭代两类攻击方法，并探索检测防御，揭示其有效性及局限性。
2026-09-09 cs.CL cs.CR
Black-Box Targeted Reward Poisoning Attack Against Online Deep Reinforcement Learning
University of Illinois at Urbana Champaign（伊利诺伊大学厄巴纳-香槟分校）
本文提出首个针对在线深度强化学习的黑盒定向奖励投毒攻击，仅需有限预算和计算资源即可在未知环境中高效引导智能体达到目标策略，并在理论框架下证明了其最优性。
2023-05-18 cs.CR cs.LG
Membership Inference Attacks Against Temporally Correlated Data in Deep Reinforcement Learning
McGill University（麦吉尔大学）；Mila（米拉研究所）；University of Waterloo（滑铁卢大学）；DarwinAI（达尔文人工智能公司）；DeepMind（深度思维）
虽然在深度强化学习领域已经取得了重大的研究进展，但在文献中还没有专门用于研究深度强化学习算法对成员推断攻击的脆弱性的具体对抗攻击策略。在这样的攻击系统中，攻击者将收集的输入数据集作为目标，深度强化学习算法已经在该输入数据集上进行了训练。为了解决这一差距，我们提出了一个对抗攻击框架，旨在测试最先进的深度强化学习算法对成员推断攻击的脆弱性。特别地，我们设计了一系列实验来研究自然存在于强化学习训练数据中的时间相关性对信息泄漏概率的影响。此外，我们比较了\emph{collective}和\emph{individual}成员攻击对深度强化学习算法的性能。实验结果表明，在三个不同的连续控制Mujoco任务中，所提出的对抗攻击框架在推断数据时具有惊人的有效性，其准确度超过了个体模式下的$84\%$和集体模式下的$97\%$，这在这方面引起了严重的隐私问题。最后，我们证明了强化学习算法的学习状态显著影响隐私泄露的水平。
2022-11-16 cs.CR cs.LG
Attack and Defense of Deep Learning Models in the Field of Web Attack Detection
Chinatelecom Research Institute（中国电信研究院）；School of Data Science and Engineering, East China Normal University（华东师范大学数据科学与工程学院）
针对Web攻击检测领域深度学习模型的后门攻击研究空白，提出5种后门攻击方法及对应防御策略，测试显示攻击成功率超87%且可通过微调降低，为该领域攻防研究提供参考。
2024-06-18 cs.CR cs.LG
Evaluating Deep Learning Models and Adversarial Attacks on Accelerometer-Based Gesture Authentication
San Jose State University（圣何塞州立大学）
基于手势的身份验证已经成为一种非侵入式的、有效的移动设备上的用户身份验证手段。通常，这样的认证技术依赖于经典的机器学习技术，但是最近，深度学习技术已经应用于这个问题。尽管先前的研究表明，深度学习模型容易受到对抗攻击的攻击，但在对抗领域对行为生物识别技术的研究相对较少。在这项研究中，我们收集了来自46个用户的三轴加速度计手势数据（TAGD），并使用经典机器学习和深度学习模型进行分类实验。具体来说，我们训练和测试支持向量机（SVM）和卷积神经网络（CNN）。然后，我们考虑一个现实的对抗攻击，我们假设攻击者可以访问真实用户的TAGD数据，但不能访问身份验证模型。我们使用深度卷积生成对抗网络（DC-GAN）来创建对抗样本，我们证明了我们的深度学习模型对这种攻击场景具有惊人的鲁棒性。
2021-10-03 cs.CR cs.LG
Bluff: Interactively Deciphering Adversarial Attacks on Deep Neural Networks
Georgia Institute of Technology（佐治亚理工学院）；Georgia Tech Research Institute（佐治亚理工研究院）
深度神经网络（DNN）现在通常用于许多领域。然而，它们很容易受到对抗攻击：精心设计的数据输入扰动，可以欺骗模型做出错误的预测。尽管在开发DNN攻击和防御技术方面进行了大量研究，但人们仍然缺乏对此类攻击如何渗透模型内部的理解。我们提出了Bluff，一个交互式系统，用于可视化，表征和破译基于视觉的神经网络上的对抗攻击。Bluff允许人们灵活地可视化和比较良性和受攻击图像的激活路径，揭示对抗攻击对模型造成伤害的机制。Bluff是开源的，可以在现代的Web浏览器中运行。
2020-09-08 cs.CR cs.LG
