Downscaling Attack and Defense: Turning What You See Back Into What You Get
Center for Security and Emerging Technology, Georgetown University（乔治敦大学安全与新兴技术中心）；Georgetown University（乔治敦大学）
作为计算机视觉系统预处理的一部分，图像的嵌入易受攻击。可以创建图像，使得图像在机器视觉尺度下与其他尺度下完全不同，并且一些常见计算机视觉和机器学习系统的默认设置容易受到攻击。我们表明，防御是存在的，是微不足道的管理提供防御者意识到的威胁。这些攻击和防御有助于确立输入净化在机器学习中的作用。
2020-10-07 cs.AI cs.CR cs.CV
Too Expensive to Attack: Enlarge the Attack Expense through Joint Defense at the Edge
分布式拒绝服务（DDoS）攻击对企业和个人都是有害的，因为人们严重依赖互联网。由于利润可观，黑客青睐DDoS作为网络安全武器来攻击受害者。更糟糕的是，边缘服务器更容易受到攻击。目前的解决方案缺乏对攻击者和防御者之间协作的代价的充分考虑。因此，我们重新审视DDoS攻击和防御，阐明双方的优势和劣势。我们进一步提出了一个联合防御框架，以击败攻击者所需的机器人和扩大攻击费用的显着增加。定量评估和实验评估表明，这种费用可能会激增数千倍。费用的暴涨导致严重损失的破解者，这阻止了进一步的攻击。
2021-07-03 cs.CR
An Analysis of Adversarial Attacks and Defenses on Autonomous Driving Models
Macquarie University（麦考瑞大学）；Harvard University（哈佛大学）；University of Sydney（悉尼大学）；University of California, Los Angeles（加利福尼亚大学洛杉矶分校）
如今，自动驾驶已经引起了工业界和学术界的广泛关注。卷积神经网络（CNN）是自动驾驶中的关键组件，也越来越多地被智能手机、可穿戴设备和物联网网络等普适计算所采用。先前的工作表明，基于CNN的分类模型容易受到对抗性攻击。然而，目前还不确定回归模型（如驱动模型）在多大程度上容易受到对抗性攻击，现有防御技术的有效性以及对系统和中间件构建者的防御影响。本文深入分析了三种驱动模型的五种对抗性攻击和四种防御方法。实验表明，与分类模型类似，这些模型仍然非常容易受到对抗性攻击。这对自动驾驶构成了很大的安全威胁，因此在实践中应该加以考虑。虽然这些防御方法可以有效地防御不同的攻击，但没有一种能够对所有五种攻击提供足够的保护。我们得出了对系统和中间件构建者的几个启示：（1）当添加对抗性攻击的防御组件时，重要的是要串联部署多种防御方法以实现对各种攻击的良好覆盖，（2）与白盒攻击相比，黑盒攻击的有效性要低得多，这意味着重要的是要保留模型细节（例如，模型体系结构、超参数）通过模型混淆而机密，以及（3）如果计算资源允许，则优选驱动具有复杂体系结构的模型，因为它们比简单模型对对抗性攻击更有弹性。
2020-02-06 cs.CR cs.LG eess.SP
Defense Methods Against Adversarial Examples for Recurrent Neural Networks
众所周知，对抗性示例会误导深度学习模型对它们进行错误的分类，即使在这些模型达到最先进性能的领域也是如此。直到最近，攻击和防御方法的研究都集中在图像识别上，主要使用卷积神经网络（CNN）。近年来，针对循环神经网络（RNN）的对抗性示例生成方法已经发表，这表明RNN分类器也容易受到此类攻击。在本文中，我们提出了一种新的防御方法，称为序列压缩，使RNN分类器对这种攻击更强大。我们的方法不同于以前的防御方法，这些方法只针对非序列模型。我们还实现了四种额外的RNN防御方法，这些方法受到最近发表的CNN防御方法的启发。我们评估我们的方法对抗网络安全领域中存在真正对手（恶意软件开发者）的最先进攻击，但我们的方法可以应用于对抗其他基于离散序列的对抗攻击，例如，在NLP领域。使用我们的方法，我们能够将这种攻击的有效性从99.9%降低到15%。
2019-11-20 cs.CR
On the Robustness of the CVPR 2018 White-Box Adversarial Example Defenses
Massachusetts Institute of Technology（麻省理工学院）；University of California, Berkeley（加州大学伯克利分校）
众所周知，神经网络容易受到对抗性样本的攻击。在本文中，我们评估了CVPR 2018上出现的两种白盒防御，发现它们是无效的：当应用现有技术时，我们可以将防御模型的准确性降低到0%。
2018-04-10 cs.CR cs.CV cs.LG
Robust Adversarial Attacks Against DNN-Based Wireless Communication Systems
深度神经网络（DNN）由于其有前途的性能而在无线通信系统中变得流行。然而，与其他基于DNN的应用程序类似，它们容易受到对抗性示例的影响。在这项工作中，我们提出了一个输入不可知的，不可检测的，和强大的对抗攻击对基于DNN的无线通信系统在白盒和黑盒的情况下。我们设计了量身定制的通用对抗扰动（UAP）来执行攻击。我们还使用生成对抗网络（GAN）来为我们的攻击实施不可检测性约束。此外，我们调查我们的攻击对抗对策的鲁棒性。我们表明，在通信方部署的防御机制的存在下，我们的攻击比现有的针对基于DNN的无线系统的攻击表现得更好。特别是，结果表明，即使采用经过深思熟虑的防御措施，基于DNN的无线通信也容易受到对抗攻击的攻击。
