Boosting 3D Adversarial Attacks with Attacking On Frequency
Tsinghua University（清华大学）；Guangxi University（广西大学）
深度神经网络（DNN）已被证明易受对抗攻击的攻击。最近，3D对抗攻击，特别是点云上的对抗攻击，引起了越来越多的兴趣。然而，由以前的方法获得的对抗性点云显示出弱的可传递性，并且易于防御。为了解决这些问题，在本文中，我们提出了一种新的点云攻击（被称为AOF），更加关注点云的低频分量。我们结合点云的损失及其低频分量来制作对抗样本。大量的实验证明，AOF可以提高可移植性相比，国家的最先进的（SOTA）的攻击，并更强大的SOTA 3D防御方法。另外，与干净点云相比，AOF得到的对抗点云包含更多的变形。
2022-01-26 cs.CV
Attack-Agnostic Adversarial Detection
University of Southern California（南加州大学）；Information Sciences Institution（信息科学研究所）
近年来越来越多的对抗攻击使攻击者比防御者更具优势，因为防御者必须在知道攻击类型后训练检测器，并且需要维护许多模型以确保在检测任何即将到来的攻击时具有良好的性能。我们提出了一种方法来结束拔河攻击者和防御者之间的战争治疗对抗攻击检测异常检测问题，使检测器是不可知的攻击。我们从两个方面量化了对抗扰动引起的统计偏差。最小有效分量特征（LSCF）量化了对抗性样本与良性样本统计数据的偏差，而海森特征（HF）通过测量局部损失曲率反映了对抗性样本如何扭曲模型最优值的景观。实证结果表明，我们的方法在CIFAR10、CIFAR100和SVHN上的总体ROC AUC分别为94.9%、89.7%和94.6%，并且在大多数攻击中与使用对抗性示例训练的对抗性检测器具有相当的性能。
2022-06-01 cs.CV
Towards Defending against Adversarial Examples via Attack-Invariant Features
Xidian University（西安电子科技大学）；The University of Sydney（悉尼大学）；Hong Kong Baptist University（香港浸会大学）；Chongqing University of Posts and Telecommunications（重庆邮电大学）
深度神经网络（DNN）容易受到对抗性噪声的影响。它们的对抗性鲁棒性可以通过利用对抗性示例来提高。然而，考虑到不断演变的攻击，在已知类型的对抗性示例上训练的模型通常不能很好地推广到未知类型的对抗性示例。为了解决这个问题，在本文中，我们提出了通过学习保持语义分类信息的攻击中的可推广不变特征来去除对抗性噪声。具体来说，我们引入了一种对抗性特征学习机制，将不变特征从对抗性噪声中分离出来。在攻击不变特征的编码空间中提出了一个归一化项，以解决可见和不可见攻击类型之间的偏差问题。经验评估表明，我们的方法可以提供更好的保护相比，以前的国家的最先进的方法，特别是对看不见的类型的攻击和自适应攻击。
2021-06-09 cs.CV
Robust Tracking against Adversarial Attacks
Shanghai Jiao Tong University（上海交通大学）；Tencent AI Lab（腾讯人工智能实验室）
虽然深度卷积神经网络（CNN）容易受到对抗攻击的攻击，但在构建针对对抗攻击的鲁棒深度跟踪算法方面却付出了相当少的努力。目前对对抗攻击和防御的研究主要集中在单个图像上。在这项工作中，我们首先尝试在视频序列上生成对抗性示例，以提高对对抗攻击的跟踪鲁棒性。为此，我们考虑到时间运动时，生成轻量级的扰动估计跟踪结果逐帧。一方面，我们在原始视频序列中加入时间扰动作为对抗样本，大大降低了跟踪性能。另一方面，我们从输入序列中依次估计扰动，并学习消除它们的影响，以恢复性能。我们将所提出的对抗攻击和防御方法应用于最先进的深度跟踪算法。对基准数据集的广泛评估表明，我们的防御方法不仅消除了对抗攻击造成的大的性能下降，而且在深度跟踪器不受对抗攻击的情况下，还实现了额外的性能增益。
2020-07-29 cs.CV
Minimizing Perceived Image Quality Loss Through Adversarial Attack Scoping
National Technical University Dnipro Polytechnic（第聂伯彼得罗夫斯克国立技术大学）
神经网络目前正积极用于机器人、人脸识别、自动驾驶汽车等安全关键领域的计算机视觉任务，但在发现对抗攻击后，其安全性受到质疑。在本文中，我们开发了简化的对抗攻击算法的基础上的范围的想法，这使得执行快速的对抗攻击，最大限度地减少结构图像质量（SSIM）的损失，允许执行有效的传输攻击与低目标推理网络调用计数，并打开了一个可能性的攻击使用钢笔只画在纸上的MNIST手写数字数据集。所提出的对抗攻击分析和攻击范围的概念可以很容易地扩展到不同的数据集，从而使本文的结果适用于广泛的实际任务。
2019-04-23 cs.CV
Utilizing Adversarial Targeted Attacks to Boost Adversarial Robustness
Tel Aviv University（特拉维夫大学）
对抗攻击已被证明在降低深度神经网络（DNN）的性能方面非常有效。最突出的防御是对抗性训练，这是一种学习鲁棒模型的方法。然而，对抗性训练并不能使DNN对对抗性扰动免疫。我们提出了一种新的解决方案，采用最近建议的预测归一化最大似然。具体来说，我们的防御根据不同的假设执行对抗性目标攻击，其中每个假设假设测试样本的特定标签。然后，通过比较假设概率，我们预测标签。我们的改进过程对应于对抗子空间属性的最新发现。我们使用ResNet-50，WideResNet-28和使用ImageNet，CIFAR 10和MNIST训练的2层ConvNet对16个对抗攻击基准进行了广泛的评估，分别显示出高达5.7%，3.7%和0.6%的显着改进。
2021-09-04 cs.CV
Generative Dynamic Patch Attack
Georgia State University（佐治亚州立大学）
对抗补丁攻击是一类通过扰动图像的一部分来欺骗深度神经网络模型的攻击算法。现有的补丁攻击大多考虑在输入不可知的位置注入对抗补丁：预定义的位置或随机位置。这种攻击设置可能足以进行攻击，但在用于对抗训练时有相当大的限制。因此，用现有补丁攻击训练的鲁棒模型不能有效地防御其他对抗攻击。在本文中，我们首先提出了一个端到端的补丁攻击算法，生成动态补丁攻击（GDPA），它产生补丁模式和补丁位置的每一个输入图像。我们表明，GDPA是一个通用的攻击框架，可以产生动态/静态和可见/不可见的补丁与一些配置的变化。其次，GDPA可以很容易地集成到对抗训练中，以提高模型对各种对抗攻击的鲁棒性。在VGGFace、Traffic Sign和ImageNet上进行的大量实验表明，GDPA比最先进的补丁攻击具有更高的攻击成功率，而使用GDPA进行对抗训练的模型比竞争方法对对抗补丁攻击具有更好的鲁棒性。我们的源代码可以在www.example.com上找到。
