FENCE: Feasible Evasion Attacks on Neural Networks in Constrained Environments
Northeastern University（东北大学）
随着深度神经网络（DNN）的进步在许多关键应用中展示出前所未有的性能水平，它们对攻击的脆弱性仍然是一个悬而未决的问题。我们考虑在受限环境中测试时对深度学习的规避攻击，其中需要满足特征之间的依赖关系。这些情况可能在表格数据中自然出现，也可能是特定应用领域的特征工程的结果，例如网络安全中的威胁检测。我们提出了一个通用的迭代梯度为基础的框架，称为FENCE的手工规避攻击，考虑到具体的约束域和应用程序的要求。我们将其应用于针对两个网络安全应用训练的前馈神经网络：网络流量僵尸网络分类和恶意域分类，以生成可行的对抗性示例。我们广泛评估了攻击的成功率和性能，比较了它们在几个基线上的改进，并分析了影响攻击成功率的因素，包括优化目标和数据不平衡。我们表明，以最小的努力（例如，生成12个额外的网络连接），攻击者可以将模型的预测从恶意类别更改为良性类别，并逃避分类器。我们发现，在不平衡程度较高的数据集上训练的模型更容易受到我们的FENCE攻击。最后，我们展示了在约束域中进行对抗性训练的潜力，以提高模型对这些规避攻击的弹性。
2022-06-14 cs.CR cs.LG
Evasion Attacks on Cost-Utility-Based Adversarial Training for Online AutoML in IoT Networks
Ontario Tech University（安大略理工大学）；Alex Ekwueme Federal University（亚历克·埃克韦梅联邦大学）
本研究评估物联网网络中在线AutoML下黑盒规避攻击对基于成本效用的对抗训练的影响，发现LB和SRP的对抗训练版本在最高成本预算下达到最佳对抗准确率0.985，最大准确率下降仅0.8%。
2026-09-29 cs.CR cs.LG
A Novel Perturb-ability Score to Mitigate Evasion Adversarial Attacks on Flow-Based ML-NIDS
本文提出可扰动性评分（PS）量化NIDS特征受操纵风险，通过PS引导的特征选择与掩蔽，在保持检测性能的同时显著降低规避对抗攻击的脆弱性。
2025-06-18 cs.AI cs.CR cs.LG
Better the Devil you Know: An Analysis of Evasion Attacks using Out-of-Distribution Adversarial Examples
Princeton University（普林斯顿大学）；UC Berkeley（加州大学伯克利分校）；Purdue University（普渡大学）
最近的大量工作研究了使用深度学习系统的对抗性示例的逃避攻击现象，其中向测试输入添加范数有界扰动会导致不正确的输出分类。以前的工作已经研究了这种现象在封闭世界系统中的训练和测试输入遵循预先指定的分布。然而，深度学习应用程序的实际实现，如自动驾驶和内容分类，可能会在开放世界环境中运行。在本文中，我们展示了开放世界规避攻击的成功，其中对抗性示例是从分布外输入（OOD对抗性示例）生成的。在我们的研究中，我们使用了11个最先进的神经网络模型，这些模型在3个不同复杂度的图像数据集上训练。我们首先证明了，最先进的检测器的分布外的数据是不强大的OOD对抗性的例子。然后，我们考虑了对抗性示例的5种已知防御，包括最先进的鲁棒训练方法，并表明与从分布数据生成的对抗性示例相比，OOD对抗性示例可以实现高达4 $\times$的目标成功率。我们还对开放世界规避攻击如何影响现实世界系统进行了定量研究。最后，我们提出了迈向强大的开放世界机器学习系统的第一步。
2019-05-05 cs.CR cs.CV cs.LG
Band Together: Untargeted Adversarial Training with Multimodal Coordination against Evasion-based Promotion Attacks
Sichuan University（四川大学）；University of Illinois at Chicago（伊利诺伊大学香槟分校）
本文提出UAT-MC方法，通过多模态协调解决逃避攻击中未知目标项的问题，提升系统鲁棒性并保持推荐性能。
2026-05-07 cs.AI cs.LG