2021-02-01 cs.CR
A Real-time Defense against Website Fingerprinting Attacks
像Tor这样的匿名系统容易受到网站指纹（WF）攻击，其中本地被动窃听者推断受害者的活动。目前基于深度学习分类器的WF攻击已经成功地克服了许多提出的防御。虽然最近利用对抗性示例的防御提供了希望，但这些对抗性示例只能在网络会话结束后计算，因此在实际设置中为用户提供的保护很少。我们提出了Dolos，一个实时的修改用户网络流量以成功规避WF攻击的系统。Dolos通过计算输入不可知的对抗补丁将虚拟数据包注入流量跟踪，这些补丁会破坏WF攻击中使用的深度学习分类器。然后应用补丁来实时的改变和保护用户流量。重要的是，这些补丁是由用户侧秘密参数化的，确保攻击者无法使用对抗训练来击败Dolos。我们通过实验证明，Dolos在各种设置下都能提供94%以上的保护，抵御最先进的WF攻击。与之前的防御相比，Dolos在更高的保护性能和更低的信息泄漏和带宽开销方面表现出色。最后，我们证明了Dolos对各种自适应对策的鲁棒性，以检测或破坏防御。
2021-02-08 cs.CR
Who is Responsible for Adversarial Defense?
我们已经看到针对AI/ML系统中的对抗攻击和防御的研究激增。虽然制定新的攻击方法和设计新的防御策略以实现鲁棒性至关重要，但也必须认识到谁负责实施，验证和证明这些防御的必要性。特别是，系统的哪些组件容易受到哪种类型的对抗攻击的攻击，以及认识到对抗攻击的严重性所需的专业知识。此外，如何评估和解决对抗性挑战，以便为不同的应用程序推荐防御策略。本文就对抗性抗辩权的审查和实施主体及其背后的原因展开了讨论。
2021-06-27 cs.CR cs.CY
The Mason Test: A Defense Against Sybil Attacks in Wireless Networks Without Trusted Authorities
无线网络容易受到Sybil攻击，在这种攻击中，恶意节点为了获得不成比例的影响力而冒充尽可能多的身份。存在许多基于无线信道的空间可变性的防御，但是依赖于详细的多抽头信道估计（在商品802.11设备上没有暴露的东西）或来自多个可信源的有效RSSI观测，例如，企业接入点-在具有潜在恶意邻居的自组织和延迟容忍网络中无法直接获得的东西。我们扩展这些技术是实用的商品802.11设备的无线ad hoc网络。具体来说，我们提出了两种有效的方法，用于分离的行为节点的有效RSSI观测伪造的恶意参与者。此外，我们注意到，以前的signalprint方法很容易被移动攻击者击败，并开发了适当的挑战-响应防御。最后，我们提出了梅森测试，这些技术的商品802.11设备的ad hoc和延迟容忍网络的第一个实现。我们说明了它的性能在几个现实世界的场景。
2014-03-24 cs.CR
URSID: Using formalism to Refine attack Scenarios for vulnerable Infrastructure Deployment
在本文中，我们提出了一种新的方式部署脆弱的架构防御和研究的目的，其目的是产生欺骗平台的形式化描述的基础上的情况。攻击场景由攻击图来描述，其中变迁由ATT&CK技术或过程来标记。攻击者的状态被建模为他获取的一组秘密和他控制的一组节点。然后，在技术层面上对单个场景的描述可以在过程层面上被分解为几个不同的场景，并且每个场景都可以部署到自己的易受攻击的架构中。为了实现这一目标，我们引入了架构约束的概念，因为某些程序可能只会被利用系统呈现特殊属性，如具有特定的操作系统版本。最后，我们介绍了我们的部署过程，将这些场景之一转换为易受攻击的基础设施，并提供了我们的工具的在线概念验证演示，读者可以在本地部署受威胁行为者APT-29启发的完整场景。
2023-03-30 cs.CR
Preventing Your Faults From Telling Your Secrets: Defenses Against Pigeonhole Attacks
新的硬件原语（如英特尔SGX）在存在不受信任或受损的操作系统的情况下保护用户级进程。这种“飞地执行”系统容易受到多个侧通道的攻击，其中之一是页面错误通道。在本文中，我们表明，页面错误侧通道有足够的信道容量，以提取加密密钥位的商品实现的加密例程在OpenSSL和Libgcrypt --泄漏27%的平均和高达100%的秘密位在许多案例研究。为了减轻这一点，我们提出了一个软件的防御，通过确定程序的内存访问行为来掩盖页面错误模式。我们表明，这样的技术可以内置到一个编译器，并实现它的一个子集的C，这是足以处理我们研究的加密例程。这种防御在一般情况下实现时可能会有高达4000倍的显着开销，但在开发人员辅助的编译器优化的帮助下，在我们的案例研究中，开销最多减少到29.22%。最后，我们讨论了硬件辅助防御的范围，并展示了一个解决方案，该解决方案可以在硬件更改的支持下将开销降低到6.77%。
2016-01-12 cs.CR
Proactive Population-Risk Based Defense Against Denial of Cyber-Physical Service Attacks