2021-11-15 cs.CV
Cycle-Consistent Adversarial GAN: the integration of adversarial attack and defense
National Digital Switching System Engineering and Technological Research Center（国家数字交换系统工程技术研究中心）
在深度学习的图像分类中，输入旨在添加小幅度扰动的对抗性示例可能会误导深度神经网络（DNN）获得错误的结果，这意味着DNN很容易受到它们的影响。为了更好地研究深度学习的机制，人们提出了不同的攻击和防御策略。然而，这些网络的研究都只是针对攻击或防御的一个方面，没有考虑到攻击和防御应该是相互依存、相互促进的，就像矛和盾的关系一样。本文提出了循环一致的对抗性GAN（CycleAdvGAN）算法来生成对抗性实例，该算法能够学习和近似原始实例和对抗性实例的分布。对于CycleAdvGAN，一旦Generator和被训练，可以针对任何实例高效地生成对抗扰动，从而使DNN预测错误，并恢复对抗示例以清洁实例，从而使DNN预测正确。我们在两个公共数据集MNIST和CIFAR10上应用半白盒和黑盒设置下的CycleAdvGAN。实验表明，该方法在实现了对抗攻击方法的同时，有效地提高了防御能力，实现了对抗攻击与防御的一体化。此外，它还提高了只在任何类型的对抗攻击生成的对抗数据集上训练的攻击效果。
2019-04-12 cs.CV
Attention, Please! Adversarial Defense via Activation Rectification and Preservation
Beijing Jiaotong University（北京交通大学）
本研究通过考察对抗攻击与视觉注意变化之间的相关性，为对抗攻击问题提供了新的认识。特别地，我们观察到：（1）具有不完整注意区域的图像更容易受到对抗攻击的影响;（2）成功的对抗攻击导致偏离和分散的注意力地图。因此，基于注意力的对抗防御框架被设计为同时校正注意力地图以进行预测，并保留对抗图像和原始图像之间的注意力区域。在视觉注意力变化的背景下，增加迭代攻击样本的问题也进行了讨论。我们希望在这项研究中的注意力相关的数据分析和防御解决方案将揭示一些对抗攻击背后的机制，也有助于未来的对抗防御/攻击模型的设计。
2022-12-29 cs.CV
Scale-Invariant Adversarial Attack for Evaluating and Enhancing Adversarial Defenses
College of Computer Science and Technology, Nanjing University of Aeronautics and Astronautics（南京航空航天大学计算机科学与技术学院）
高效和有效的攻击对于可靠的防御评估以及开发健壮的模型至关重要。投影梯度下降（PGD）攻击已被证明是最成功的对抗攻击之一。然而，标准PGD攻击的效果可以很容易地通过重新缩放logits来削弱，而不会改变每个输入的原始决策。为了缓解这个问题，在本文中，我们提出了尺度不变的对抗攻击（SI-PGD），它利用倒数第二层中的特征与softmax层中的权重之间的角度来指导对手的生成。余弦角矩阵用于学习角度鉴别表示，且不随logits的重新缩放而改变，从而使SI-PGD攻击稳定有效。我们评估我们的攻击对多个防御，并显示改进的性能相比，现有的攻击。此外，我们提出了基于余弦角矩阵的尺度不变（SI）对抗防御机制，它可以嵌入到流行的对抗防御。实验结果表明，与我们的SI机制的防御方法实现了最先进的性能之间的多步和单步防御。
2022-01-29 cs.CV
HIRE-SNN: Harnessing the Inherent Robustness of Energy-Efficient Deep Spiking Neural Networks by Training with Crafted Input Noise
University of Southern California（南加州大学）
低延迟深度脉冲神经网络（SNN）由于其在事件驱动神经形态硬件上提高能量效率的潜力而成为传统人工神经网络（ANN）的有前途的替代方案。然而，包括SNN在内的神经网络会受到各种对抗攻击的影响，并且必须经过训练才能在许多应用中保持对此类攻击的弹性。然而，由于与SNN相关联的过高的训练成本，在各种对抗攻击下对深度SNN的分析和优化在很大程度上被忽视了。在本文中，我们首先详细分析了低延迟SNN对流行的基于梯度的攻击，即快速梯度符号法（FGSM）和投影梯度下降（PGD）的固有鲁棒性。受此分析的启发，为了利用模型对这些攻击的鲁棒性，我们提出了一种SNN训练算法，该算法使用精心制作的输入噪声，并且不需要额外的训练时间。为了评估我们算法的优点，我们在CIFAR-10和CIFAR-100数据集上对VGG和ResNet的变体进行了广泛的实验。与标准训练的直接输入SNN相比，我们的训练模型在FGSM和PGD攻击生成的图像上分别提高了高达13.7%和10.1%的分类准确度，而干净图像的准确度损失可以忽略不计。我们的模型还优于在速率编码输入上训练的固有鲁棒SNN，在攻击生成的图像上具有改进或类似的分类性能，同时分别具有高达25倍和4.6倍的低延迟和计算能量。
2021-10-06 cs.AI cs.CV
On Trace of PGD-Like Adversarial Attacks
Johns Hopkins University（约翰斯·霍普金斯大学）
对抗攻击给深度学习应用带来了安全问题，但其特征尚未得到充分研究。然而，在一个对抗性的例子中，类似PGD的攻击可能留下了很强的痕迹，这在很大程度上是难以察觉的。回想一下，类似PGD的攻击会触发网络的“局部线性”，这意味着良性或敌对示例的线性程度不同。受此启发，我们构建了一个对抗性响应特征（ARC）特征来反映模型在输入周围的梯度一致性，以指示线性程度。在一定条件下，它定性地表现为从良性样本到敌对样本的逐渐变化的模式，因为后者导致了后续攻击效应（SAE）。为了定量评估ARC的有效性，我们在CIFAR-10和ImageNet上进行了实验，以在具有挑战性的环境中进行攻击检测和攻击类型识别。结果表明，SAE是通过ARC特征反映的PGD样攻击的有效且独特的痕迹。ARC功能直观、轻量级、非侵入性且数据要求不高。
2022-11-05 cs.CV
