《IEEE Transactions on Cognitive Communications and Networking》：Black-Box Attacks on DOA Estimation
编辑推荐：
随着波达方向（DOA）估计模型在无线通信与感知系统中的关键作用日益凸显，其安全性成为新的研究焦点。本文针对深度学习DOA模型在现实“黑盒”场景下（攻击者无法获知模型内部信息）的脆弱性问题，创新性地系统评估了两种黑盒攻击方法——决策攻击与迁移攻击的有效性与迁移性。研究不仅揭示了这两种攻击策略可致模型性能严重下降（攻击成功率>88%），更发现其设计的对抗样本同样能有效干扰经典子空间DOA方法，使估计误差显著增高。这项工作为理解并加固基于学习的DOA系统安全边界提供了关键洞见，对高可靠通信与感知系统设计具有重要意义。
在当今的无线通信、雷达和声学感知领域，准确判断信号来源的方向，即波达方向（Direction of Arrival, DOA）估计，是一项核心技术。从智能天线的波束赋形到无人机的精确定位，都离不开快速、精准的DOA估计。近年来，随着人工智能浪潮的席卷，深度学习技术凭借其强大的特征学习与非线性拟合能力，被成功引入DOA估计任务，催生了一系列性能卓越的基于学习的DOA模型，为复杂环境下的信号处理带来了新的希望。
然而，技术的硬币总有另一面。深度学习的广泛应用也暴露了其对精心设计的微小扰动——即“对抗样本”——的惊人脆弱性。在图像识别领域，一张人眼难以察觉的贴纸就可能导致自动驾驶系统将“停车”标志误认为其他物体，这类对抗攻击已引发广泛的安全担忧。那么，在信号处理与DOA估计这个专业性极强的领域，深度学习模型是否同样“弱不禁风”呢？更关键的是，现实世界中针对一个部署系统的攻击者，往往无法获得目标模型的内部架构、参数等详细信息，这种“黑盒”场景才是最常见的威胁模型。遗憾的是，先前关于DOA估计模型对抗攻击的研究，大多基于攻击者完全知晓目标模型的“白盒”假设，这在很大程度上脱离了实际，使得现有防御研究可能建立在过于乐观的基础之上。那么，在更具挑战性的黑盒条件下，深度学习DOA模型究竟有多脆弱？攻击能否成功？如果能，又该如何实施？这些问题的答案，对于评估和保障未来智能无线系统的安全性至关重要。
为了回答这些问题，一项名为“Black-Box Attacks on DOA Estimation”的研究应运而生，并发表在了信号处理与网络智能交叉领域的知名期刊《IEEE Transactions on Cognitive Communications and Networking》上。该研究首次系统性地探索了针对深度学习DOA估计模型的黑盒对抗攻击，旨在揭示其在现实威胁下的真实安全状况。
研究人员聚焦于两种经典的黑盒攻击策略：决策攻击和迁移攻击。决策攻击是一种更为严格的设定，攻击者只能通过查询目标模型，获得其最终的“硬标签”输出（例如，预测的DOA角度），而无法获取模型内部的置信度分数等细节。这种攻击通过迭代微调输入信号，引导模型的预测朝着错误的方向发展。迁移攻击则相对“取巧”，它假设攻击者可以利用公开信息或先验知识，训练一个在架构和数据上与目标模型可能相似的替代模型，然后在替代模型这个“替身”上生成对抗样本，并期望这些样本对未知的真实目标模型同样有效，即具有“迁移性”。研究团队不仅验证了这两种攻击在8阵元均匀线性阵列（Uniform Linear Array, ULA）设定下的有效性，还深入探究了替代模型的架构、深度和输入等因素如何影响攻击的迁移成功率。