虽然物联网（IoT）有望改善能源效率，医疗保健和交通等领域，但它极易受到网络攻击。特别是，DDoS攻击通过溢出服务器的带宽来工作。但许多物联网设备构成了网络物理系统（CPS）的一部分。因此，它们可用于发起“物理”拒绝服务攻击（PDoS），其中物联网设备溢出CPS的“物理带宽”。在本文中，我们量化了恶意软件针对一组物联网设备进行PDoS攻击的基于人口的风险。为了模拟机器人的招募，我们扩展了传统的博弈论概念，并创建了一个“泊松信号博弈”。“然后我们分析了两种不同的机制（法律和经济）来阻止僵尸网络招募。我们发现：1）防御者可以约束僵尸网络活动; 2）立法规定最低安全级别的效果有限，而激励主动防御可以任意减少僵尸网络活动。这项工作提供了一个定量的基础，设计主动防御PDOS攻击。
2017-10-16 cs.CR
Semantic Consensus Decoding: Backdoor Defense for Verilog Code Generation
Zhejiang University（浙江大学）；Hangzhou High-Tech Zone (Binjiang) Institute of Blockchain and Data Security（杭州高新（滨江）区块链与数据安全研究院）；Nantong University（南通大学）
本文提出语义一致性解码方法，通过提取功能需求和融合输出分布，有效防御Verilog代码生成中的后门攻击。
2026-02-04 cs.CR cs.SE
Enhanced MLLM Black-Box Jailbreaking Attacks and Defenses
本文提出一种结合文本与图像提示的黑盒越狱攻击方法及重新攻击策略，用于评估多模态大语言模型安全性，并据此改进训练与推理阶段的防御方法，实验证明增强了防护效果。
2025-10-24 cs.CR
E-SAGE: Explainability-based Defense Against Backdoor Attacks on Graph Neural Networks
本文提出基于可解释性的防御方法E-SAGE，利用恶意边与良性边在重要性分数上的差异进行迭代边剪枝，有效防御图神经网络上的子图插入后门攻击。
2024-06-15 cs.CR
A Survey of Microarchitectural Side-channel Vulnerabilities, Attacks and Defenses in Cryptography
侧信道攻击已经成为计算机应用和系统机密性的严重威胁。这种攻击的一种流行类型是微体系结构攻击，其中对手利用硬件特征来破坏由操作系统实施的保护并从程序中窃取秘密。在本文中，我们系统化的微架构侧通道，重点是攻击和防御密码应用程序。我们做了三个贡献。(1)我们回顾过去的研究文献，对微架构侧信道攻击进行分类。由于这些是针对软件的硬件攻击，我们总结了软件中的脆弱实现，以及硬件中的缺陷设计。(2)我们从应用程序、操作系统和硬件层面确定了缓解微体系结构攻击的常见策略。(3)我们对现实世界中流行的密码应用进行了大规模的评估，并分析了侧通道漏洞的严重性，实用性和影响。这项调查有望激励侧信道研究社区发现新的攻击，更重要的是，提出新的防御方案。
2021-03-26 cs.CR
Randomized Last-Level Caches Are Still Vulnerable to Cache Side-Channel Attacks! But We Can Fix It
高速缓存随机化最近又被认为是对抗基于冲突的高速缓存侧信道攻击的一种很有前途的防御方法。作为两个最新的实现，CEASER-S和ScatterCache都声称可以使用随机倾斜缓存来阻止基于冲突的缓存侧信道攻击。不幸的是，我们的实验表明，攻击者可以很容易地找到一个可用的驱逐集内选择的重新映射期间的CEASER-S和增加分区的数量没有动态重新映射，如ScatterCache，不能消除威胁。通过定量分析LLC中各种攻击留下的访问模式，发现了随机缓存的假设和实现中存在的一些问题，这些问题也是基于冲突的缓存侧信道攻击研究中所忽略的。然而，缓存随机化不是一个虚假的希望，它是一个有效的防御，应该在未来的处理器中广泛采用。新发现的问题对应于与缓存随机化的现有实现相关的缺陷，并且是可以修复的。本文提出了几种新的防御技术。我们的实验表明，现有随机化高速缓存的所有新发现的漏洞都在当前性能预算内被修复。我们还认为，随机集相联缓存可以得到充分的加强，并拥有更好的机会，实际上被采用的商业处理器比他们的歪斜的同行，因为他们引入较少的大修现有的缓存结构。
2020-08-05 cs.AR cs.CR
Malware Evasion Attack and Defense
McAfee（迈克菲）
机器学习（ML）分类器容易受到对抗性样本的影响。一个对抗性的例子是一个输入样本，它被稍微修改以在ML分类器中引起错误分类。在这项工作中，我们调查白盒和灰盒规避攻击ML为基础的恶意软件检测器，并在现实世界中进行性能评估。我们比较了防御方法在减轻攻击。我们提出了一个框架，部署灰盒和黑盒攻击的恶意软件检测系统。
2019-04-16 cs.CR cs.LG stat.ML
From Hypervisor to Container: Cloud Security Vulnerabilities, Defense Mechanisms, and Open Challenges
National Institute of Technology Calicut（印度国家技术学院卡利卡特分校）
本文综述2008至2025年120余篇云安全文献，分析虚拟机逃逸、容器逃逸等威胁，提出ADPO评分框架与1-5级影响量表，并指出安全与性能权衡及低开销检测等开放挑战。
2026-09-16 cs.CR