Early detection of the advanced persistent threat attack using performance analysis of deep learning
University of Birjand（比尔詹德大学）；Mazandaran University of Science and Technology（马赞达兰科技大学）；Duy Tan University（维新大学）；National Yunlin University of Science and Technology（国立云林科技大学）；Obuda University（欧布达大学）；Norwegian University of Life Sciences（挪威生命科学大学）；Technische Universität Dresden（德累斯顿工业大学）；J. Selye University（J.塞利耶大学）
对受害者系统最常见和最重要的破坏性攻击之一是高级持续威胁（APT）攻击。APT攻击者可以通过获取有关网络基础设施的信息和获得经济利益来实现其敌对目标。检测秘密APT攻击的解决方案之一是使用网络流量。由于APT攻击在网络上存在很长时间的性质，以及网络可能因高流量而崩溃的事实，很难检测到这种类型的攻击。因此，在这项研究中，机器学习方法，如C5.0决策树，贝叶斯网络和深度神经网络用于及时检测和分类的NSL-KDD数据集上的APT攻击。此外，采用10折交叉验证法对模型进行了验证。其结果是，C5.0决策树、贝叶斯网络和6层深度学习模型的准确率（ACC）分别为95.64%、88.37%和98.85%，并且，在假阳性率（FPR）的重要标准方面，C5.0决策树的FPR值，贝叶斯网络和6层深度学习模型分别为2.56、10.47和1.13。实验结果表明，与其他分类模型相比，具有自动多层特征提取功能的深度学习模型在及时检测APT攻击方面具有最佳性能。
2020-09-19 cs.CR cs.LG stat.ML
Attacking and Defending Deep Reinforcement Learning Policies
最近的研究表明，深度强化学习（DRL）策略容易受到对抗攻击的攻击，这引起了人们对DRL在安全关键系统中应用的担忧。本文从鲁棒优化的角度出发，采用原则性的方法研究了DRL策略对对抗攻击的鲁棒性。在鲁棒优化的框架下，通过最小化策略的期望收益给出最优的对抗攻击，相应地，通过提高策略的最坏情况性能来实现良好的防御机制。考虑到攻击者通常无法访问训练环境，我们提出了一种贪婪攻击算法，该算法试图在不与环境交互的情况下最小化策略的预期收益，以及一种防御算法，该算法以最大-最小形式进行对抗性训练。在Atari游戏环境下的实验表明，与现有攻击算法相比，该攻击算法更有效，策略回报率更低;与现有防御算法相比，该防御算法对一系列对抗攻击（包括本文提出的攻击算法）具有更强的鲁棒性。
2022-05-16 cs.CR cs.LG
Towards Security Threats of Deep Learning Systems: A Survey
Institute of Information Engineering, Chinese Academy of Sciences（中国科学院信息工程研究所）；School of Cybersecurity, University of Chinese Academy of Sciences（中国科学院大学网络空间安全学院）
深度学习在过去几年中取得了巨大的成功和巨大的普及。然而，深度学习系统存在一些固有的弱点，这些弱点可能会威胁到学习模型的安全性。深度学习的广泛使用进一步放大了影响和后果。为此，进行了大量研究，目的是彻底查明内在弱点，随后提出可行的缓解措施。然而，很少有人清楚这些弱点是如何产生的，以及这些攻击方法在攻击深度学习方面有多有效。为了揭示安全漏洞并帮助开发强大的深度学习系统，我们对针对深度学习的攻击进行了调查，并分析了这些攻击，以从多个角度总结一些发现。特别是，我们关注与深度学习的安全威胁相关的四种类型的攻击：模型窃取攻击，模型反演攻击，中毒攻击和对抗攻击。对于每种类型的攻击，我们构建其基本工作流程以及对手的能力和攻击目标。设计了枢轴指标来比较攻击方法，通过这些指标我们进行了定量和定性分析。通过分析，我们确定了攻击媒介中重要且不可或缺的因素，例如，如何减少对目标模型的查询，应该使用什么距离来测量扰动。我们揭示了18个发现，涵盖这些方法的优点和缺点，成功的概率，部署的复杂性和前景。此外，我们还讨论了其他潜在的安全弱点和可能的缓解措施，可以激发在这一领域的相关研究。
2020-10-27 cs.CR cs.LG
Backdoor Attack and Defense for Deep Regression
Pennsylvania State University（宾夕法尼亚州立大学）；Anomalee Inc.（Anomalee 公司）；Imperial College（帝国理工学院）
