面向高效迁移攻击的自适应引导增强

《Neurocomputing》：Adaptive guided enhancement for efficient transfer-based attacks

　　

# 摘要

在基于迁移的黑盒攻击中，提升对抗样本的迁移性是增强攻击效果的关键。现有的基于平坦度优化的迁移攻击方法通常通过邻域采样和梯度聚合来获得更稳定的更新方向，从而提升对抗样本的迁移性。然而，这些方法往往需要大量额外的邻域样本和梯度计算，导致计算成本较高，难以兼顾高迁移性和高计算效率。为解决这一问题，本文提出了一种自适应引导增强方法（AGE），以在有限的计算预算下提升对抗样本的迁移性。具体而言，AGE首先引入了一种初始梯度引导机制，利用初始梯度为邻域探索建立方向先验，并利用后续样本收集到的历史梯度信息递归地细化该引导状态。这提高了聚合邻域梯度的有效性，进而增强了生成对抗样本区域的局部平坦度。随后，AGE设计了一种增强的攻击目标，利用高响应的非真实类别信息，从而丰富每次反向传播所获取的攻击信息。最后，AGE引入了一种动态停止机制，根据聚合梯度方向的稳定性自适应地控制采样过程，从而减少冗余的梯度计算。实验结果表明，在评估的正常训练CNN模型、Transformer模型和防御设置下，AGE的平均攻击成功率均高于基线方法。与基于邻域采样的基线方法相比，AGE所需的反向传播步数和运行时间也更少。

# 引言

近年来，深度神经网络在图像分类、目标检测和图像分割等视觉任务中取得了显著成功[1]、[2]、[3]，并越来越多地被部署于自动驾驶[4]、医疗诊断[5]和智能监控[6]等现实世界应用中。然而，随着深度模型在实际系统中日益普及，其潜在的安全风险引起了越来越多的关注。研究表明，深度模型容易受到对抗样本的威胁。具体来说，向干净样本中添加人类无法感知的小扰动，可能会导致模型产生错误预测[7]、[8]。这种脆弱性可能导致系统在安全关键场景下做出错误决策，因此对抗攻击成为评估模型鲁棒性的重要手段[9]、[10]。

根据攻击者可获取的模型信息，对抗攻击通常可分为白盒攻击[11]、[12]和黑盒攻击[13]、[14]。在白盒设置中，攻击者可以完全访问目标模型，包括其架构、参数和梯度信息，因此可以直接构建对抗扰动。相比之下，在黑盒设置中，攻击者无法访问目标模型的内部架构、参数或梯度，必须通过查询模型输出或使用代理模型来间接生成对抗样本。然而，在许多实际应用中，攻击者无法获得已部署目标模型的内部信息。因此，黑盒攻击在评估受限访问条件下的对抗威胁方面尤其具有现实意义。

在黑盒攻击中，现有方法主要包括基于查询的攻击[15]、[16]和基于迁移的攻击[17]、[18]。基于查询的攻击通过反复查询目标模型来估计梯度或搜索有效扰动，可以在一定程度上提高攻击成功率。然而，这类方法通常需要大量查询次数，因此容易受到查询次数限制以及旨在检测频繁查询的防御机制的制约。相比之下，基于迁移的攻击在可访问的代理模型上生成对抗样本，并将其直接迁移至未知的目标模型。由于不需要频繁访问目标模型，基于迁移的攻击更适合查询受限或目标模型不可访问的实际场景。

为提升对抗样本的迁移性，一系列增强方法已被提出。其中，平坦度优化逐渐成为提升基于迁移的攻击性能的重要方向。这些方法通过增强局部邻域内扰动方向的稳定性，提高了对抗样本对模型架构和参数变化的鲁棒性，进而增强了其迁移性。具体而言，PGN[19]在优化目标中引入了梯度范数正则化项，鼓励对抗样本位于更平坦的高损失区域。CAP[20]通过曲率感知惩罚来优化扰动方向，以保持损失面的局部平坦度。TPA[21]基于迁移性上界理论构建了可优化的代理目标，进一步提升了对抗样本的跨模型攻击能力。尽管这些方法从不同角度形式化或近似了平坦度，但它们通常依赖于多个邻域样本及其梯度来获得稳定的平坦度感知更新方向。在固定计算预算下，该方向的质量和迁移性不仅取决于邻域样本的数量，还取决于采样点的质量、每次梯度计算中提取的攻击信息，以及计算预算在整个采样过程中的分配方式。如果邻域采样完全依赖随机扰动，可能会损害聚合邻域梯度的有效性。以真实类别为主导的攻击目标可能会限制每次反向传播所获取的信息量。此外，固定的采样策略可能会在新生成的梯度仅对当前方向提供有限修正时继续消耗计算资源。因此，在相同的计算预算下，提高邻域采样和梯度计算的有效性以获得更稳定、更具迁移性的平坦度感知更新方向，对于提升对抗样本的迁移攻击成功率至关重要。