DDoS Attack and Defense: Review of Some Traditional and Current Techniques
分布式拒绝服务（DDoS）攻击耗尽受害者的带宽或服务。传统的互联网架构容易受到DDoS攻击，并观察到一个持续的攻击和防御周期。本文综述了DDoS攻击的不同类型、技术及其对策。本文的意义在于涵盖了对抗DDoS攻击的许多方面，包括对该主题的新研究。我们调查不同的论文描述的防御方法对DDoS攻击的基础上熵的变化，流量异常参数，神经网络，设备级防御，僵尸网络流量识别和应用层DDoS防御。我们还讨论了一些传统的防御方法，如回溯和数据包过滤技术，以便读者可以识别传统和当前防御DDoS攻击技术之间的主要差异。在讨论对策之前，我们提到了传统和先进方案下DDoS的不同攻击类型，同时还提供了2012年第一季度DDoS趋势的一些信息。我们发现，应用层DDoS攻击具有对受害者产生更大影响的能力，因为它们是由合法的流量驱动的，因此很难识别和区分合法请求。因此，对这种攻击的改进防御的需要在研究中更加苛刻。本文中进行的研究可以帮助读者和研究人员认识到当前针对DDoS攻击的更好的防御技术，并根据本文中确定的未来挑战对该主题进行更多的研究。
2014-03-21 cs.CR
Minority Reports Defense: Defending Against Adversarial Patches
University of California, Berkeley（加州大学伯克利分校）；University of Michigan（密歇根大学）
深度学习图像分类容易受到对抗攻击的攻击，即使攻击者只改变了图像的一小部分。我们提出了一种防御补丁攻击的基础上部分遮挡周围的每个候选补丁位置的图像，使几个遮挡完全隐藏补丁。我们在CIFAR-10、Fashion MNIST和MNIST上证明，我们的防御可以针对一定规模的补丁攻击提供经过认证的安全性。
2020-04-28 cs.CR cs.CV cs.LG
COPA: Continual Preference Optimization for Adaptive Prompt Injection Defense
University of California, San Diego（加州大学圣地亚哥分校）；West Virginia University（西弗吉尼亚大学）
该研究提出COPA框架，将提示注入防御视为终身学习问题，通过GRPO优化和边际加权经验回放实现持续防御，使攻击成功率最高降低6.3倍、平均降低4.4倍。
2026-08-21 cs.CR
Proactive Defense Against Physical Denial of Service Attacks using Poisson Signaling Games
虽然物联网（IoT）有望改善能源效率，医疗保健和交通等领域，但它极易受到网络攻击。特别是，分布式拒绝服务（DDoS）攻击使服务器的带宽过载。但许多物联网设备构成了网络物理系统（CPS）的一部分。因此，它们可用于发起“物理”拒绝服务攻击（PDoS），其中物联网设备溢出CPS的“物理带宽”。在本文中，我们量化了恶意软件针对一组物联网设备进行PDoS攻击的基于人口的风险。为了模拟招聘的机器人，我们开发了一个“泊松信号游戏”，一个信号游戏与未知数量的接收器，有不同的能力来检测欺骗。然后，我们使用这个游戏的一个版本来分析两种机制（法律和经济），以阻止僵尸网络招聘。均衡结果表明：1）防御者可以约束僵尸网络活动，2）立法最低安全级别的效果有限，而激励主动防御可以任意减少僵尸网络活动。这项工作提供了一个定量的基础，主动的PDOS防御。
2017-10-16 cs.CR
MULDEF: Multi-model-based Defense Against Adversarial Examples for Neural Networks
University of Illinois at Urbana-Champaign（伊利诺伊大学厄巴纳-香槟分校）；Peking University（北京大学）；University of Texas at Dallas（德克萨斯大学达拉斯分校）
尽管神经网络模型在许多应用中被广泛使用，但已发现其易受对抗性示例的影响，即，精心制作的例子，旨在误导机器学习模型。对抗性示例可能会对安全和安全关键应用程序构成潜在风险。然而，现有的防御方法仍然容易受到攻击，特别是在白盒攻击场景中。为了解决这个问题，我们提出了一种新的防御方法，名为MulDef，基于鲁棒性多样性。我们的方法包括（1）一个通用的防御框架，基于多个模型和（2）生成这些多个模型，以实现高防御能力的技术。特别是，给定一个目标模型，我们的框架包括多个模型（从目标模型构建），以形成一个模型家族。模型族被设计成实现鲁棒性多样性（即，成功攻击一个模型的对抗性示例不能成功攻击家族中的其他模型）。在运行时，从要应用于每个输入示例的族中随机选择一个模型。我们的一般框架可以激发丰富的未来的研究，以构建一个理想的模型家庭实现更高的鲁棒性多样性。我们的评估结果表明，MulDef（家族中最多只有5个模型）可以在白盒攻击场景中将目标模型在对抗性示例上的准确性提高22-74%，同时在合法示例上保持类似的准确性。
2019-07-27 cs.CR cs.LG stat.ML
A Comprehensive Survey of Website Fingerprinting Attacks and Defenses in Tor: Advances and Open Challenges
University of South Florida（南佛罗里达大学）
