《Knowledge-Based Systems》：A transferable adversarial attack method via Loss Surface Guided Gradient Optimization
编辑推荐：
摘要深度神经网络容易受到对抗性攻击。现有方法在对经过对抗训练的集成模型上的迁移性表现不足。本文提出了损失曲面引导优化（LSGO）方法，这是一种可迁移的对抗性攻击方法，系统地将曲率信息融入对抗样本生成过程。首先提出了一种曲率感知的梯度前瞻机制，该机制沿梯度上升方向构建前瞻点以逼
摘要
深度神经网络容易受到对抗性攻击。现有方法在对经过对抗训练的集成模型上的迁移性表现不足。本文提出了损失曲面引导优化（LSGO）方法，这是一种可迁移的对抗性攻击方法，系统地将曲率信息融入对抗样本生成过程。首先提出了一种曲率感知的梯度前瞻机制，该机制沿梯度上升方向构建前瞻点以逼近高损失区域，并将这些点处的梯度与当前梯度融合以减轻代理模型偏差。随后，开发了一种利普希茨引导的邻域采样策略，通过估计方向性利普希茨常数来构建概率采样分布，将采样集中在梯度变化剧烈的敏感方向上。最后，建立了一个曲率正则化的梯度融合框架，通过余弦相似度量化梯度一致性，并从曲率校正因子推导出自适应混合系数，以实现动态多源梯度融合。在ImageNet、CIFAR-10和CIFAR-100上的实验表明，在本工作所评估的代表性模型架构和防御策略下，该方法在常规训练模型和防御模型上均取得了更优的整体性能。
引言
深度神经网络（DNNs）在计算机视觉领域取得了显著进展。从卷积神经网络到视觉Transformer，模型架构的持续演进推动了图像分类、目标检测和语义分割等核心任务的性能边界[1], [2], [3]。然而，研究表明，在原图像上叠加幅度极小且不可察觉的扰动即可诱导高精度模型产生错误预测。这些精心构造的对抗性输入被称为对抗样本，从根本上揭示了当前DNN决策机制的固有鲁棒性缺陷，并对自动驾驶和医学图像诊断等安全关键应用构成了严重的安全风险[4], [5], [6]。这一发现推动了对抗性攻击与防御研究的蓬勃发展，使其成为深度学习安全领域最活跃的研究方向之一。
根据攻击者对目标模型的访问权限，对抗性攻击可分为白盒和黑盒范式。在模型参数完全透明的白盒场景下，Goodfellow等人[7]提出了FGSM方法，沿损失函数梯度的符号方向施加单步扰动，开创了基于梯度的攻击范式；Kurakin等人[8]将其扩展为多步迭代形式I-FGSM以增强攻击强度；Madry等人[9]进一步引入随机初始化和投影操作，提出了PGD攻击，该攻击被广泛认为是一阶攻击的标准基线；Carlini和Wagner[10]通过重新参数化扰动变量和设计代理损失函数，构建了优化效率更高的C&W攻击。然而，在实际部署场景中，目标模型的架构和权重通常保持机密，攻击者只能通过查询提交获取输出反馈。与依赖大量查询的黑盒方法相比，基于迁移性的攻击策略利用不同DNN之间决策边界的相似性[11]，在本地代理模型上生成对抗样本并直接迁移至目标模型，兼具攻击效率和实用价值，因此成为当前黑盒攻击研究的主流方向。在迁移性攻击研究中，梯度优化策略是增强对抗样本跨模型泛化能力的关键技术路线。Xiong等人[12]进一步提出了SVRE方法，借鉴随机方差缩减技术校准集成模型的梯度，在模型联合攻击场景中取得了优异的迁移效果。Wu等人[13]将有限的定向迁移性归因于代理模型泛化能力不足，提出了一种结合锐度感知自蒸馏与权重缩放的模型自增强方案，以在参数空间内平滑代理模型的损失曲面。Zhu等人[14]针对CNN与视觉Transformer之间的架构差异，提出了梯度归一化缩放与高频自适应方法，表明对梯度幅度分布的精细编辑是跨架构迁移的关键。Li等人[15]研究了可迁移的不可学习样本，设计了一个通用生成器，该生成器在未见过数据和任务上保持不可学习性，表明扰动迁移性既是对抗攻击也是数据保护所共同关注的问题。