为解决这一问题，我们提出了自适应引导增强（AGE），一种受局部平坦度启发、计算高效的邻域梯度聚合框架。PGN、GAA和MEF等现有方法主要关注对平坦度的显式建模或近似，而AGE则聚焦于利用受局部平坦度启发的邻域梯度信息，高效地构建更可靠的平坦度感知更新方向。为此，AGE从三个方面协同改进平坦度感知更新方向的构建：邻域采样引导、梯度信息增强和采样过程控制。具体而言，初始梯度引导机制利用初始梯度为邻域探索建立方向先验，并利用历史梯度信息递归地细化该方向，从而提高聚合邻域梯度的有效性。增强攻击目标整合了高响应非真实类别的信息，丰富了每次梯度计算所获取的攻击信息。动态停止机制评估新生成梯度对当前聚合方向的影响，并自适应地控制邻域采样过程。通过这种协同设计，AGE更有效地利用梯度计算来获得更具有效性和泛化性的更新方向，使生成的对抗样本在相同的计算成本下实现更高的迁移攻击成功率。总之，本文的主要贡献如下：

- 我们提出了AGE，一种受局部平坦度启发、旨在提升可迁移更新方向构建效率的邻域梯度聚合框架。AGE从三个方面协同改进平坦度感知更新方向的构建：邻域采样引导、梯度信息利用和采样过程控制。

- 我们开发了一种初始梯度引导机制、一种增强攻击目标和一种动态停止机制，分别用于提高聚合邻域梯度的有效性、丰富每次梯度计算所获取的攻击信息，以及自适应地控制邻域采样过程。通过这三个组件的协同运作，AGE使生成的对抗样本能够在相同的计算成本下实现更高的迁移攻击成功率。

- 我们在ImageNet上对AGE进行了评估，涵盖了正常训练的CNN模型、Transformer模型、对抗训练模型以及四种额外的防御方法。结果表明，在评估的设置下，AGE的平均攻击成功率均高于基线方法。与基于邻域采样的基线方法相比，AGE所需的反向传播步数和运行时间也更少。

# 章节片段

## 相关工作

本节回顾了与本论文相关的研究，包括基于迁移的对抗攻击、对抗防御方法和平坦度优化方法。2.1节介绍了现有的基于迁移的攻击方法，并从梯度优化、输入变换、目标设计、模型操纵和集成方法等角度对其进行分类。2.2节回顾了代表性的对抗防御方法，包括主动防御和被动防御。2.3节介绍了……

## 方法

本节介绍了本文所提方法的初步知识、设计动机和实现细节。3.1节给出了基于迁移的黑盒攻击的问题形式化定义，包括攻击目标和扰动约束。3.2节从平坦度优化的角度分析了现有方法在提升迁移性时引入的额外计算开销，并进一步阐述了我们设计的动机。3.3节详细阐述了……

## 实验

本节首先评估了AGE在正常训练的CNN模型、Transformer模型和防御设置下的攻击成功率。然后我们报告了运行时间、反向传播次数、FLOPs、平均梯度计算次数、平均邻域样本数、GPU利用率和峰值GPU内存使用量，以分析计算成本。最后，通过消融实验和参数敏感性实验考察了所提组件的性能贡献以及……

## 结论

为在相同计算成本下提升基于邻域的平坦度优化方法的迁移攻击性能，本文提出了自适应引导增强（AGE）。AGE通过邻域采样引导、梯度信息增强和采样过程控制来改进平坦度感知更新方向的构建。具体而言，初始梯度引导利用初始梯度和历史信息引导邻域采样，增强攻击……

# CRediT作者贡献声明

余航雷：撰写——原稿。宋雅菲：撰写——审阅与编辑。陈环：数据整理。石佳乐：形式化分析。邱文波：撰写——审阅与编辑。李黎明：概念构思。

# 资助

本工作得到国家自然科学基金资助，批准号分别为62402521和62531018。

# 利益冲突声明

作者声明不存在任何已知的竞争财务利益或个人关系可能影响本文所报告的工作。

# 作者信息

余航雷于2025年在中国陆军航空学院获得机械工程学士学位。目前他正在中国西安空军工程大学攻读网络空间安全学术硕士学位。他的研究方向包括对抗攻击、多模态大语言模型安全和人工智能安全。

余航雷 | 宋雅菲 | 陈环 | 石佳乐 | 邱文波 | 李黎明