我们演示了对用于回归的深度神经网络的后门攻击。基于训练集数据投毒来定位后门攻击，其中错误标记的样本被正确标记的样本包围。我们演示了如何这样的本地化是必要的攻击成功。我们还研究了使用基于梯度的发现本地错误最大化的后门防御的性能。局部误差最大化与显着（插值）错误，并接近许多训练样本，是可疑的。该方法还用于首先通过主动（深度）学习来准确地训练深度回归，该主动（深度）学习利用能够为样本提供实值监督（回归目标）的“oracle”。这种预言机，包括使用有限差分或蒙特卡罗近似的PDE或PDE的传统数值求解器，与深度回归相比，计算成本要高得多。
2021-09-06 cs.CR cs.LG
Carpet-bombing patch: attacking a deep network without usual requirements
IRT SystemX（SystemX数字技术研究所）；ONERA（法国航空航天实验室）；Université Paris-Saclay（巴黎萨克雷大学）
尽管深度网络已经显示出易受规避攻击的脆弱性，但此类攻击通常具有不切实际的要求。最近的文献讨论了删除或不删除其中一些要求的可能性。本文通过介绍一种几乎没有要求的地毯式轰炸补丁攻击，为这一文献做出了贡献。针对特征表示，这种补丁攻击不需要知道网络任务。这种攻击降低了Imagenet、Pascal Voc上的mAP和Cityscapes上的IoU的准确性，而不知道底层任务分别涉及分类、检测或语义分割。除了这种攻击带来的潜在安全问题之外，地毯式轰炸攻击的影响还突出了深层网络层动态的一些有趣特性。
2022-12-12 cs.CR cs.CV cs.LG
DeepSight: Mitigating Backdoor Attacks in Federated Learning Through Deep Model Inspection
Technical University of Darmstadt（达姆施塔特工业大学）
联邦学习（FL）允许多个客户端在其私有数据上协作训练神经网络（NN）模型，而不会泄露数据。最近，针对FL的几次有针对性的中毒攻击已经被引入。这些攻击在最终模型中注入了后门，允许对手控制的输入被错误分类。针对后门攻击的现有对策是低效的，并且通常仅仅旨在从聚合中排除偏离模型。然而，这种方法也删除了具有偏差数据分布的客户端的良性模型，导致聚合模型对于此类客户端的性能较差。为了解决这个问题，我们提出了DeepSight，一种新的模型过滤方法，用于减轻后门攻击。它是基于三种新的技术，允许表征用于训练模型更新的数据的分布，并寻求测量细粒度的差异，在内部结构和输出的神经网络。使用这些技术，DeepSight可以识别可疑的模型更新。我们还开发了一个计划，可以准确地聚类模型更新。结合这两个组件的结果，DeepSight能够识别和消除包含具有高攻击影响的中毒模型的模型集群。我们还表明，可能未被检测到的中毒模型的后门贡献，可以有效地减轻现有的重量裁剪为基础的防御。我们评估了DeepSight的性能和有效性，并表明它可以减轻最先进的后门攻击，对良性数据的模型性能的影响可以忽略不计。
2022-01-03 cs.CR cs.LG
Gradient Leakage Attack Resilient Deep Learning
Georgia Institute of Technology（佐治亚理工学院）
梯度泄漏攻击被认为是深度学习中最严重的隐私威胁之一，因为攻击者在迭代训练期间秘密地监视梯度更新，而不影响模型训练质量，并且使用泄漏的梯度秘密地重建敏感的训练数据，具有高攻击成功率。虽然具有差分隐私的深度学习是发布具有差分隐私保证的深度学习模型的事实标准，但我们表明具有固定隐私参数的差分隐私算法容易受到梯度泄漏攻击。本文研究了具有差分隐私（DP）的梯度泄漏弹性深度学习的替代方法。首先，我们分析了具有差分隐私的深度学习的现有实现，该实现使用固定的噪声方差来使用固定的隐私参数向所有层的梯度注入恒定的噪声。尽管提供了DP保证，但该方法精度低并且容易受到梯度泄漏攻击。其次，我们提出了一种梯度泄漏弹性深度学习方法，通过使用动态隐私参数的差分隐私保证。与导致恒定噪声方差的固定参数策略不同，不同的动态参数策略提供了引入自适应噪声方差和自适应噪声注入的替代技术，这些技术与差分私有模型训练期间的梯度更新趋势密切相关。最后，我们描述了四个补充指标来评估和比较替代方法。
2021-12-25 cs.CR cs.LG
BEAGLE: Forensics of Deep Learning Backdoor Attack for Better Defense
Purdue University（普渡大学）；Rutgers University（罗格斯大学）