Robustness Of Saak Transform Against Adversarial Attacks
University of Southern California（南加州大学）；US Army Research Laboratory（美国陆军研究实验室）
图像分类易受对抗攻击的影响。本文研究了Saak变换在高性能图像分类中对抗攻击的鲁棒性。我们开发了一个完整的基于多级Saak变换的图像分类系统。在Saak变换域中，干净图像和对抗图像在不同的光谱维度上表现出不同的分布。在每个阶段的光谱维度的选择可以被看作是一个自动去噪过程。受此观察的启发，我们仔细设计了特征提取，表示和分类策略，以提高对抗鲁棒性。广泛的实验评估证明了与知名的数据集和攻击的性能。
2019-02-07 cs.CV
Visual Adversarial Attacks and Defenses in the Physical World: A Survey
Institute of Artificial Intelligence, Beihang University（北航人工智能研究院）；The Chinese University of HongKong（香港中文大学）
本文综述了物理世界中视觉对抗攻击与防御，分析了攻击类型、防御方法及未来研究方向。
2026-01-12 cs.CV
Exploiting Vulnerability of Pooling in Convolutional Neural Networks by Strict Layer-Output Manipulation for Adversarial Attacks
卷积神经网络（CNN）在智能车辆等移动机器人领域得到了越来越多的应用。CNN在机器人应用中的安全性是一个重要的问题，对CNN的潜在对抗攻击值得研究。池化是CNN降维和信息丢弃的一个典型步骤。这种信息丢弃可能导致数据特征的误删除和误保存，这在很大程度上影响了网络的输出。这可能会加剧CNN对对抗攻击的脆弱性。在本文中，我们进行对抗攻击CNN从网络结构的角度，通过调查和利用池的脆弱性。首先，提出了一种新的对抗攻击方法--严格层输出操纵（SLOM）。然后设计了一种基于严格池操作（SPM）的攻击方法，该方法是SLOM思想的一种实例化，有效地实现了对目标CNN的I类和II类对抗攻击。研究和比较了不同深度下基于SPM的攻击性能。此外，通过实例化的SLOM精神与不同的操作层的CNN设计的攻击方法的性能进行了比较。实验结果表明，池化比CNN中的其他操作更容易受到对抗攻击。
2020-12-21 cs.CV
A Perturbation-Constrained Adversarial Attack for Evaluating the Robustness of Optical Flow
University of Stuttgart（斯图加特大学）
最近的光流方法几乎完全根据精度来判断，而它们的鲁棒性常常被忽略。虽然对抗攻击提供了一个有用的工具来执行这样的分析，目前的攻击光流方法集中在现实世界的攻击场景，而不是最坏情况下的鲁棒性评估。因此，在这项工作中，我们提出了一种新的对抗攻击-扰动约束流攻击（PCFA）-作为一个现实世界的攻击，强调破坏性的适用性。PCFA是一种全局攻击，它优化对抗性扰动以将预测流向指定的目标流移动，同时保持扰动的L2范数低于选定的界限。我们的实验证明了PCFA在白盒和黑盒设置中的适用性，并表明它比以前的攻击找到了更强的对抗性样本。基于这些强样本，我们提供了第一个联合排名的光流方法，同时考虑到预测质量和对抗鲁棒性，这表明最先进的方法是特别脆弱的。代码可在https://github.com/cv-stuttgart/PCFA上获得。
2022-07-18 cs.CV
HoSNN: Adversarially-Robust Homeostatic Spiking Neural Networks with Adaptive Firing Thresholds
University of California, Santa Barbara（加州大学圣巴巴拉分校）
受神经稳态启发，提出具有自适应发放阈值的TA-LIF神经元模型并构建对抗鲁棒的稳态脉冲神经网络HoSNNs，通过局部反馈控制有效抑制对抗扰动引发的膜电位误差，显著提升了模型在强对抗攻击下的准确率。
2025-03-04 cs.CR cs.CV cs.LG
Quantifying How Training Gradient Sparsity Affect Spiking Neural Network Accuracy And Robustness
College of Information and Communication Technology, Can Tho University, Vietnam（越南金瓯大学信息与通信技术学院）；College of Engineering and Computer Science, VinUniversity, Hanoi, Vietnam（越南河内Vin大学工程与计算机科学学院）；Center of Digital Transformation and Communication, Can Tho University, Vietnam（越南金瓯大学数字转型与通信中心）；Department of Computer Science and Engineering, The University of Aizu, Japan（日本立命馆大学计算机科学与工程系）
本研究发现特定架构下SNNs自然具有梯度稀疏性，无需正则化即可实现对抗防御性能，揭示了梯度稀疏性在鲁棒性与泛化能力间的权衡关系。
2026-09-29 cs.AI cs.CV cs.NE
Attacking the Spike: On the Transferability and Security of Spiking Neural Networks to Adversarial Examples
Lehigh University（莱文大学）；University of Minnesota Twin Cities（明尼苏达大学双城分校）；North Carolina State University（北卡罗来纳州立大学）；University of Rhode Island（罗德岛大学）；Northeastern University（东北大学）
本文研究了脉冲神经网络（SNN）在对抗示例中的鲁棒性，揭示了对抗攻击的转移性，并提出了混合动态脉冲估计（MDSE）攻击方法，以提高SNN和非SNN模型的对抗示例生成效果。
2026-05-21 cs.AI cs.CR cs.CV
Rate Coding or Direct Coding: Which One is Better for Accurate, Robust, and Energy-efficient Spiking Neural Networks?