本文综述了Tor网络中网站指纹攻击与防御的最新进展，系统分类了现有研究，探讨了多标签浏览等新兴挑战，为提升隐私保护提供基础。
2026-10-12 cs.CR
Evaluations of Machine Learning Privacy Defenses are Misleading
ETH Zurich（苏黎世联邦理工学院）
本文揭示现有机器学习经验性隐私防御评估存在严重缺陷，通过5个案例研究表明先前评估将隐私泄露低估一个数量级，并证明这些防御均无法与调优后的DP-SGD基线竞争。
2024-09-05 cs.CR cs.LG
Understanding and Mitigating Covert Channel and Side Channel Vulnerabilities Introduced by RowHammer Defenses
本文首次分析RowHammer防御引入的时序隐蔽与侧信道漏洞，提出LeakyHammer攻击实现高速信道和网站指纹识别，并评估三种对策，揭示根本缓解会带来高开销。
2025-10-16 cs.AR cs.CR
On Configurable Defense against Adversarial Example Attacks
The Chinese University of Hong Kong（香港中文大学）
基于深度神经网络（DNN）的机器学习系统已在许多应用中获得主流采用。然而，最近，DNN被证明容易受到对抗性示例攻击，并且对输入进行轻微扰动。现有的针对此类攻击的防御机制试图提高系统的整体鲁棒性，但它们不能区分不同的目标攻击，即使相应的影响可能会有很大的不同。为了解决这个问题，我们提出了一种新的可配置的防御机制，在这项工作中，我们能够灵活地调整系统的鲁棒性对不同的有针对性的攻击，以满足应用程序的要求。这是通过使用攻击敏感矩阵来细化DNN损失函数以表示不同目标攻击的影响来实现的。在CIFAR-10和GTSRB数据集上的实验结果证明了该方法的有效性。
2018-12-06 cs.CR cs.LG
An Information-Theoretical View of Network-Aware Malware Attacks
本工作研究三个方面：（a）作为非均匀可访问主机分布的网络脆弱性，（b）威胁，即，利用这种漏洞的智能恶意软件，以及（c）防御，即，应对威胁的挑战。我们首先研究了五个大型数据集，并观察到一致的集群可扩展主机分布。然后，我们提出了一个新的度量，被称为非均匀性因素，它量化的不均匀性的可分配主机分布。该度量本质上是Renyi信息熵，并且比Shannon熵更好地表征分布的不均匀性。其次，从信息论的角度分析了网络感知型恶意软件的传播速度。特别是，我们绘制Renyi熵和随机流行的恶意软件扫描算法之间的关系。我们发现，恶意软件扫描方法的感染率的特征在于Renyi熵，涉及到的信息位在一个非均匀的可扩展主机分布提取的随机扫描算法。与此同时，我们表明，一个代表性的网络感知恶意软件可以增加传播速度的准确或接近的非均匀性因素相比，随机扫描恶意软件在早期阶段的恶意软件传播。这量化了当恶意软件利用不均匀的可访问主机分布作为网络范围的漏洞时，互联网在早期阶段被感染的速度有多快。此外，我们还分析了防御策略对网络感知恶意软件传播的有效性。我们的研究结果表明，抵制网络感知的恶意软件是一个重大的挑战，包括基于主机的防御和IPv6的策略。
2008-09-08 cs.CR cs.IT cs.NI
A Critical Evaluation of Defenses against Prompt Injection Attacks
Duke University（杜克大学）；The Pennsylvania State University（宾夕法尼亚州立大学）；UC Berkeley（伯克利大学）
本文批判性评估提示注入攻击防御，提出从有效性和通用实用性两个维度评估，发现现有防御措施在原则性方法下并不如先前报告成功，为未来防御评估提供基础。
2025-05-23 cs.AI cs.CR
LPF-Defense: 3D Adversarial Defense based on Frequency Analysis
Sharif University of Technology（谢里夫理工大学）
虽然三维点云分类最近已被广泛部署在不同的应用场景中，但它仍然非常容易受到对抗攻击。这增加了3D模型在面对对抗攻击时的鲁棒训练的重要性。基于我们对现有对抗攻击性能的分析，发现更多的对抗扰动出现在输入数据的中高频分量。因此，通过在训练阶段抑制高频内容，提高了模型对对抗性示例的鲁棒性。实验结果表明，该防御方法降低了PointNet、PointNet++、、和DGCNN模型上六种攻击的成功率。特别是，与最先进的方法相比，在drop 100攻击下分类准确率平均提高了3.8%，在drop 200攻击下提高了4.26%。与其他可用的方法相比，该方法还提高了原始数据集上的模型精度。
2022-08-24 cs.CR cs.CV cs.LG
Revisiting Label Inference Attacks in Vertical Federated Learning: Why They Are Vulnerable and How to Defend
Key Laboratory of High Confidence Software Technologies (Peking University), Ministry of Education（高可信软件技术重点实验室（北京大学））；School of Computer Science, Peking University（北京大学计算机学院）；Zhongguancun Laboratory, Beijing, China（中关村实验室，北京，中国）