深度学习后门攻击的威胁模型与传统网络攻击相似。攻击取证作为传统网络攻击的重要对抗手段，对于防御典型的后门攻击具有重要意义。在本文中，我们提出了一种新的模型后门取证技术。给定一些攻击样本，例如带有后门触发器的输入，这可能代表不同类型的后门，我们的技术会自动将它们分解为干净的输入和相应的触发器。然后，它根据触发器的属性对触发器进行聚类，以允许自动攻击分类和总结。后门扫描器可以自动合成，以找到其他模型中相同类型后门的其他实例。我们对2，532个预训练模型，10种流行攻击的评估以及与9种基线的比较表明，我们的技术非常有效。分解的干净输入和触发器非常类似于地面实况。合成的扫描程序大大优于现有扫描程序的普通版本，这些扫描程序很难推广到不同类型的攻击。
2023-01-16 cs.CR cs.LG
Exploiting Vulnerabilities in Deep Neural Networks: Adversarial and Fault-Injection Attacks
Technische Universität Wien (TU Wien)（维也纳工业大学）；New York University Abu Dhabi (NYUAD)（纽约大学阿布扎比分校）
从微小的起搏器芯片到飞机防撞系统，最先进的网络物理系统（CPS）越来越多地开始依赖深度神经网络（DNN）。然而，正如各种研究所得出的结论，DNN非常容易受到安全威胁，包括对抗攻击。在本文中，我们首先讨论了不同的漏洞，可以利用生成安全攻击的神经网络为基础的系统。然后，我们概述了DNN上现有的对抗性和基于故障注入的攻击。我们还进行了简短的分析，以强调实际实施对抗攻击时面临的不同挑战。最后，我们还讨论了开发健壮的基于DNN的系统的各种潜在方法，这些系统可以抵御对抗性攻击和故障注入攻击。
2021-05-05 cs.CR cs.LG
Adversarial Attack Based Countermeasures against Deep Learning Side-Channel Attacks
本文针对深度学习侧信道攻击提出基于对抗攻击的新型防护对策，实验证明其既能有效抵御深度学习侧信道攻击，也能抵抗经典侧信道攻击。
2020-09-22 cs.CR
DeepLaser: Practical Fault Attack on Deep Neural Networks
Nanyang Technological University（南洋理工大学）；Harbin Institute of Technology（哈尔滨工业大学）
由于深度学习系统被广泛应用于安全和安全关键应用中，例如自动驾驶汽车、银行系统等，恶意故障和攻击成为一个巨大的问题，这可能导致灾难性的后果。在本文中，我们发起了利用物理故障注入攻击深度神经网络（DNN）的第一个研究，通过使用激光注入技术在嵌入式系统上。特别是，我们的探索性研究针对DNN开发中广泛使用的四个激活函数，它们是创建非线性行为的DNN的一般主要构建块- ReLu，softmax，sigmoid和tanh。我们的研究结果表明，通过针对这些功能，有可能通过将故障注入网络的隐藏层来实现错误分类。这样的结果可能对实际应用有实际意义，在实际应用中，故障可以通过更简单的方式（例如改变电源电压）引入。
2018-09-29 cs.CR cs.LG
Fine-Pruning: Defending Against Backdooring Attacks on Deep Neural Networks
New York University（纽约大学）
深度神经网络（DNN）在广泛的分类任务中提供出色的性能，但其训练需要大量的计算资源，并且通常外包给第三方。最近的研究表明，外包训练引入了一种风险，即恶意训练者将返回一个后门DNN，该DNN在大多数输入上表现正常，但在存在只有攻击者才知道的触发器时，会导致有针对性的错误分类或降低网络的准确性。在本文中，我们提供了第一个有效的防御后门攻击的DNN。我们实现了三个后门攻击从以前的工作，并使用它们来调查两个有前途的防御，修剪和微调。我们表明，两者本身都不足以抵御复杂的攻击者。然后，我们评估了精细修剪，修剪和微调的组合，并表明它成功地削弱甚至消除了后门，即，在某些情况下，将攻击成功率降低到0%，对于干净（非触发）输入，准确度仅下降0.4%。我们的工作为防御深度神经网络中的后门攻击迈出了第一步。
2018-05-30 cs.CR cs.LG
Efficient Reward Poisoning Attacks on Online Deep Reinforcement Learning
University of Illinois at Urbana-Champaign（伊利诺伊大学厄巴纳-香槟分校）
本文提出黑盒对抗性MDP奖励投毒框架，仅需篡改少量训练时间步即可使在线DRL智能体学到低性能策略，并通过理论与实验验证其在多种环境和算法上的有效性。
2023-07-15 cs.CR cs.LG
Evaluation of Inference Attack Models for Deep Learning on Medical Data