Yale University, USA（美国耶鲁大学）
最近的脉冲神经网络（SNN）工作集中于图像分类任务，因此已经提出了各种编码技术来将图像转换为时间二进制脉冲。其中，速率编码和直接编码被认为是构建实用SNN系统的潜在候选者，因为它们在大规模数据集上显示出最先进的性能。尽管它们的使用，很少有人注意到以公平的方式比较这两种编码方案。在本文中，我们从三个角度进行了全面的分析：准确性，对抗鲁棒性和能量效率。首先，我们比较了两种编码技术与各种架构和数据集的性能。然后，我们衡量的两个对抗攻击方法的编码技术的鲁棒性。最后，我们比较了两种编码方案的数字硬件平台上的能量效率。我们的研究结果表明，直接编码可以实现更好的精度，特别是对于少量的时间步长。相比之下，由于不可微的尖峰生成过程，速率编码对对抗攻击表现出更好的鲁棒性。速率编码还产生比直接编码更高的能量效率，直接编码要求第一层的多比特精度。我们的研究探讨了两个编码的特点，这是一个重要的设计考虑建设SNN。该守则可在https://github.com/Intelligent-Computing-Lab-Yale/Rate-vs-Direct上查阅。
2022-04-12 cs.CV cs.NE
Guided Adversarial Attack for Evaluating and Enhancing Adversarial Defenses
Indian Institute of Science（印度科学学院）
对抗攻击的发展是对抗性防御研究的基础。高效和有效的攻击对于可靠的防御评估以及开发健壮的模型至关重要。对抗攻击通常通过使用投影梯度下降（PGD）在约束集内最大化标准损失（诸如交叉熵损失或最大余量损失）来生成。在这项工作中，我们在标准损失中引入了一个松弛项，找到了更合适的梯度方向，提高了攻击效率，并导致了更有效的对抗训练。我们提出了引导的对抗性边缘攻击（GAMA），它利用干净图像的函数映射来引导对手的生成，从而产生更强的攻击。我们评估我们的攻击对多种防御，并显示出改进的性能相比，现有的攻击。此外，我们提出了引导对抗训练（GAT），它通过利用所提出的松弛项进行攻击生成和训练，在单步防御中实现了最先进的性能。
2020-11-30 cs.CV cs.LG
Time Is All It Takes: Spike-Retiming Attacks on Event-Driven Spiking Neural Networks
School of Electrical and Electronic Engineering, Nanyang Technological University（南洋理工大学电子与电气工程学院）；Generative AI Lab, College of Computing and Data Science, Nanyang Technological University（南洋理工大学计算与数据科学学院生成式人工智能实验室）；CUHK（香港中文大学）；Southeast University（东南大学）；Nanyang Technological University（南洋理工大学）；Pengcheng Laboratory（鹏城实验室）
本文提出了一种针对事件驱动脉冲神经网络的脉冲重定时攻击，通过重定时脉冲而非改变强度或计数来实现攻击，展示了其在多个基准上的高成功率。
2026-02-08 cs.CR cs.CV
MAT: A Multi-strength Adversarial Training Method to Mitigate Adversarial Attacks
Duke University（杜克大学）；Hewlett Packard Labs（惠普实验室）；Air Force Research Lab（美国空军研究实验室）
最近的一些研究表明，深度神经网络（DNN）很容易受到所谓的对抗攻击的攻击，其中输入示例被故意扰动以欺骗DNN。在这项工作中，我们重新审视了DNN训练过程，将对抗性示例包含到训练数据集中，以提高DNN对对抗攻击的弹性，即对抗性训练。我们的实验表明，不同的对抗强度，即，对抗性例子的扰动水平，有不同的工作区来抵抗攻击。在此基础上，提出了一种多强度对抗训练方法（MAT），该方法将具有不同对抗强度的对抗训练样本结合起来，以抵御对抗攻击。两种训练结构-混合MAT和并行MAT -的开发，以促进训练时间和内存占用之间的权衡。我们的研究结果表明，MAT可以大大减少深度学习系统对MNIST、CIFAR-10、CIFAR-100和SVHN的对抗攻击的准确性下降。
2018-05-11 cs.CV cs.LG
Delving into the pixels of adversarial samples
Aalto University（阿尔托大学）
尽管对对抗攻击进行了广泛的研究，但我们不知道对抗攻击如何影响图像像素。了解图像像素如何受到对抗攻击的影响有可能引导我们更好地进行对抗防御。受我们发现的强攻击不会转移的实例的启发，我们深入研究了像素级的对抗示例，以仔细研究对抗攻击如何影响图像像素值。我们考虑了几种ImageNet架构，InceptionV3，VGG19和ResNet50，以及几种强大的攻击。我们发现，攻击可以有不同的效果，在像素级取决于分类器架构。特别是，输入预处理在攻击对像素的影响中起着以前被忽视的作用。基于像素级检查的见解，我们找到了新的方法来检测一些最强的当前攻击。
2021-06-21 cs.CV cs.LG
Attribution of Gradient Based Adversarial Attacks for Reverse Engineering of Deceptions
University of California, Santa Barbara（加州大学圣巴巴拉分校）；Mayachitra Inc（玛雅奇特拉公司）
机器学习（ML）算法在训练和部署过程中容易受到对抗攻击和欺骗。这些对抗性机器学习攻击背后的工具链的自动逆向工程将有助于恢复这些攻击中使用的工具和流程。在本文中，我们提出了两种技术，支持使用共生像素统计和Laplacian Resistance自动识别和归因对抗性ML攻击工具链。我们的实验表明，所提出的技术可以识别用于生成对抗样本的参数。据我们所知，这是第一种基于属性梯度的对抗攻击方法，并估计它们的参数。源代码和数据可在https://github.com/michael-goebel/ei_red上获得
2021-03-19 cs.CR cs.CV
Exploring Adversarial Attacks and Defenses in Vision Transformers trained with DINO
ETH Zurich（苏黎世联邦理工学院）
本文首次分析了使用DINO训练的自监督视觉Transformer对对抗攻击的鲁棒性。首先，我们评估通过自我监督学习的特征是否比从监督学习中学习的特征对对抗攻击更鲁棒。然后，我们提出了在潜在空间中的攻击所产生的属性。最后，我们评估了三种著名的防御策略是否可以通过微调分类头来提高下游任务的对抗鲁棒性，即使在有限的计算资源下也能提供鲁棒性。这些防御策略是：对抗性训练，强化对抗性训练和强化专业网络。
2022-09-08 cs.AI cs.CV
Imperceptible Adversarial Attack via Invertible Neural Networks
National University of Defense Technology（国防科技大学）