Multi-SpacePhish: Extending the Evasion-space of Adversarial Attacks against Phishing Website Detectors using Machine Learning
University of Padua（帕多瓦大学）；University of Liechtenstein（列支敦士登大学）；Delft University of Technology（代尔夫特理工大学）
本文针对钓鱼网站检测的ML模型，形式化逃逸空间并提出低成本现实威胁模型，首次统计验证多种逃逸攻击，并探索多空间联合扰动导致检测率显著下降。
2023-10-12 cs.CR cs.LG cs.NI
Evasion Adversarial Attacks Remain Impractical Against ML-based Network Intrusion Detection Systems, Especially Dynamic Ones
Carleton University（卡尔顿大学）
本文研究了对抗攻击对基于机器学习的网络入侵检测系统（NIDS）的实用性，指出动态系统中的攻击有效性较低，并通过实验表明持续重新训练可降低攻击效果。
2026-03-29 cs.CR cs.LG cs.NI
Adversarial Deep Ensemble: Evasion Attacks and Defenses for Malware Detection
Nanjing University of Science and Technology（南京理工大学）
恶意软件仍然是网络安全的一大威胁，需要基于机器学习的恶意软件检测。虽然很有前途，但已知这种检测器容易受到规避攻击。包围学习通常有助于采取对策，而攻击者也可以利用这种技术来提高攻击效率。这促使我们研究集成防御的鲁棒性或集成攻击的有效性，特别是当它们相互攻击时。因此，我们提出了一种新的攻击方法，命名为混合攻击，使攻击者能够多个生成方法和多个操作集，扰乱恶意软件的例子，而不会破坏其恶意功能。这自然会导致对抗性训练的新实例化，从而进一步增强深度神经网络的整体。我们使用Android恶意软件检测器对两个实际数据集上的26种不同攻击进行防御评估。实验结果表明，新的对抗性训练显著增强了深度神经网络对各种攻击的鲁棒性，当基分类器足够鲁棒时，集成方法可以提高鲁棒性，但集成攻击可以有效地避开增强的恶意软件检测器，甚至显着降低了VirusTotal服务。
2020-06-30 cs.CR cs.LG stat.ML
Adversarial Filtering Based Evasion and Backdoor Attacks to EEG-Based Brain-Computer Interfaces
Huazhong University of Science and Technology（华中科技大学）
本文提出针对基于 EEG 的脑机接口、基于对抗滤波的规避与后门攻击，并在三种 BCI 范式的数据集上验证其有效性，揭示了新的安全威胁。
2024-12-10 cs.HC cs.LG
PAD: Towards Principled Adversarial Malware Detection Against Evasion Attacks
Nanjing University of Posts and Telecommunications（南京邮电大学）；Nanjing Institute of Technology（南京工程学院）；University of Colorado Colorado Springs（科罗拉多大学斯普林斯分校）
本文提出PAD对抗训练框架，通过可学习凸度量量化分布级离散扰动并提供收敛保证，在两个Android恶意软件数据集上显著提升防御效果，抵御27种规避攻击时检测准确率超83.45%，无攻击时准确率下降小于2.16%。
2023-04-06 cs.CR cs.LG stat.ML
EvoHarmBench: Breaking Content Moderation with Iterative Human-Like Evasion
Yuvion Team, Alibaba Group（阿里巴巴集团Yuvion团队）；University of Chinese Academy of Sciences（中国科学院大学）
该研究提出首个动态对抗评估框架EvoHarmBench，针对5类违规229个语义子簇的5002个样本评估LLM审核模型，发现SOTA模型经12次迭代后规避成功率达80.3%，将推动内容安全评估转向动态模式。