Guangdong University of Technology（广东工业大学）；University of Houston（休斯顿大学）；Houston Methodist Cancer Center（休斯顿卫理公会癌症中心）
深度学习在医疗保健和医学界引起了广泛的兴趣。然而，很少有人研究为医疗应用而训练的深度网络所造成的隐私问题。最近开发的推理攻击算法表明，具有查询深度网络能力的恶意方可以重建图像和文本记录。这引起了人们的担忧，即包含敏感患者信息的医疗图像和电子健康记录容易受到这些攻击。本文旨在吸引医学深度学习社区的研究人员对这一重要问题的兴趣。我们评估了两个突出的推理攻击模型，即属性推理攻击和模型反演攻击。我们表明，他们可以重建真实世界的医学图像和临床报告，高保真度。然后，我们研究如何保护患者的隐私使用防御机制，如标签扰动和模型扰动。我们提供了原始和具有防御的医学深度学习模型之间的攻击结果的比较。实验结果表明，本文提出的防御方法能够有效降低推理攻击对医学深度学习隐私的潜在泄露。
2020-10-31 cs.CR cs.CV cs.LG
Constrained Adaptive Attack: Effective Adversarial Attack Against Deep Neural Networks for Tabular Data
University of Luxembourg（卢森堡大学）；LIST / RIKEN AIP（LIST / 理化学研究所人工智能项目）
针对表格数据深度模型对抗鲁棒性评估的空白，本文提出自适应梯度攻击CAPGD及结合MOEVA的高效规避攻击CAA，在多数实验设置下显著降低模型准确率且速度快，建议将其作为表格机器学习防御的最低测试标准。
2024-06-02 cs.CR cs.LG
Wolf in Sheep's Clothing - The Downscaling Attack Against Deep Learning Applications
Qihoo 360 Security Research Lab（奇虎360安全研究实验室）；University of Georgia（佐治亚大学）；University of Florida（佛罗里达大学）
本文考虑了常见深度学习应用程序中数据处理管道中隐藏的安全风险。深度学习模型通常假设其训练和输入数据的比例是固定的。为了允许深度学习应用程序处理各种输入数据，流行的框架，如Caffe，TensorFlow和Torch，都提供了数据缩放功能，以调整输入到深度学习模型使用的维度。图像缩放算法旨在保留缩放后图像的视觉特征。然而，常见的图像缩放算法并不是设计来处理人工制作的图像的。攻击者可以使缩放输出看起来与相应的输入图像截然不同。本文提出了一种针对深度学习应用中数据缩放过程的降尺度攻击。通过精心制作与深度学习模型使用的维度不匹配的输入数据，攻击者可以创造欺骗效果。深度学习应用程序有效地消耗与呈现给用户的数据不同的数据。视觉上的不一致性使实际的规避和数据投毒攻击深度学习应用程序。本文介绍了流行的基于深度学习的图像分类应用的概念验证攻击示例。为了解决降级攻击，本文还提出了多种潜在的缓解策略。
2017-12-21 cs.CR cs.CV cs.LG
Stability-Drift Early Warning for Cyber-Physical Systems Under Degradation Attacks
Astana IT University（阿斯塔纳IT大学）
本文提出基于稳定性漂移的早期预警方法，用于检测无人机在缓慢降级攻击下的早期不稳定性，通过监测状态转移偏离度实现提前预警，提升系统安全性。
2025-12-15 cs.CR
Deep-Attack over the Deep Reinforcement Learning
Northwestern Polytechnical University（西北工业大学）；Nanyang Technological University（南洋理工大学）
最近的对抗攻击发展使得强化学习更加脆弱，并且存在不同的方法来部署针对它的攻击，其中关键是如何选择正确的攻击时机。一些工作试图设计一个攻击评估函数来选择临界点，如果该值大于某个阈值，将被攻击。这种方法使得在不考虑长期影响的情况下很难找到部署攻击的正确位置。此外，在袭击期间缺乏适当的评估指标。为了使攻击更加智能化，同时弥补现有的问题，我们提出了基于强化学习的攻击框架，同时从有效性和隐蔽性两个方面考虑，提出了一种新的评价攻击模型性能的指标。实验结果表明，我们提出的模型的有效性和我们提出的评价指标的优良性。此外，我们还验证了模型的可移植性，以及在对抗训练下的鲁棒性。
2022-05-02 cs.AI cs.CR cs.CY
Availability Adversarial Attack and Countermeasures for Deep Learning-based Load Forecasting
Imperial College London（伦敦帝国学院）