通过利用辅助梯度信息添加扰动或丢弃良性图像的现有细节是生成对抗性示例的两种常见方法。虽然视觉不可感知性是对抗性示例的期望属性，但是传统的对抗攻击仍然生成可追踪的对抗性扰动。在本文中，我们介绍了一种新的对抗攻击通过可逆神经网络（AdvINN）的方法来产生强大的和不可感知的对抗的例子。具体来说，AdvINN充分利用了可逆神经网络的信息保存特性，从而通过同时添加目标类的类特定语义信息和丢弃原始类的判别信息来生成对抗性示例。在CIFAR-10、CIFAR-100和ImageNet-1 K上进行的大量实验表明，与现有方法相比，所提出的AdvINN方法可以产生更少的不可感知的对抗图像，并且与其他对抗攻击相比，AdvINN可以产生更强大的对抗示例，具有更高的置信度。
2023-01-17 cs.CV eess.IV
Composite Adversarial Attacks
Alibaba Group（阿里巴巴集团）；Tsinghua University（清华大学）
对抗攻击是一种欺骗机器学习（ML）模型的技术，它提供了一种评估对抗鲁棒性的方法。在实践中，攻击算法是由人类专家人工选择和调整的，以破坏ML系统。然而，手动选择攻击者往往是次优的，导致错误的评估模型的安全性。提出了一种新的复合对抗攻击算法（CAA），用于从\textbf{32 base attackers}的候选池中自动搜索攻击算法及其超参数的最佳组合。我们设计了一个搜索空间，其中攻击策略表示为攻击序列，即，前一个攻击者的输出被用作后继者的初始化输入。采用多目标NSGA-II遗传算法寻找复杂度最小的最强攻击策略。实验结果表明，CAA在11种不同的攻击中以更少的时间（\textbf{6 $\times$ faster than AutoAttack}）击败了10个顶级攻击者，并在$l_{\infty}$、$l_{2}$和无限制对抗攻击上达到了新的水平。
2020-12-10 cs.CR cs.CV
CAG: A Real-time Low-cost Enhanced-robustness High-transferability Content-aware Adversarial Attack Generator
Rutgers University - School of Engineering（罗格斯大学工程学院）；MIT-IBM Watson AI Lab, IBM Research（IBM研究院麻省理工学院-IBM沃森人工智能实验室）
尽管深度神经网络（DNN）在许多人工智能领域取得了巨大的成功，但它很容易受到对抗攻击的攻击。对抗攻击是一种通过向合法输入添加不可感知的扰动来引起预期的误分类的方法。研究人员已经开发出多种类型的对抗攻击方法。然而，从实际部署的角度来看，这些方法遭受的几个缺点，如攻击生成时间长，内存成本高，鲁棒性不足和低可移植性。提出了一种基于内容的对抗攻击生成器（CAG），以实现实时的【形】、低成本、增强鲁棒性和高可移植性的对抗攻击。首先，作为一种基于生成模型的攻击，与PGD和C\&W等最先进的攻击相比，CAG在生成对抗性示例方面表现出显着的加速（至少500倍）。CAG只需要一个生成模型就可以对任何目标类进行有针对性的攻击。由于CAG将标签信息编码到可训练的嵌入层中，因此它不同于先前的基于生成模型的对抗攻击，后者针对$n$不同的目标类使用生成模型的$n$不同副本。因此，CAG显著降低了生成对抗性示例所需的内存成本。CAG可以通过在训练过程中整合类激活图信息来生成专注于输入关键区域的对抗性扰动，从而提高CAG攻击对最新对抗性防御的鲁棒性。此外，通过在生成扰动的过程中引入随机丢弃，CAG在黑盒攻击场景中表现出在不同DNN分类器模型之间的高可移植性。在不同数据集和DNN模型上的大量实验已经验证了CAG的实时的【形】、低成本、增强的鲁棒性和高可移植性的优点。
2019-12-16 cs.CR cs.CV
Adversarial Attack Attribution: Discovering Attributable Signals in Adversarial ML Attacks
The MITRE Corporation（MITRE公司）
众所周知，机器学习（ML）模型容易受到对抗性输入的影响，研究人员已经证明，即使是自动驾驶汽车和ML即服务产品等生产系统也很容易受到影响。这些系统是不良行为者的目标。它们的中断可能造成真正的物质和经济损害。当对生产ML系统的攻击发生时，将攻击归因于负责的威胁组的能力是制定响应并追究攻击者责任的关键步骤。我们提出以下问题：可以adversarially扰动输入归因于特定的方法来产生的攻击？换句话说，有没有办法在这些攻击中找到暴露攻击算法、模型架构或攻击中使用的超参数的信号？我们引入了对抗攻击归因的概念，并创建了一个简单的监督学习实验框架，以检查发现归因信号在对抗攻击的可行性。我们发现，在CIFAR-10和MNIST数据集上区分不同攻击算法、模型和超参数生成的攻击是可能的。
2021-01-08 cs.CR cs.CV cs.LG
CAAD 2018: Iterative Ensemble Adversarial Attack
University of Science and Technology of China（中国科学技术大学）
深度神经网络（DNN）最近在许多领域取得了重大进展。然而，DNN容易受到对抗性示例的影响，这些示例是具有不可感知的扰动的样本，同时极大地误导了DNN。对抗攻击可用于在部署深度学习模型之前评估其鲁棒性。不幸的是，大多数现有的对抗攻击只能欺骗黑盒模型，成功率很低。为了提高黑盒对抗攻击的成功率，我们提出了一个迭代的对抗攻击对集成的图像分类器。凭借这种方法，我们在CAAD 2018年有针对性的对抗攻击比赛中获得了第五名。
2018-11-07 cs.CR cs.CV cs.LG
ASP:A Fast Adversarial Attack Example Generation Framework based on Adversarial Saliency Prediction
George Mason University（乔治梅森大学）
神经网络以其良好的准确性和可行性，在新型智能应用和系统中得到了广泛的应用。然而，随着对抗攻击的出现，基于神经网络的系统性能变得非常脆弱：图像分类结果可以被对抗样本任意误导，这些对抗样本是具有人类不可感知的像素级扰动的精心制作的图像。由于这提出了一个重大的系统安全问题，我们实施了一系列的调查对抗攻击在这项工作中：我们首先确定一个图像的像素的脆弱性的基础上的对抗显着性分析的对抗攻击。通过比较分析显著图和对抗扰动分布，提出了一种新的评估方案来综合评估对抗攻击的精度和效率。在此基础上，提出了一种新的对抗性显著性预测方法，并提出了一种快速对抗性示例生成框架ASP，该框架显著提高了攻击效率，降低了计算开销。实验结果表明，与已有方法相比，ASP的对抗性示例生成速度最多提高了12倍，扰动率降低了2倍，在MNIST和Cifar10上的攻击成功率均高达87%。ASP也可以很好地用于支持数据饥渴的NN对抗训练。通过降低高达90%的攻击成功率，ASP可以快速有效地增强基于神经网络的系统对对抗攻击的防御能力。
2018-06-12 cs.CR cs.CV cs.LG
Perception Improvement for Free: Exploring Imperceptible Black-box Adversarial Attacks on Image Classification
University of British Columbia（不列颠哥伦比亚大学）