2026-08-31 cs.CL
Effects of Forward Error Correction on Communications Aware Evasion Attacks
Hume Center for National Security and Technology, Virginia Tech（弗吉尼亚理工大学休姆国家安全与技术中心）；Department of Electrical and Computer Engineering, University of California, San Diego（加州大学圣地亚哥分校电气与计算机工程系）
最近的工作表明了对抗性机器学习对为射频机器学习（RFML）应用开发的深度神经网络（DNN）的影响。虽然这些攻击已被证明是成功地破坏窃听者的性能，但它们无法完全支持成功的预期通信的主要目标。为了解决这个问题，最近开发了一种通信感知攻击框架，通过DNN的新用途智能地创建对抗性通信信号，可以在逃避和预期通信的对立目标之间实现更有效的平衡。鉴于前向纠错（FEC）编码在大多数部署的系统中几乎无处不在地使用以纠正出现的错误，将FEC并入该框架中是该先前工作的自然扩展，并且将允许在更不利的环境中改进性能。因此，这项工作提供了贡献的框架，通过改进的损失函数和设计考虑因素，将固有的知识使用的FEC码内发送的信号。性能分析表明，FEC编码改进了通信感知对抗攻击，即使没有假设编码方案的明确知识，并且允许在平衡逃避和预期通信的相反目标方面优于现有技术的改进性能。
2020-05-27 cs.CR cs.IT cs.LG
EvadeDroid: A Practical Evasion Attack on Machine Learning for Black-box Android Malware Detection
Radboud University（拉德堡德大学）；Ruhr University Bochum（波鸿鲁尔大学）
本文提出 EvadeDroid，一种基于良性捐赠应用变换和查询高效优化的黑盒问题空间攻击，可在极少查询下规避多种 Android 恶意软件检测器及商业杀毒软件。
2024-01-25 cs.CR cs.LG
Crushing the Evidence: A Dual-Penalty Evasion Framework for Fooling White-Box Explainable AI Auditors
该研究提出一种双惩罚白盒规避攻击框架，将规避逻辑嵌入模型参数，可压制目标特征归因至近零、维持高攻击成功率，且能绕过条件异常检测，欺骗可解释性AI审计器。
2026-08-04 cs.AI cs.LG
A Three-Axis Stress Test of LLM vs Classical ML for Network Intrusion Detection under Distribution Shift and Adversarial Evasion
本研究通过同数据集、跨数据集和对抗性规避三轴测试，发现XGBoost与RoBERTa-LoRA在网络入侵检测中各有胜负，强调需多轴多指标评估模型。
2026-09-15 cs.AI cs.CR cs.LG
Self-Disguise Attack: Induce the LLM to disguise itself for AIGT detection evasion
本文提出自我伪装攻击（SDA），通过对抗性特征提取和检索式上下文示例优化引导大语言模型生成抗检测文本，在保持文本质量的同时有效降低多种AIGT检测器的检测准确率。
2025-08-20 cs.CL cs.CR
Robustness, Cost, and Attack-Surface Concentration in Phishing Detection
Department of Mathematics, Computer Science, and Engineering Technology（数学、计算机科学与工程技术系）
研究通过成本感知逃避框架分析钓鱼检测中鲁棒性与攻击面集中问题，发现特征限制仅在移除主导低成本转换时提升鲁棒性，且攻击面集中于低成本特征。
2026-03-19 cs.LG
A General Retraining Framework for Scalable Adversarial Classification
Vanderbilt University（范德堡大学）；Shanghai Jiaotong University（上海交通大学）