电力负荷预测是电力系统规划和运行的基础。最近，深度学习的进步使得预测更加准确。然而，深度神经网络容易受到对抗攻击。虽然大多数文献都集中在基于完整性的攻击，本文提出了基于可用性的对抗攻击，它可以更容易地实现的攻击者。对于每个预测实例，通过人工神经网络的混合整数重构优化求解可用攻击位置。为了解决这种攻击，提出了一种对抗性训练算法。在仿真中，一个现实的负载预测数据集被认为是和攻击性能进行比较，基于完整性的攻击。同时，对抗性训练算法显着提高了对可用性攻击的鲁棒性。所有代码都可以在https://github.com/xuwkk/AAA_Load_Forecast上找到。
2023-01-04 cs.CR cs.LG cs.SY
Adversarial Robustness in Deep Learning: Attacks on Fragile Neurons
University of Reading（雷丁大学）；KTH Royal Institute of Technology（瑞典皇家理工学院）；University of Catania（卡塔尼亚大学）；University of Cambridge（剑桥大学）
我们使用第一卷积层的节点丢弃来识别深度学习架构的脆弱和鲁棒神经元。使用对抗目标算法，我们将这些神经元与网络上对抗攻击的分布相关联。神经网络的对抗鲁棒性近年来受到了广泛关注，并凸显了深度学习网络在应对输入图像精心构造的失真时的固有弱点。在本文中，我们评估了在MNIST和CIFAR10数据集上训练的最新图像分类模型对快速梯度符号方法攻击的鲁棒性，快速梯度符号方法是一种简单而有效的欺骗神经网络的方法。我们的方法确定了网络中受对抗攻击影响最大的特定神经元。因此，我们建议通过压缩鲁棒神经元内的特征并按比例放大脆弱神经元，使脆弱神经元对这些攻击更具鲁棒性。
2022-01-31 cs.CR cs.LG
Security Analysis of Deep Neural Networks Operating in the Presence of Cache Side-Channel Attacks
University of Maryland（马里兰大学）；Swarthmore College（斯沃斯莫尔学院）；Rochester Institute of Technology（罗切斯特理工学院）；Blair High School（布莱尔高中）；Baylor University（贝勒大学）
最近的工作已经引入了提取深度神经网络（DNN）的架构信息的攻击，因为这些知识增强了对手对模型进行黑箱攻击的能力。本文首次深入分析了利用缓存侧通道的DNN指纹攻击的安全性。首先，我们定义了这些攻击的威胁模型：我们的对手不需要查询受害者模型的能力;相反，她在主机受害者的深度学习（DL）系统上运行一个协同定位的进程，并被动地监视共享框架中目标函数的访问。其次，我们介绍了DeepRecon，这是一种通过使用通过Flush+ Escherad（一种缓存侧通道技术）提取的内部信息来重建受害者网络架构的攻击。一旦攻击者观察到直接映射到受害者网络的架构属性的函数调用，攻击者就可以重建受害者的整个网络架构。在我们的评估中，我们证明了攻击者可以准确地重建两个复杂的网络（VGG 19和ResNet 50），只观察到一个前向传播。基于提取的架构属性，我们还证明了攻击者可以构建一个元模型，该元模型可以在迁移学习设置中准确识别预训练模型的架构和家族。从这个元模型中，我们评估了指纹识别过程中观察到的属性的重要性。第三，我们提出并评估新的框架级防御技术，混淆我们的攻击者的意见。我们的经验安全分析代表了理解DNN对缓存侧信道攻击的脆弱性的一步。
2020-01-31 cs.CR cs.LG
Mitigation of Policy Manipulation Attacks on Deep Q-Networks with Parameter-Space Noise
Kansas State University（堪萨斯州立大学）
最近的发展已经确定了深度强化学习对通过故意扰动输入（称为对抗性示例）的策略操纵攻击的脆弱性。在这项工作中，我们提出了一种基于在训练过程中向深度强化学习器的参数空间添加噪声来减轻此类攻击的技术。我们通过实验验证了参数空间噪声在降低对抗性示例的可转移性方面的效果，并展示了该技术在测试和训练时减轻白盒和黑盒攻击影响的良好性能。
2018-06-04 cs.CR cs.LG stat.ML
Towards Lightweight Black-Box Attacks against Deep Neural Networks
University of Science and Technology of China（中国科学技术大学）；Hong Kong Baptist University（香港浸会大学）；Alibaba Cloud Computing Ltd（阿里云计算有限公司）；iFlytek Research（讯飞研究院）；The University of Sydney（悉尼大学）