深度神经网络容易受到对抗攻击的攻击。白盒对抗攻击可以用小的对抗性扰动欺骗神经网络，特别是对于大尺寸图像。然而，保持成功的对抗性扰动不可感知对于基于传输的黑盒对抗攻击尤其具有挑战性。通常，由于其令人不快的视觉质量，这种对抗性示例可以很容易地被发现，这在实践中损害了对抗攻击的威胁。在这项研究中，为了提高图像质量的黑盒对抗性的例子感知，我们提出了结构感知的对抗攻击通过生成基于心理感知模型的对抗性图像。具体来说，我们允许对感知无关紧要的区域进行更高的扰动，而对视觉敏感区域分配较低或无扰动。除了提出的空间约束对抗扰动，我们还提出了一种新的结构感知的频率对抗攻击方法在离散余弦变换（DCT）域。由于所提出的攻击是独立的梯度估计，他们可以直接与现有的基于梯度的攻击。实验结果表明，与可比的攻击成功率（ASR），所提出的方法可以产生对抗性的例子，大大提高了视觉质量的免费。在感知质量相当的情况下，所提出的方法实现了更高的攻击成功率：特别是对于频率结构感知攻击，平均ASR比基线攻击提高了10%以上。
2020-10-30 cs.CR cs.CV cs.LG
Interpreting Attributions and Interactions of Adversarial Attacks
Shanghai Jiao Tong University（上海交通大学）
本文的目的是解释对抗攻击方面的对抗扰动如何有助于攻击任务。根据Shapley值估计图像不同区域对攻击代价降低的贡献。我们定义并量化了对抗扰动像素之间的相互作用，并将整个扰动图分解为相对独立的扰动分量。扰动图的分解表明，经过逆向训练的DNN在前景中比经过正常训练的DNN具有更多的扰动分量。此外，与正常训练的DNN相比，对抗训练的DNN具有更多的成分，这些成分主要降低了真实类别的得分。上述分析为理解对抗攻击提供了新的视角。
2021-08-16 cs.AI cs.CV cs.LG
Deflecting Adversarial Attacks
University of California, San Diego（加利福尼亚大学圣地亚哥分校）；Google Brain（谷歌大脑）
有一个正在进行的循环，即针对对抗攻击的更强防御随后被更先进的防御感知攻击打破。我们提出了一种新的方法来结束这个循环，我们通过使攻击者产生一个语义上类似于攻击目标类的输入来“偏转”对抗攻击。为此，我们首先提出了一种基于Capsule Networks的更强大的防御，该防御结合了三种检测机制，以在标准和防御感知攻击中实现最先进的检测性能。然后，我们通过进行一项人类研究，要求参与者标记攻击产生的图像，表明针对我们防御的未检测到的攻击通常在感知上类似于对抗性目标类。这些攻击图像不能再被称为“敌对”，因为我们的网络对它们的分类方式与人类相同。
2020-02-18 cs.CV cs.LG stat.ML
Adversarial attacks on an optical neural network
Peng Cheng Laboratory（鹏城实验室）；Xidian University（西安电子科技大学）
针对数字领域的深度学习等机器学习系统，人们已经广泛研究了对抗攻击。然而，针对光学神经网络的对抗攻击却很少被研究。在这项工作中，我们首先构建一个精确的图像分类器与ONN使用一个网格的互连马赫-曾德尔干涉仪（MZI）。并首次提出了相应的对抗攻击方案。被攻击的图像在视觉上与原始图像非常相似，但ONN系统在大多数情况下会出现故障并生成错误的分类结果。结果表明，对抗攻击也是光学机器学习系统的一个重要问题。
2022-04-29 cs.CR cs.CV cs.LG
Towards Feature Space Adversarial Attack
我们提出了一种新的针对深度神经网络的对抗攻击，用于图像分类。与大多数直接干扰输入像素的现有攻击不同，我们的攻击侧重于干扰抽象特征，更具体地说，表示样式的特征，包括可解释的样式，如鲜艳的颜色和清晰的轮廓，以及不可解释的样式。它通过优化过程注入不可察觉的风格变化来诱导模型错误分类。我们表明，我们的攻击可以生成比最先进的无界攻击更自然的对抗样本。实验还表明，现有的像素空间对抗攻击检测和防御技术很难保证在风格相关特征空间的鲁棒性。
2020-12-16 cs.CV cs.LG eess.IV
Stochastic Variance Reduced Ensemble Adversarial Attack for Boosting the Adversarial Transferability
Huazhong University of Science and Technology（华中科技大学）；Cornell University（康奈尔大学）
黑盒对抗攻击因其在深度学习安全领域的实际应用而引起了广泛关注。同时，这是非常具有挑战性的，因为无法访问目标模型的网络架构或内部权重。基于样本对多个模型保持对抗性，则更有可能将攻击能力转移到其他模型的假设，基于集合的对抗攻击方法是一种有效的黑盒攻击方法，被广泛应用。然而，集成攻击的方式是相当少的研究，和现有的集成攻击简单地融合所有模型的输出均匀。在这项工作中，我们把迭代集成攻击作为一个随机梯度下降优化过程，在不同的模型上的梯度的方差可能会导致不良的局部最优。为此，我们提出了一种新的攻击方法称为随机方差减少集成（SVRE）攻击，它可以减少集成模型的梯度方差，并充分利用集成攻击。在标准ImageNet数据集上的实验结果表明，该方法可以提高对抗性可转移性，并显着优于现有的集成攻击。代码可在https://github.com/JHL-HUST/SVRE上获得。
2022-04-23 cs.CR cs.CV cs.LG
Detecting Adversarial Attacks On Audiovisual Speech Recognition
Imperial College London（帝国理工学院）
对抗攻击对深度学习模型构成了威胁。然而，针对对抗性检测方法的研究，尤其是在多模态领域的研究非常有限。在这项工作中，我们提出了一个有效的和简单的检测方法的基础上的音频和视频流之间的时间相关性。其主要思想是，由于增加了对抗性噪声，对抗性示例中音频和视频之间的相关性将低于良性示例。我们使用同步置信度分数作为视听相关性的代理，并基于它，我们可以检测对抗攻击。据我们所知，这是第一个关于检测对视听语音识别模型的对抗攻击的工作。我们将最近的对抗攻击应用于在GRID和LRW数据集上训练的两个视听语音识别模型。实验结果表明，该方法是检测此类攻击的有效方法。
2021-02-12 cs.CV cs.SD eess.AS
Learning to Attack with Fewer Pixels: A Probabilistic Post-hoc Framework for Refining Arbitrary Dense Adversarial Attacks
Monash University（莫纳什大学）；Defence Science and Technology Group, Department of Defence（国防部国防科学技术集团）
据报道，深度神经网络图像分类器容易受到对抗性规避攻击的影响，这种攻击使用精心制作的图像来误导分类器。许多对抗攻击都属于密集攻击的范畴，它们通过扰动自然图像的所有像素来生成对抗样本。为了产生稀疏扰动，最近已经开发了稀疏攻击，其通常是通过用稀疏调节修改密集攻击的算法而得到的独立攻击，导致攻击效率降低。在本文中，我们将从不同的角度来解决这个问题。我们从密集攻击产生的扰动中选择最有效的扰动，基于这样一个事实，我们发现密集攻击产生的图像上的大量扰动可能对攻击分类器贡献不大。因此，我们提出了一个概率事后框架，细化给定的密集攻击，通过显着减少扰动像素的数量，但保持其攻击能力，训练与互信息最大化。在任意密集攻击下，该模型具有吸引人的兼容性，使其对抗图像更逼真，并且在更少的扰动下不易被检测到。此外，我们的框架执行对抗攻击比现有的稀疏攻击快得多。
2022-02-21 cs.CR cs.CV cs.LG