本文研究垂直联邦学习中标签推断攻击的脆弱性，揭示模型补偿现象，提出任务重新分配和层调整防御方法，提升对抗性能。
2026-03-19 cs.CR cs.LG
Improving behavior based authentication against adversarial attack using XAI
针对基于行为的身份认证中攻击者复制对抗样本存在偏差的实际场景，提出基于XAI的特征选择过滤防御策略，经实验验证其防御效果优于对抗训练等现有方法。
2024-03-10 cs.CR cs.HC
A Taxonomy of Attacks and Defenses in Split Learning
Bilkent University（巴伊利安大学）；Koç University（科卡大学）
本文针对分割学习提出一个沿策略、约束和有效性三维度分类的攻击与防御体系，并指出开放挑战与未来方向。
2025-05-09 cs.CR cs.LG
TREATED:Towards Universal Defense against Textual Adversarial Attacks
Guangzhou University（广州大学）；Cyberspace Institute of Advanced Technology（网络空间先进技术研究院）
最近的研究表明，深度神经网络容易受到对抗性样本的影响。很多工作都研究对抗性示例生成，而很少有工作关注更关键的对抗性防御。现有的对抗性检测方法通常对对抗性示例和攻击方法做出假设（例如，敌对示例的词频、攻击方法的扰动水平）。然而，这限制了检测方法的适用性。为此，我们提出了TREATED，一种通用的对抗检测方法，可以在不做任何假设的情况下抵御各种扰动水平的攻击。TREATED通过一组精心设计的参考模型来识别对抗性示例。在三个有竞争力的神经网络和两个广泛使用的数据集上进行的大量实验表明，我们的方法比基线具有更好的检测性能。我们最后进行消融研究，以验证我们的方法的有效性。
2021-09-13 cs.CR cs.LG
ATWM: Defense against adversarial malware based on adversarial training
PLA Information Engineering University（中国人民解放军信息工程大学）
本文提出ATWM方法，通过预处理防御简单对抗样本并结合对抗训练，在不降低检测准确率的前提下提升恶意软件检测模型的对抗防御能力。
2023-07-11 cs.AI cs.CR
Revisiting Adversarial Perception Attacks and Defense Methods on Autonomous Driving Systems
Louisiana State University（路易斯安那州立大学）
本文基于OpenPilot和YOLO模型，系统研究自动驾驶感知系统对抗攻击与防御，评估多种防御方法，揭示脆弱性并指导鲁棒防御策略开发。
2025-05-23 cs.CR cs.RO
Transfer Attacks and Defenses for Large Language Models on Coding Tasks
Carnegie Mellon University（卡内基梅隆大学）；Center for AI Safety（人工智能安全中心）
本文研究了针对大型语言模型编程任务的对抗扰动迁移攻击，并提出基于提示的防御方法，通过添加对抗样本示例和逆转指令提升模型鲁棒性。
2023-11-22 cs.CR cs.LG
TED-LaST: Towards Robust Backdoor Defense Against Adaptive Attacks
Deakin University（德肯大学）；Beijing Normal-Hong Kong Baptist University（北京师范大学-香港 Baptist大学）；University of New South Wales（新南威尔士大学）；Griffith University（格里菲斯大学）
针对拓扑演化动力学（TED）易受自适应后门攻击的问题，提出融合标签监督动力学跟踪与自适应层加权的TED-LaST防御方法，经多数据集与模型验证可有效抵御复杂后门攻击，设立鲁棒后门检测新基准。
2025-06-12 cs.AI cs.CR
A Deeper Look into RowHammer`s Sensitivities: Experimental Analysis of Real DRAM Chips and Implications on Future Attacks and Defenses
RowHammer是一个电路级DRAM漏洞，其中重复访问（即，锤击）DRAM行可导致物理上邻近的行中的位翻转。随着DRAM单元尺寸和单元间距的缩小，RowHammer漏洞会恶化。最近的研究表明，现代DRAM芯片，包括以前以RowHammer-safe销售的芯片，比旧芯片更容易受到RowHammer的影响，因此在过去十年中，导致位翻转所需的锤子数量减少了10倍以上。因此，必须更好地理解和深入了解现代DRAM芯片的RowHammer漏洞，以更有效地保护当前和未来的系统。我们在本文中的目标是提供深入了解RowHammer漏洞的基本属性，这些属性尚未被先前的工作严格研究，但可能被$i$）利用来开发更有效的RowHammer攻击或$ii$）用来设计更有效和高效的防御机制。为此，我们提出了一个实验特性，使用248~DDR4和24~DDR3的现代DRAM芯片从四个主要的DRAM制造商演示了RowHammer效应如何变化的三个基本属性：1）~DRAM芯片温度，2）~侵略行活动时间，和3）~受害者DRAM单元的物理位置。在我们的16个新观察结果中，我们强调RowHammer位翻转1）~很可能发生在特定于每个DRAM单元的有界范围内（例如，5.4%的易受攻击的DRAM单元表现出70 C至90 C范围内的错误），2）如果攻击者行活动较长时间（例如，RowHammer漏洞增加36%，如果我们保持DRAM行…