黑盒攻击可以在不访问目标模型参数的情况下生成对抗性示例，这在很大程度上加剧了部署的深度神经网络（DNN）的威胁。然而，以前的工作指出，黑盒攻击无法误导目标模型时，他们的训练数据和输出是不可访问的。在这项工作中，我们认为，黑盒攻击可以构成实际的攻击，在这种极其限制性的情况下，只有几个测试样本。具体来说，我们发现攻击在一些测试样本上训练的DNN的浅层可以生成强大的对抗性示例。由于只需要几个样本，我们将这些攻击称为轻量级黑盒攻击。推广轻量级攻击的主要挑战是减轻由浅层近似误差引起的不利影响。由于在样本较少的情况下很难减轻近似误差，因此我们提出了用于轻量级攻击的误差Transformer（ETF）。即，ETF将参数空间中的近似误差转换为特征空间中的扰动，并通过扰动特征来消除误差。在实验中，轻量级的黑盒攻击与建议的ETF取得了令人惊讶的结果。例如，即使每个类别只有1个样本可用，轻量级黑盒攻击的攻击成功率也仅比具有完整训练数据的黑盒攻击的攻击成功率低约3%。
2022-10-11 cs.CR cs.LG
DeepCorr: Strong Flow Correlation Attacks on Tor Using Deep Learning
University of Massachusetts Amherst（马萨诸塞大学阿默斯特分校）
流关联是Tor上大量去匿名化攻击中使用的核心技术。尽管流相关攻击对Tor很重要，但现有的流相关技术在大规模应用时被认为在链接Tor流方面是无效和不可靠的，即，但是它们强加了高的假阳性出错率，或者需要不切实际的长流量观测以能够进行可靠的相关。在本文中，我们表明，不幸的是，通过利用新兴的学习机制，可以对Tor流量进行流相关攻击，其准确率比以前高得多。我们特别设计了一个名为DeepCorr的系统，它在关联Tor连接方面的性能远远优于最先进的系统。DeepCorr利用先进的深度学习架构来学习为Tor的复杂网络量身定制的流相关函数，这与以前的作品使用通用统计相关度量来关联Tor流形成对比。我们表明，通过适度的学习，DeepCorr可以将Tor连接（从而打破其匿名性）与比现有算法更高的准确性相关联，并使用更短的流量观察长度。例如，通过收集每个目标Tor流的大约900个数据包（大约900KB的Tor数据），DeepCorr提供了96%的流相关准确度，而RAPTOR最先进的系统使用相同的精确设置只能提供4%的准确度。我们希望我们的工作能够证明，鉴于学习算法的最新进展，流相关攻击对Tor的威胁正在升级，这需要Tor社区及时部署有效的对策。
2018-08-22 cs.CR cs.LG
Attacks on Image Encryption Schemes for Privacy-Preserving Deep Neural Networks
隐私保护机器学习是一个活跃的研究领域，通常依赖于同态加密或安全多方计算等技术。最近，Tanaka和Sirichotedumrong、Kinoshita和Kiya提出了使用深度神经网络对图像执行机器学习的新加密技术。我们提出了新的选择明文和密文的攻击对这两个建议的图像加密方案，并证明了攻击的有效性的几个例子。
2020-04-29 cs.CR cs.CV cs.LG
PINCH: An Adversarial Extraction Attack Framework for Deep Learning Models
Lancaster University（兰卡斯特大学）；Mindgard（Mindgard公司）
对抗性提取攻击构成了对深度学习（DL）模型的潜在威胁，其中攻击者旨在窃取目标DL模型的架构、参数和超参数。现有的提取攻击文献已经观察到不同DL模型和数据集的攻击成功程度不同，但其易感性背后的根本原因通常仍不清楚，这将有助于创建安全的DL系统。在本文中，我们提出了PINCH：一个高效和自动化的提取攻击框架，能够设计，部署和分析跨异构硬件平台的提取攻击场景。使用PINCH，我们对21个模型架构进行了广泛的提取攻击实验评估，以探索新的提取攻击场景和进一步的攻击分期。我们的研究结果表明：（1）关键提取特征，即特定的模型配置对特定的攻击表现出很强的弹性，（2）即使部分提取成功，也可以进一步分期为其他对抗攻击，（3）等效被盗模型揭示了表达能力的差异，但表现出类似的捕获知识。
2023-01-31 cs.AI cs.CR cs.LG
Don't Trigger Me! A Triggerless Backdoor Attack Against Deep Neural Networks
CISPA Helmholtz Center for Information Security（CISPA 亥姆霍兹信息安全研究中心）