尽管基于迁移的攻击已取得显著进展，现有方法仍存在关键局限性。首先，基于动量的梯度优化方法采用固定累积策略，无法感知损失曲面的局部几何结构，导致在高曲率区域优化轨迹偏离最优攻击路径。其次，邻域采样方法大多采用均匀随机采样，忽视了不同方向上梯度变化率的显著差异，导致在梯度平坦方向上过度消耗计算资源。第三，多源梯度融合缺乏自适应调节机制，固定权重难以在加速收敛与保持稳定性之间取得平衡。为了解决上述问题，本文提出了一种通过损失曲面引导优化（LSGO）实现可迁移对抗攻击的方法，该系统地将曲率信息融入对抗样本的迭代生成过程。主要贡献如下：
(1) 曲率感知的梯度前瞻预测机制。与现有方法沿梯度下降方向构建前瞻点不同，本文沿梯度上升方向进行探索，通过曲率估计自适应调整前瞻步长以逼近高损失区域，从而增强对抗扰动的跨模型迁移性。
(2) 利普希茨引导的邻域采样策略。通过估计方向性利普希茨常数构建概率采样分布，将采样集中在梯度变化剧烈的敏感方向上，显著提升了采样效率和梯度估计精度。
(3) 曲率正则化的梯度融合机制。通过余弦相似度量化梯度方向一致性，并结合曲率校正因子设计自适应混合系数，实现多源梯度信息的动态加权融合，在加速收敛的同时保持优化稳定性。
章节摘要
基本原理与方法设计
为克服现有方法对损失曲面几何信息利用不足的问题，本文提出了一种通过损失曲面引导优化（LSGO）实现可迁移对抗攻击的方法，该方法通过估计损失曲面的局部曲率和方向性利普希茨常数来引导梯度优化过程，实现精确的攻击方向定位和高效的决策边界探索。LSGO包含三个协同模块。第一个是
实验分析与讨论
数据集。我们在三个基准数据集上进行了实验，分别是ImageNet兼容数据集、CIFAR-10和CIFAR-100。ImageNet兼容数据集已在现有研究中广泛采用[16], [17], [18]，由1000张分辨率为299 × 299 × 3的图像及其对应的真实标签组成。作为图像分类的经典基准，CIFAR-10包含10000张测试图像，分辨率为32 × 32 × 3。CIFAR-100与CIFAR-10共享相同的图像分辨率和测试
结论
本文提出了损失曲面引导优化（LSGO）方法，用于生成高迁移性的对抗样本。该方法从损失曲面的几何特性出发，首先通过有限差分曲率响应刻画损失曲面的局部曲率，并沿梯度上升方向构建前瞻点以逼近高损失区域。通过将前瞻点处的梯度与当前梯度融合，该方法有效地
CRediT作者贡献声明
Chuan Ye：写作 – 审阅与编辑，写作 – 初稿，方法论。Xiaoqing Yang：概念构思，指导。Yunhan Li：数据整理，形式化分析。Benlin Lai：形式化分析。Fei Jiang：验证。Fan Yang：验证。
利益冲突声明
作者声明不存在可能影响本文所报告工作的已知竞争经济利益或个人关系。
致谢
本工作部分得到南充市校企科技战略合作项目资助，项目编号 23XNSYSX0025；部分得到四川省自然科学一般项目资助，项目编号 2025ZNSFSC0369。
Chuan Ye|Xiaoqing Yang|Yunhan Li|Benlin Lai|Fei Jiang|Fan Yang