2021-10-19 cs.AR cs.CR
Bypassing AI Control Protocols via Agent-as-a-Proxy Attacks
Department of Computer Science, Virginia Tech（弗吉尼亚理工学院计算机科学系）
本文提出通过代理式攻击绕过AI监控防御，显示即使大规模监控模型也易受攻击，揭示当前防御机制的脆弱性。
2026-02-25 cs.AI cs.CR
Taxonomy, Evaluation and Exploitation of IPI-Centric LLM Agent Defense Frameworks
The Hong Kong University of Science and Technology（香港科技大学）；Zhejiang University of Technology（浙江工业大学）；Lingnan University（岭南大学）；School of Cyber Science and Engineering, Southeast University（东南大学计算机科学与工程学院）；ZTE Corporation（中兴通讯有限公司）
本文针对现有以IPI为核心的LLM智能体防御框架零散、缺乏统一评估的问题，构建分类体系、评估代表性框架，识别防御失效根因并设计自适应攻击验证缺陷，为后续防御研发提供支撑。
2025-11-19 cs.AI cs.CR
Test-time Adversarial Defense with Opposite Adversarial Path and High Attack Time Cost
Institute of Information Science Academia Sinica（资讯研究所）
针对深度学习模型易受对抗攻击、训练时防御鲁棒性不足的问题，提出基于反向对抗路径与逆向扩散的测试时纯化防御方法，例证了AutoAttack（Rand）的应用陷阱，分析了攻击效果与时间成本的权衡，验证了方法有效性。
2025-05-19 cs.CR cs.LG
Certifying Joint Adversarial Robustness for Model Ensembles
University of Virginia（弗吉尼亚大学）
深度神经网络（DNN）通常容易受到对抗性样本的攻击。一些提出的防御方法部署了一个模型集合，希望尽管单个模型可能容易受到攻击，但对手将无法找到成功对抗集合的对抗性样本。根据集成的使用方式，攻击者可能需要找到一个对抗性的例子，成功地对抗集成中的所有或大多数模型。集成防御对强大对手的有效性取决于集成中模型的脆弱性空间是不相交的。我们认为，联合脆弱性的合奏模型，并提出了一种新的技术，用于证明合奏的联合鲁棒性，建立在以前的工作单模型的鲁棒性认证。我们评估了各种模型集成的鲁棒性，包括使用成本敏感鲁棒性训练的模型，以提高对集成模型作为对抗性示例防御的潜在有效性的理解。
2020-04-21 cs.CR cs.LG stat.ML
Denoising Diffusion Probabilistic Models as a Defense against Adversarial Attacks
Harvard University（哈佛大学）
神经网络对输入中的小扰动非常敏感，这使得它们容易受到对抗攻击。该项目评估了去噪扩散概率模型（DDPM）作为一种净化技术来抵御对抗攻击的性能。它的工作原理是在通过扩散模型的逆过程去除噪声之前，向对抗性示例添加噪声。我们评估的方法上的PatchCamelyon数据集的淋巴结切片的组织病理学扫描，并找到了高达88%的原始模型的准确性，构成了相当大的改进香草模型和我们的基线的鲁棒准确性的提高。项目代码位于https://github.com/ankile/Adversarial-Diffusion。
2023-01-17 cs.CR cs.CV cs.LG
PECAN: A Deterministic Certified Defense Against Backdoor Attacks
University of Wisconsin-Madison（威斯康星大学麦迪逊分校）
本文提出 PECAN，通过对互不相交数据分区上训练的模型集合使用现成测试时规避认证，实现高效确定性后门防御，并在图像与恶意软件任务上显著提升防御强度、效率并降低攻击成功率。
2024-05-20 cs.CR cs.LG
Backdoor Attacks and Defenses on Semantic-Symbol Reconstruction in Semantic Communications
针对语义通信中的语义符号重建，提出后门攻击范式BASS及相应防御策略，包括训练框架、逆向工程和剪枝方法，仿真验证其有效性。
2024-04-20 cs.CR eess.IV eess.SP
Certified Adversarial Robustness of Machine Learning-based Malware Detectors via (De)Randomized Smoothing