传统的分类算法假设训练数据和测试数据来自相似的分布。这种假设在对抗性设置中被违反，其中恶意行为者修改实例以逃避检测。针对对抗性规避攻击和鲁棒学习，已经开发了许多自定义方法。我们提出了第一个系统和通用的再训练框架，它可以：a）提高\emph{arbitrary}学习算法的鲁棒性，面对b）比任何现有方法更广泛的对抗模型。我们证明了，在自然条件下，再训练框架最小化了最优对抗风险的上限，并展示了如何将这一结果扩展到规避攻击的近似值。广泛的实验评估表明，我们的再训练方法与最先进的优化对抗风险的算法几乎没有区别，但更通用，可扩展性更强。实验还证实，如果没有再训练，我们的对抗框架会大大降低学习的有效性。相比之下，再训练显著提高了对规避攻击的鲁棒性，而不会显著影响整体准确性。
2016-11-26 cs.GT cs.LG stat.ML
Taking off the Rose-Tinted Glasses: A Critical Look at Adversarial ML Through the Lens of Evasion Attacks
IBM Research（IBM研究院）；Stony Brook University（石溪大学）
本文批判性审视了对抗机器学习领域因不合理的攻击与防御威胁模型假设导致防御研究停滞的问题，主张从系统安全视角而非纯AI视角重新评估防御机制，以应对新兴AI范式的安全挑战。
2024-10-15 cs.CR cs.LG
Generative Adversarial Evasion and Out-of-Distribution Detection for UAV Cyber-Attacks
Faculty of Engineering and Applied Sciences, Cranfield University（工程与应用科学学院，克兰菲尔德大学）
本文提出基于cGAN的框架，用于生成隐蔽的对抗攻击以逃避IDS，并利用CVAE实现对分布外攻击的高效检测。
2026-02-04 cs.AI cs.LG
Attacks on Machine-Text Detectors Retain Stylistic Fingerprints
University of California, Berkeley（加州大学伯克利分校）
研究机器文本检测器对抗攻击的局限性，提出一种同时优化不可检测性和特定人类风格的 paraphrasing 方法，发现单文档检测不可靠，需多文档分析。
2026-06-08 cs.AI cs.CL cs.LG
Morphence-2.0: Evasion-Resilient Moving Target Defense Powered by Out-of-Distribution Detection
University of Michigan-Dearborn（密歇根大学迪尔伯恩分校）
针对机器学习模型的规避攻击通常通过对固定目标模型的迭代探测而成功，由此成功一次的攻击将重复成功。对抗这种威胁的一种有希望的方法是使模型成为对抗对抗性输入的移动目标。为此，我们引入了Morphence-2.0，这是一种可扩展的移动目标防御（MTD），由分布外（OOD）检测提供支持，以防御对抗性示例。通过定期移动模型的决策函数，Morphence-2.0使重复或相关攻击成功变得非常具有挑战性。Morphence-2.0部署了一个从基本模型生成的模型池，在响应预测查询时引入了足够的随机性。通过OOD检测，Morphence-2.0配备了一种调度方法，将对抗性样本分配给鲁棒的决策函数，将良性样本分配给不设防的精确模型。为了确保重复或相关攻击失败，部署的模型池在达到查询预算后自动过期，并且模型池被提前生成的新模型池无缝替换。我们在两个基准图像分类数据集（MNIST和CIFAR 10）上对Morphence-2.0进行了评估，以对抗4种参考攻击（3种白盒攻击和1种黑盒攻击）。Morphence-2.0始终优于之前的防御，同时保持干净数据的准确性并减少攻击的可转移性。我们还表明，在OOD检测的支持下，Morphence-2.0能够精确地对模型的决策函数进行基于输入的移动，从而提高对抗性和良性查询的预测准确性。
2022-06-15 cs.CR cs.LG
Towards Adversarial Realism and Robust Learning for IoT Intrusion Detection and Classification