Cross-Modal Transferable Adversarial Attacks from Images to Videos
Fudan University（复旦大学）
最近的研究表明，在一个白盒模型上手工制作的对抗性示例可以用来攻击其他黑盒模型。这种跨模型可转移性使得执行黑盒攻击成为可能，这引发了现实世界DNN应用程序的安全问题。然而，现有的工作主要集中在研究共享相同输入数据模态的不同深度模型之间的对抗性可转移性。对抗扰动的跨模态可传递性从未被探索过。本文研究了对抗扰动在不同模态之间的可转移性，即，利用在白盒图像模型上生成的对抗性扰动来攻击黑盒视频模型。具体来说，由于观察到图像和视频帧之间的低级特征空间相似，我们提出了一种简单而有效的跨模态攻击方法，称为图像到视频（I2 V）攻击。I2 V通过最小化来自对抗性和良性示例的预训练图像模型的特征之间的余弦相似性来生成对抗性帧，然后组合生成的对抗性帧以对视频识别模型执行黑盒攻击。大量的实验表明，I2 V可以在不同的黑盒视频识别模型上实现高攻击成功率。在Kinetics-400和UCF-101上，I2 V的平均攻击成功率分别为77.88%和65.68%，这揭示了跨模式对抗攻击的可行性。
2021-12-10 cs.CR cs.CV cs.LG
Improving Hyperspectral Adversarial Robustness Under Multiple Attacks
University of Maine（缅因大学）
针对高光谱图像语义分割模型在多种对抗攻击下鲁棒性下降的问题，提出对抗判别器集成网络（ADE-Net），通过判别器按攻击类型分配数据至专家集成网络，在统一模型下提升整体对抗鲁棒性。
2023-05-11 cs.CR cs.CV cs.LG
PDPGD: Primal-Dual Proximal Gradient Descent Adversarial Attack
Nanyang Technological University（南洋理工大学）
最先进的深度神经网络对小的输入扰动很敏感。自从发现这个有趣的漏洞以来，已经提出了许多防御方法，试图提高对抗性噪声的鲁棒性。需要快速准确的攻击来比较各种防御方法。然而，评估对抗鲁棒性已被证明是极具挑战性的。现有的范数最小化对抗攻击需要数千次迭代（例如Carlini和Wagner攻击），限于特定的范数（例如快速自适应边界），或者产生次优结果（例如Brendel和Bethge攻击）。另一方面，PGD攻击，这是快速，通用和准确的，忽略了范数最小化惩罚，并解决了一个更简单的扰动约束问题。在这项工作中，我们引入了一种快速，通用和准确的对抗攻击，优化了原来的非凸约束最小化问题。我们将优化对抗攻击优化问题的拉格朗日量解释为两个玩家的游戏：第一个玩家最小化对抗噪声的拉格朗日量;第二个玩家最大化正则化惩罚的拉格朗日量。我们的攻击算法同时优化原始和对偶变量，以找到最小的对抗扰动。此外，对于非光滑$l_p$ -范数最小化，如$l_{\infty}$ -，$l_1$ -和$l_0$ -范数，我们引入原始-对偶近端梯度下降攻击。我们在实验中表明，我们的攻击优于当前最先进的$l_{\infty}$ -，$l_2$ -，$l_1$-和$l_0$ -攻击MNIST，CIFAR-10和限制ImageNet数据集对非正则化和对抗训练模型。
2021-06-03 cs.CR cs.CV cs.LG
SemiAdv: Query-Efficient Black-Box Adversarial Attack with Unlabeled Images
East China Normal University（华东师范大学）；Xidian University（西安电子科技大学）；Fuzhou University（福州大学）
本文提出SemiAdv，一种利用无标签图像和半监督学习的黑盒对抗攻击方法，仅需数百次查询即可达到90%以上成功率，并节省多达12倍查询开销。
2024-07-13 cs.CR cs.CV cs.LG
Adversarial Attacks on Variational Autoencoders
University of Campinas (Unicamp)（坎皮纳斯大学（Unicamp））
对抗攻击是破坏机器学习模型的恶意输入。我们提出了一个方案来攻击自动编码器，以及一个定量的评估框架，以及相关的定性评估的攻击。我们评估-统计验证实验-三个变分自编码器（简单，卷积，和DRAW）在三个数据集（MNIST，SVHN，CelebA）的攻击的抵抗力，表明DRAW的复发和注意力机制导致更好的抵抗力。由于自动编码器被提出用于压缩数据-在这种情况下，它们的安全性是至关重要的-我们预计更多的关注将给予对它们的对抗攻击。
2018-06-12 cs.CV cs.LG cs.NE
Adversarial Attack Type I: Cheat Classifiers by Significant Changes
Shanghai Jiao Tong University（上海交通大学）
尽管深度神经网络取得了巨大的成功，但对抗攻击可以通过小的排列来欺骗一些训练有素的分类器。在本文中，我们提出了另一种类型的对抗攻击，可以欺骗分类器的显着变化。例如，我们可以显著地改变一张脸，但训练有素的神经网络仍然可以将敌对的和原始的例子识别为同一个人。从统计学上看，现有的对抗攻击增加了第二类错误，而提出的攻击则针对第一类错误，因此分别将其命名为第二类和第一类对抗攻击。这两种类型的攻击同样重要，但本质上是不同的，这是直观的解释和数值评估。为了实现所提出的攻击，监督变异自动编码器的设计，然后分类器进行攻击，通过更新的潜在变量使用梯度信息。{此外，使用预训练的生成模型，还研究了对潜在空间的I型攻击。实验结果表明，该方法在大规模图像数据集上生成I类对抗样本是实用和有效的。这些生成的例子中的大多数可以通过为防御II型攻击而设计的检测器，并且加强策略仅对特定类型的攻击有效，这两者都意味着I型和II型攻击的根本原因是不同的。
2019-07-22 cs.CV cs.LG stat.ML
Towards Adversarial Attack on Vision-Language Pre-training Models
Beijing Jiaotong University（北京交通大学）；Peng Cheng Lab（鹏城实验室）
虽然视觉语言预训练模型（VLP）在各种视觉语言（V+L）任务上显示出革命性的改进，但关于其对抗鲁棒性的研究在很大程度上尚未探索。本文研究了VLP模型和V+L任务的对抗攻击。首先，我们分析了对抗攻击在不同设置下的性能。通过研究不同扰动对象和攻击目标的影响，我们得出了一些关键的意见，设计强大的多模态对抗攻击和构建强大的VLP模型的指导。其次，我们提出了一种新的多模态攻击的VLP模型称为协同多模态对抗攻击（Co-Attack），它共同进行攻击的图像模态和文本模态。实验结果表明，该方法在不同的V+L下游任务和VLP模型上均能获得较好的攻击性能.分析观察和新的攻击方法，希望提供新的理解VLP模型的对抗鲁棒性，从而有助于他们在更多的现实世界中的安全和可靠的部署。代码可在https://github.com/adversarial-for-goodness/Co-Attack上获得。
2022-10-20 cs.CL cs.CV cs.LG
Defense-PointNet: Protecting PointNet Against Adversarial Attacks
University of Kentucky（肯塔基大学）；Miami University（迈阿密大学）