CeADAR, University College Dublin（CeADAR，都柏林大学学院）；University of Genova（热那亚大学）；IBM Research Europe（IBM欧洲研究）；University of Lleida（莱里达大学）；University of Cagliari（卡利亚里大学）
本文提出了一种基于（去）随机化平滑的认证对抗鲁棒性防御方法，通过块划分和多数投票机制提升恶意软件检测器的鲁棒性。
2024-05-01 cs.AI cs.CR
One Parameter Defense -- Defending against Data Inference Attacks via Differential Privacy
City University of Macau（澳门城市大学）
机器学习模型易受数据推断攻击，例如隶属推断和模型反演攻击。在这些类型的漏洞中，攻击者试图推断数据记录在数据集中的成员资格，甚至使用目标模型预测的置信度得分向量来重建该数据记录。然而，大多数现有的防御方法只能防止成员推断攻击。可以对抗这两种类型攻击的方法需要训练新的模型，这可能不是时间效率。在本文中，我们提出了一种差异化的私人防御方法，处理这两种类型的攻击，在一个时间效率的方式调整只有一个参数，隐私预算。其核心思想是修改和规范化的置信度向量的差分隐私机制，保护隐私和模糊的成员和重建的数据。此外，该方法可以保证向量中得分的顺序，以避免分类精度的任何损失。实验结果表明，该方法是一个有效的和及时的防御隶属度推断和模型反演攻击的准确性没有降低。
2022-03-13 cs.AI cs.CR
Attack and Defense of Deep Learning Models in the Field of Web Attack Detection
Chinatelecom Research Institute（中国电信研究院）；School of Data Science and Engineering, East China Normal University（华东师范大学数据科学与工程学院）
针对Web攻击检测领域深度学习模型的后门攻击研究空白，提出5种后门攻击方法及对应防御策略，测试显示攻击成功率超87%且可通过微调降低，为该领域攻防研究提供参考。
2024-06-18 cs.CR cs.LG
Attacks on Deidentification's Defenses
基于准标识符的去标识技术（QI-去标识）在实践中被广泛使用，包括$k$ -匿名、$\ell$ -多样性和$t$ -封闭性。我们提出了三个新的攻击QI去识别：两个理论攻击和一个实际的攻击一个真正的数据集。与以前的工作相比，我们的理论攻击工作，即使每个属性是一个准标识符。因此，它们适用于$k$ -匿名、$\ell$ -多样性、$t$ -接近性和大多数其他QI-去识别技术。首先，我们介绍了一类新的隐私攻击称为下编码攻击，并证明了每一个QI去识别方案是脆弱的下编码攻击，如果它是最小的和分层的。其次，我们将下编码攻击转换为强大的谓词挑出（PSO）攻击，这是最近提出的一种方法，以证明隐私机制无法在欧洲的一般数据保护条例下合法匿名。第三，我们使用LinkedIn.com在EdX发布的$k$匿名数据集中重新识别3名学生（并显示数千人可能易受攻击），破坏了EdX声称遵守家庭教育权利和隐私法的规定。这项工作的意义，既有科学意义，也有政治意义。我们的理论攻击表明，QI-deidentification可能无法提供保护，即使每个属性被视为一个准标识符。我们的实际攻击表明，即使是按照严格的隐私法规行事的去识别专家也无法阻止现实世界的重新识别。他们一起反驳了QI去识别化的基本原则，并挑战了为证明继续使用$k$ -匿名和其他QI去识别化技术的合理性而提出的实际论点。
2022-02-27 cs.CR cs.CY
Physical Memory Attacks and a Memory Safe Management System for Memory Defense
New York University Tandon School of Engineering（纽约大学坦登工程学院）；Simmons University（西蒙斯大学）
本文提出了一种基于软件的低级内存保护系统，以防御物理攻击向量引起的内存安全问题。
2024-03-13 cs.CR cs.OS
Adversarial Co-Evolution of Malware and Detection Models: A Bilevel Optimization Perspective
Faculty of Information Technology, Czech Technical University in Prague（信息技术学院，布拉格捷克技术大学）
本文提出基于双层优化的鲁棒防御框架，通过建模防御者与攻击者之间的对抗共进化过程，有效提升恶意软件检测系统的抗攻击能力，实验表明其能显著降低攻击成功率。
2026-04-24 cs.CR cs.LG
Evaluating the robustness of adversarial defenses in malware detection systems
Faculty of Computer Science and Engineering（计算机科学与工程学院）；Shahid Beheshti University (SBU)（沙希德·贝赫什提大学）；Tehran, Iran（伊朗德黑兰）
本文提出sigma-二进制攻击方法，揭示现有恶意软件检测防御的脆弱性，提升对抗防御的鲁棒性。
2025-12-08 cs.AI cs.CR cs.LG