Research Group on Intelligent Engineering and Computing for Advanced Innovation and Development (GECAD), School of Engineering, Polytechnic of Porto (ISEP/IPP)（先进创新与发展智能工程与计算研究组（GECAD），波尔图理工学院工程学院（ISEP/IPP））
物联网（IoT）面临着巨大的安全挑战。机器学习模型可用于应对越来越多的针对物联网系统的网络攻击变体，但对抗攻击构成的日益严重的威胁再次表明了对可靠防御策略的需求。这项工作描述了一个现实的对抗性网络攻击的例子所需的约束类型，并提出了一种方法，一个值得信赖的对抗性鲁棒性分析与现实的对抗性规避攻击向量。所提出的方法被用来评估三个监督算法，随机森林（RF），极端梯度提升（XGB），和轻梯度提升机（LGBM），和一个无监督算法，隔离森林（IFOR）。使用自适应扰动模式方法（A2PM）生成受约束的对抗性示例，并对使用常规和对抗性训练创建的模型进行规避攻击。尽管RF在二进制分类中受影响最小，但XGB在多类分类中始终达到最高的准确性。所获得的结果证明了基于树的算法和集成对对抗性规避攻击的固有敏感性，并证明了对抗性训练的好处和设计方法的安全性，以实现更强大的物联网网络入侵检测和网络攻击分类。
2023-03-03 cs.AI cs.CR cs.LG
Team DArgk at the 2026 ELOQUENT lab for evaluating generative language model quality: Residuals of Humanity: AI Detection Evasion via GRPO Fine-Tuning
Johannes Kepler University（约翰开普勒林茨大学）；CONICET - UNICEN（国家科学与技术研究理事会 - 国立中部大学）；Aalborg University（奥尔堡大学）
本文提出 SHADE 框架，通过 GRPO 微调 LLaMA 模型以规避 AI 文本检测器，实验显示全参数微调达到 98.5% 的代理规避率，但对抗单一检测器的优化难以泛化到未见分类器。
2026-09-22 cs.AI cs.CL
Improving Adversarial Robustness in Android Malware Detection by Reducing the Impact of Spurious Correlations
Radboud University（拉德堡德大学）；Xi’an Jiaotong University（西安交通大学）；Ruhr University Bochum（波鸿鲁尔大学）
本文提出一种领域自适应技术，通过构建鲁棒特征空间对齐恶意软件样本与对抗样本分布，减少虚假相关性影响，在DREBIN上相较Sec-SVM将对抗鲁棒性提升最高55%。
2024-08-27 cs.CR cs.LG cs.SE
Explainability-Guided Adversarial Attacks on Transformer-Based Malware Detectors Using Control Flow Graphs
Tennessee Tech University（田纳西理工大学）；University of Nebraska Omaha（内布拉斯加大学奥马哈分校）
本文研究了基于变换器的恶意软件检测器在对抗性逃逸攻击中的脆弱性，提出了一种利用可解释性机制的白盒对抗攻击方法，通过扰动关键图组件来诱导误分类。
2026-04-04 cs.CR cs.LG
Robust Context-Aware Detection of Malicious Instructions in Text
Washington University in St. Louis（圣路易斯华盛顿大学）
该研究针对LLM易受间接提示注入攻击的问题，提出上下文感知的恶意句子分类方法及两种对抗训练技术，在静态和自适应攻击下均提升了IPI防御性能，且需根据领域调整参数。
2026-10-30 cs.CR cs.LG
Feedback Learning for Improving the Robustness of Neural Networks
Duke University（杜克大学）；Black Sesame Technologies Inc（黑芝麻科技有限公司）