尽管在广泛的任务中表现出色，但神经网络已被证明容易受到对抗攻击的影响。许多工作集中在二维图像上的对抗攻击和防御，但很少关注三维点云。在本文中，我们的目标是增强PointNet的对抗鲁棒性，PointNet是最广泛使用的3D点云模型之一。我们将快速梯度符号攻击方法（FGSM）应用于3D点云，发现FGSM不仅可以用于生成对抗图像，而且可以生成对抗点云。为了最大限度地减少PointNet对对抗攻击的脆弱性，我们提出了Defense-PointNet。我们将我们的模型与两种基线方法进行了比较，结果表明Defense-PointNet显著提高了网络对对抗性样本的鲁棒性。
2020-02-27 cs.CV cs.LG eess.IV
Boosting the Transferability of Adversarial Attacks with Reverse Adversarial Perturbation
Shenzhen Research Institute of Big Data（深圳大数据研究院）；The Chinese University of Hong Kong, Shenzhen（香港中文大学（深圳））；JD Explore Academy（京东探索研究院）；Tencent AI Lab（腾讯人工智能实验室）
深度神经网络（DNN）已被证明容易受到对抗性示例的影响，这些示例可能会通过注入不可感知的扰动来产生错误的预测。在这项工作中，我们研究了对抗性示例的可移植性，这一点非常重要，因为它对模型架构或参数通常未知的现实应用构成了威胁。许多现有的工作表明，对抗性示例可能会过拟合生成它们的代理模型，从而限制其针对不同目标模型的转移攻击性能。为了减轻过拟合的代理模型，我们提出了一种新的攻击方法，称为反向对抗扰动（RAP）。具体来说，我们主张通过为优化过程的每一步注入最坏情况的扰动（反向对抗扰动）来寻找位于具有统一低损失值的区域的对抗示例，而不是最小化单个对抗点的损失。RAP的对抗攻击是一个最小-最大双层优化问题。通过将RAP融入到攻击的迭代过程中，我们的方法可以找到更稳定的对抗性样本，这些样本对决策边界的变化不太敏感，从而减轻了代理模型的过拟合。全面的实验比较表明，RAP可以显着提高对抗转移性。此外，RAP可以自然地与许多现有的黑盒攻击技术相结合，以进一步提高可移植性。当攻击一个真实世界的图像识别系统Google Cloud Vision API时，我们获得了比比较方法更高的22%的性能。我们的代码可在https://github.com/SCLBD/Transfer_attack_RAP上获得。
2022-10-12 cs.CR cs.CV cs.LG
Defense Against Adversarial Attacks Using Feature Scattering-based Adversarial Training
Horizon Robotics（地平线机器人）；Baidu Research（百度研究院）
我们引入了一种基于特征分散的对抗性训练方法，以提高模型对对抗攻击的鲁棒性。传统的对抗性训练方法利用监督方案（有针对性或非有针对性）来生成用于训练的攻击，这通常会遇到标签泄漏等问题，如最近的工作中所指出的。因此，该方法通过在潜在空间中进行特征分散来生成用于训练的对抗图像，这在本质上是无监督的，并且避免了标签泄漏。更重要的是，这种新方法以协作方式生成扰动图像，并考虑到样本间的关系。我们对模型的鲁棒性进行了分析，并通过在不同数据集上的大量实验，与最先进的方法相比，证明了所提出的方法的有效性。
2019-11-21 cs.CR cs.CV cs.LG
An ADMM-Based Universal Framework for Adversarial Attacks on Deep Neural Networks
Northeastern University（东北大学）；IBM Research AI（IBM研究院人工智能部门）
深度神经网络（DNN）是已知的易受对抗攻击的攻击。也就是说，通过在原始合法输入上添加精心制作的扭曲而获得的对抗性示例可以误导DNN将其分类为任何目标标签。在一个成功的对抗攻击中，目标误分类应该以最小的失真来实现。在文献中，增加的失真通常通过L0、L1、L2和L无穷范数来测量，即分别为L0、L1、L2和L无穷攻击。然而，缺乏一个通用的框架，所有类型的对抗攻击。这项工作首次统一了利用ADMM（交替方向乘法器）生成对抗性示例的方法，ADMM是一种算子分裂优化方法，因此L0，L1，L2和L无穷大攻击可以通过这个通用框架有效地实现。与每一类最先进的攻击相比，我们基于ADMM的攻击是迄今为止最强大的，达到了100%的攻击成功率和最小的失真。
2018-04-09 cs.CV cs.LG stat.ML
Superpixel Attack: Enhancing Black-box Adversarial Attack with Image-driven Division Areas
Graduate School of Mathematics, Kyushu University（九州大学数学研究生院）；Institute of Mathematics for Industry, Kyushu University（九州大学工业数学研究所）
本文提出超像素攻击，通过使用超像素和通用搜索方法提升黑盒对抗攻击的成功率，平均提高2.10%。
2025-11-29 cs.AI cs.CR cs.CV
Identification of Attack-Specific Signatures in Adversarial Examples
Johns Hopkins University（约翰斯·霍普金斯大学）；University of Maryland, College Park（马里兰大学帕克分校）
对抗攻击文献中包含了无数的算法，用于制作在神经网络中产生病态行为的扰动。在许多情况下，多个算法针对相同的任务，甚至执行相同的约束。在这项工作中，我们表明，不同的攻击算法产生的对抗性的例子是不同的，不仅在他们的有效性，而且在他们如何定性地影响他们的受害者。我们首先展示了一个可以确定的攻击算法，制作了一个对抗性的例子。然后，我们利用参数空间显着性图的最新进展，从视觉和定量两个方面显示，对抗攻击算法的不同之处在于它们针对网络和图像的哪些部分。我们的研究结果表明，预期的对抗攻击不仅应该通过他们愚弄模型的成功率来比较，而且还应该通过他们对受害者的更深层次的下游影响来比较。
2021-10-13 cs.CR cs.CV cs.LG
Adversarial RAW: Image-Scaling Attack Against Imaging Pipeline
深度学习技术已经成为计算机视觉发展的支柱。随着进一步的探索，人们发现深度神经网络容易受到精心设计的对抗攻击的攻击。大多数视觉设备都配备了图像信号处理（ISP）流水线来实现RAW到RGB的转换，并嵌入到数据预处理模块中以进行高效的图像处理。实际上，ISP管道可以将对抗行为引入到捕获后的图像中，而数据预处理可能会破坏攻击模式。然而，现有的对抗攻击都没有考虑ISP管道和数据预处理的影响。在本文中，我们开发了一种针对ISP管道的图像缩放攻击，其中制作的对抗RAW可以转换为攻击图像，一旦缩放到特定大小的图像，则会呈现完全不同的外观。我们首先考虑梯度可用的ISP管道，即，梯度信息可以直接用于对抗RAW的生成过程中来发起攻击。为了使对抗攻击更适用，我们进一步考虑梯度不可用的ISP管道，其中提出了一个很好地学习RAW到RGB变换的代理模型作为梯度预言机。大量的实验表明，所提出的对抗攻击可以针对目标ISP管道制造对抗RAW数据，具有高攻击率。
2022-06-02 cs.CR cs.CV cs.LG
