DMFP：用于可迁移对抗性攻击的动态多尺度特征扰动

《Knowledge-Based Systems》：DMFP: Dynamic Multiscale Feature Perturbations for Transferable Adversarial Attacks

动态多尺度特征扰动方法通过调整多尺度特征的重要性，结合梯度信息优化dropout机制，平衡攻击能力与跨模型泛化。实验表明其相比SOTA方法提升正常训练模型攻击成功率3.8%，防御模型12.8%。

　　在当前深度学习技术迅速发展的背景下，人工智能系统在多个领域如计算机视觉、自然语言处理和语音识别中得到了广泛应用。然而，随着这些技术的进步，其安全性问题也日益凸显。研究表明，深度学习模型存在对抗样本的脆弱性，即在输入样本上添加精心设计的微小扰动，可能会导致模型的预测结果与预期严重偏离，从而对系统的可靠性构成威胁。因此，研究对抗样本的生成及其在不同模型间的可迁移性，对于提升深度学习模型的安全性和鲁棒性具有重要意义。

对抗样本的可迁移性是指在一种模型上生成的样本能够对另一种模型产生攻击效果。这种特性使得攻击者能够在缺乏目标模型具体参数信息的情况下，通过攻击一个已知模型来对未知模型实施攻击。尽管如此，现有的对抗攻击方法在提升可迁移性方面仍面临诸多挑战。例如，一些方法虽然通过引入多尺度信息和特征重要性来优化扰动，但在攻击能力和可迁移性之间难以取得良好的平衡。这主要是由于这些方法在优化过程中忽略了扰动对源模型的拟合程度，导致攻击样本过于依赖源模型的特定结构，从而限制了其在其他模型上的泛化能力。

为了解决上述问题，本文提出了一种新的对抗攻击方法——动态多尺度特征扰动（Dynamic Multiscale Feature Perturbations, DMFP）。该方法的核心思想是通过动态调整多尺度特征的扰动，实现攻击样本在攻击能力和可迁移性之间的更优权衡。具体而言，DMFP结合了多尺度信息与特征显著性，通过对图像特征进行有针对性的扰动，提高了对抗样本在不同模型间的可迁移性。同时，DMFP还引入了基于梯度信息的动态特征（Dynamic Features, DF）机制，通过分析在特征层面进行对抗攻击时的正则化效果，进一步优化扰动生成过程，从而增强对抗样本的泛化能力。

在对抗攻击的研究中，多尺度特征扰动（Multiscale Feature Perturbations, MFP）已经被证明是一种有效的方法。MFP通过结合多尺度信息和特征重要性，对图像的显著特征进行扰动，从而提高对抗样本的可迁移性。然而，MFP在优化过程中未能充分考虑扰动对源模型的拟合程度，导致生成的对抗样本在某些情况下表现出有限的泛化能力。为了解决这一问题，DMFP在MFP的基础上进行了改进，引入了动态调整的正则化机制，使对抗样本能够在攻击能力和可迁移性之间取得更好的平衡。

本文首先对对抗样本的生成过程进行了分析，探讨了不同攻击方法在提升可迁移性方面的优缺点。通过对比实验，我们发现传统的对抗攻击方法在提升可迁移性时往往需要牺牲攻击能力，而基于多尺度特征扰动的方法虽然在一定程度上提高了可迁移性，但仍然存在过拟合的问题。因此，我们需要一种新的方法，能够在保持攻击能力的同时，提高对抗样本的可迁移性。

为了实现这一目标，本文提出了一种基于动态正则化的多尺度特征扰动方法（DMFP）。DMFP的核心思想是利用特征重要性对多尺度特征进行扰动，从而提高对抗样本的可迁移性。具体而言，DMFP通过分析对抗样本在不同模型上的表现，动态调整扰动的强度和范围，使对抗样本能够在多个模型上产生有效的攻击效果。此外，DMFP还引入了基于梯度信息的正则化机制，通过分析特征层面的正则化效果，进一步优化扰动生成过程，从而增强对抗样本的泛化能力。

在实验部分，我们对DMFP进行了全面的评估。实验结果表明，DMFP在提升对抗样本的可迁移性方面表现出色，其在正常训练模型和防御模型上的攻击成功率分别提高了3.8%和12.8%。这些结果表明，DMFP不仅能够有效提高对抗样本的可迁移性，还能够在攻击能力和可迁移性之间取得更好的平衡。此外，DMFP在保持攻击能力的同时，显著降低了对抗样本的过拟合程度，从而提高了其在不同模型上的泛化能力。

本文的研究成果为对抗样本的生成和攻击能力的提升提供了新的思路。通过引入动态正则化机制，DMFP能够在保持攻击能力的同时，提高对抗样本的可迁移性，从而增强攻击效果。此外，DMFP还为未来对抗攻击的研究提供了理论支持，表明在优化过程中考虑扰动对源模型的拟合程度和多尺度信息的重要性，有助于提升对抗样本的泛化能力和攻击效果。因此，DMFP不仅在实际应用中具有重要意义，也为对抗攻击的理论研究提供了新的方向。