最近的研究表明，神经网络容易受到对抗攻击。最先进的防御技术在训练中添加各种对抗性示例，以提高模型的对抗性鲁棒性。然而，这些方法并不通用，不能防御未知或非对抗性的逃避攻击。在本文中，我们分析了模型的鲁棒性在决策空间。然后提出了一种反馈学习方法，以了解模型的学习效果，并促进修复缺陷的再训练过程。根据一组基于距离的标准进行的评估表明，我们的方法可以显着提高模型的准确性和对不同类型的规避攻击的鲁棒性。此外，我们观察到类间不平等的存在，并建议通过改变在不同的类中生成的例子的比例来补偿它。
2019-09-12 cs.LG stat.ML
The Curse of Concentration in Robust Learning: Evasion and Poisoning Attacks from Concentration of Measure
University of Virginia（弗吉尼亚大学）
许多现代机器学习分类器被证明是容易受到对抗扰动的实例。尽管有大量的工作集中在使分类器健壮，但这项任务似乎相当具有挑战性。在这项工作中，通过理论研究，我们研究了分类器的对抗风险和鲁棒性，并将其与度量测度空间中的测度集中现象联系起来。我们表明，如果度量概率空间的测试实例是集中的，任何分类器与一些初始的恒定误差是固有的对抗性扰动。一类集中度量概率空间是包含许多自然分布的所谓Levy族。在这种特殊情况下，我们的攻击只需要最多扰动测试实例$O(\sqrt n)$，使其被错误分类，其中$n$是数据维度。利用我们关于Levy实例空间的一般结果，我们首先将先前证明的关于对抗实例存在性的一些结果作为特例恢复。然而，更多的利维家族是已知的（例如，汉明距离下的乘积分布），我们立即获得新的攻击，发现距离$O(\sqrt n)$的对抗性例子。最后，我们表明，产品空间的措施浓度意味着存在形式的“中毒”攻击，对手篡改的训练数据的目标是降低分类器。特别是，我们表明，对于任何使用$m$训练样本的学习算法，都有一个对手可以增加任何“坏属性”的概率（例如，在特定的测试实例上失败），通过用其他（仍然正确标记的）示例替换仅$\tilde{O}(\sqrt m)$的示例，最初以不可忽略的概率发生到$\approx 1$。
2018-11-06 cs.CC cs.CR cs.LG
Universal Evasion Attacks on Summarization Scoring
Singapore University of Technology and Design（新加坡科技设计大学）
摘要的自动评分很重要，因为它指导了摘要器的开发。评分也很复杂，因为它涉及多个方面，如流畅性，语法，甚至与源文本的文本蕴涵。然而，摘要评分还没有被认为是一个机器学习任务，以研究其准确性和鲁棒性。在这项研究中，我们把自动评分的背景下回归机器学习任务和逃避攻击，以探索其鲁棒性。攻击系统从每个输入中预测一个非摘要字符串，这些非摘要字符串在最流行的指标：ROUGE，METEOR和BERTScore上与优秀的摘要器获得竞争性分数。攻击系统在ROUGE-1和ROUGE-L上的表现也超过了最先进的摘要方法，并在METEOR上得分第二高。此外，还观察到BERTScore后门：简单的触发器可以获得比任何自动摘要方法都高的分数。这项工作中的逃避攻击表明，目前的评分系统在系统级的低鲁棒性。我们希望，我们对这些拟议攻击的强调将有助于总结分数的发展。
2022-10-25 cs.CL
Evasion Attacks: How Adversarial Noise Bypasses ML Classifiers
Minot State University（迈诺特州立大学）
本文通过MNIST图像分类和SMS文本分类实验，展示对抗性噪声对机器学习分类器的规避攻击效果，发现图像分类脆弱性显著而文本分类相对稳健，强调鲁棒性需实证检验。
2026-10-02 cs.CL cs.CR cs.LG
A Transfer Attack to Image Watermarks
Duke University（杜克大学）
本文提出无盒环境下针对图像水印的迁移规避攻击，通过扰动图像同时规避攻击者自训代理模型与目标模型，从理论和实验证明现有水印检测器在无模型、无 API 访问时仍不鲁棒。
2025-02-19 cs.CL cs.CR cs.LG
Complete Evasion, Zero Modification: PDF Attacks on AI Text Detection
Independent Author（独立研究者）
提出PDFuzz攻击，利用PDF视觉布局与提取顺序差异，在保持文本视觉不变下使ArguGPT检测器性能降至随机水平，揭示检测系统固有漏洞。
2025-08-03 cs.AI cs.CL cs.CR