针对深度神经网络的后门攻击由于其严重的安全后果目前正被深入研究。当前最先进的后门攻击要求对手修改输入，通常是通过向其添加触发器，以便目标模型激活后门。这种增加的触发器不仅增加了在物理世界中发动后门攻击的难度，而且可以很容易地被多种防御机制检测到。在本文中，我们提出了第一个针对深度神经网络的无攻击者后门攻击，其中对手不需要修改触发后门的输入。我们的攻击是基于dropout技术。具体地说，我们将一组在模型训练期间退出的目标神经元与目标标签相关联。在预测阶段，当目标神经元再次被丢弃时，模型将输出目标标签，即，则发起后门攻击。我们的攻击的这种无边界特征使其在物理世界中变得实用。大量的实验表明，我们的无攻击者的后门攻击达到了完美的攻击成功率，可以忽略不计的损害模型的实用性。
2020-10-07 cs.CR cs.CV cs.LG
Golden Ratio Search: A Low-Power Adversarial Attack for Deep Learning based Modulation Classification
Indian Institute of Technology Madras（印度马德拉斯理工学院）
本文提出一种基于黄金比例搜索的低功耗白盒对抗攻击，用于深度学习调制分类，该方法能以最小功耗快速生成强大攻击，并有效挑战现有防御机制。
2024-09-17 cs.CR cs.LG eess.SP
Cyber Intrusion Detection by Using Deep Neural Networks with Attack-sharing Loss
Montclair State University（蒙特克莱尔州立大学）；Stevens Institute of Technology（史蒂文斯理工学院）；Dalian University of Technology（大连理工大学）
网络攻击对计算机系统安全构成重大威胁，并使数字财富面临过度风险。这就迫切需要一种有效的入侵检测系统，能够高精度地识别入侵攻击。由于攻击的种类繁多，对入侵事件进行分类是一个挑战。此外，在正常的网络环境中，大多数连接是由良性行为发起的。入侵检测中的类不平衡问题迫使分类器偏向于大多数/良性类，从而使许多攻击事件未被检测到。受深度神经网络在计算机视觉和自然语言处理中的成功启发，本文设计了一个名为DeepIDEA的新系统，该系统充分利用了深度学习来实现入侵检测和分类。为了实现对不平衡数据的高检测精度，我们设计了一种新的攻击共享损失函数，可以有效地移动决策边界的攻击类，并消除了对大多数/良性类的偏见。通过使用这个损失函数，DeepIDEA尊重这样一个事实，即入侵错误分类应该比攻击错误分类受到更高的惩罚。在三个基准数据集上的大量实验结果证明了DeepIDEA的高检测精度。特别是，与八种最先进的方法相比，DeepIDEA始终提供最佳的类平衡精度。
2021-03-17 cs.AI cs.CR cs.LG
On the Robustness of Deep Clustering Models: Adversarial Attacks and Defenses
University of California（加利福尼亚大学）
聚类模型是一类无监督的机器学习方法，在现代数据科学中发挥着重要作用。随着深度学习的最新进展，深度聚类模型已经成为传统聚类方法的最新技术，特别是对于高维图像数据集。虽然传统的聚类方法已经从鲁棒性的角度进行了分析，但没有先前的工作以原则性的方式研究了深度聚类模型的对抗攻击和鲁棒性。为了弥合这一差距，我们提出了一种使用生成对抗网络（GANs）的黑盒攻击，其中对手不知道正在使用哪个深度聚类模型，但可以查询它的输出。我们分析了我们对多个最先进的深度聚类模型和真实世界数据集的攻击，发现它非常成功。然后，我们采用一些自然的无监督防御方法，但发现这些都无法减轻我们的攻击。最后，我们攻击Face++，一个生产级的人脸聚类API服务，发现我们也可以显着降低其性能。通过这项工作，我们的目标是激发对真正强大的深度聚类模型的需求。
2022-10-04 cs.AI cs.CR cs.LG
Adversarial Deep Ensemble: Evasion Attacks and Defenses for Malware Detection
Nanjing University of Science and Technology（南京理工大学）
恶意软件仍然是网络安全的一大威胁，需要基于机器学习的恶意软件检测。虽然很有前途，但已知这种检测器容易受到规避攻击。包围学习通常有助于采取对策，而攻击者也可以利用这种技术来提高攻击效率。这促使我们研究集成防御的鲁棒性或集成攻击的有效性，特别是当它们相互攻击时。因此，我们提出了一种新的攻击方法，命名为混合攻击，使攻击者能够多个生成方法和多个操作集，扰乱恶意软件的例子，而不会破坏其恶意功能。这自然会导致对抗性训练的新实例化，从而进一步增强深度神经网络的整体。我们使用Android恶意软件检测器对两个实际数据集上的26种不同攻击进行防御评估。实验结果表明，新的对抗性训练显著增强了深度神经网络对各种攻击的鲁棒性，当基分类器足够鲁棒时，集成方法可以提高鲁棒性，但集成攻击可以有效地避开增强的恶意软件检测器，甚至显着降低了VirusTotal服务。
2020-06-30 cs.CR cs.LG stat.ML