这项研究得出了令人警醒却又富有洞见的结论。实验结果表明，在纯粹的黑盒条件下，无论是决策攻击还是迁移攻击，都能显著降低深度学习DOA模型的估计性能，攻击成功率高达88%以上。这意味着，即便攻击者对目标系统知之甚少，依然有极大的可能性成功实施干扰。更具颠覆性的发现是，研究人员进一步证明，这些专门为深度学习模型“量身定制”的对抗样本，竟然同样能够对传统的、非基于学习的经典DOA估计算法造成严重破坏。例如，基于信号子空间分解的多重信号分类（MUSIC）算法和基于旋转不变技术的信号参数估计（ESPRIT）算法，在遭受这些对抗扰动后，其估计误差的均方根误差（RMSE）值，相较于仅受加性高斯白噪声（AWGN）影响的情况，暴增了1.39倍至惊人的50.77倍，具体倍数取决于所采用的攻击类型。这一发现打破了“对抗攻击只威胁深度学习模型”的固有认知，揭示了信号处理底层特征层面存在的、可被跨方法利用的通用脆弱性。
为开展这项研究，作者主要运用了以下几个关键技术方法：一是构建了基于深度学习的DOA估计模型作为攻击目标，并设定了8阵元的均匀线性阵列接收模型。二是系统实现了两种黑盒攻击框架，包括仅依赖最终预测角度的决策攻击算法，以及基于可获取的替代模型生成对抗扰动的迁移攻击流程。三是设计并控制了替代模型的多个变量，包括网络架构、深度和输入特征，以量化分析其对攻击迁移性的影响。四是采用经典子空间方法（如MUSIC、ESPRIT）作为性能对比基线，以评估对抗样本的跨方法攻击效果。五是以攻击成功率、角度估计的均方根误差等作为核心评估指标，在仿真数据集上对攻击效果进行了系统性量化验证。
研究结果
1. 黑盒攻击能有效降低深度学习DOA模型性能
本研究通过大量实验证实，在攻击者对目标模型内部信息一无所知的黑盒场景下，决策攻击和迁移攻击均能成功误导深度学习DOA估计器。在8阵元ULA的仿真设定下，两种攻击策略均能使目标模型的DOA估计精度大幅下降，攻击成功率（以显著增加估计误差为衡量标准）超过了88%。这直观地证明了当前先进的深度学习DOA模型在面对有目的的黑盒对抗扰动时，存在着严重的安全漏洞。
2. 替代模型特性显著影响迁移攻击效果
针对迁移攻击，研究深入剖析了替代模型（即攻击者用于生成对抗样本的本地模型）的各个属性对最终攻击成功率的贡献。结果表明，替代模型的架构、网络深度以及输入特征表示（如是否使用相位信息）都对攻击的“可迁移性”有着关键性影响。这意味着，攻击者若能更好地模拟或猜测目标模型的特征，就能生成更具泛化性和破坏力的对抗样本，这为理解迁移攻击的工作原理以及设计针对性防御提供了重要线索。
3. 对抗样本可迁移攻击经典子空间DOA方法
本研究最出人意料的发现在于对抗样本的“跨界”攻击能力。研究人员将针对深度学习模型生成的对抗样本，直接输入到完全不同的、基于数学模型和信号处理原理的经典子空间DOA方法（如MUSIC和ESPRIT）中。结果显示，这些对抗扰动同样能严重破坏传统算法的性能。与仅存在加性高斯白噪声的基准情况相比，经典方法在遭受对抗攻击后的RMSE值剧增，提升倍数高达1.39倍至50.77倍，具体取决于攻击是决策型还是迁移型。这一结果强有力地表明，对抗攻击所利用的可能是信号数据中更深层、更通用的弱点，而非特定于某一种学习模型的结构缺陷。
结论与讨论
本研究系统性地证实了深度学习波达方向估计模型在黑盒对抗攻击面前的脆弱性，填补了该领域在现实威胁模型下的安全性评估空白。研究不仅展示了决策攻击与迁移攻击在无需知晓模型内部细节的情况下仍能取得高成功率，更通过控制变量实验，揭示了替代模型的设计选择对攻击迁移效率的关键影响。尤为重要的是，研究跨出了基于学习的模型范畴，首次发现针对深度学习模型设计的对抗样本，同样能对经典的、非学习的子空间DOA估计算法造成显著性能损伤。这一“跨方法攻击有效性”的发现具有深远意义：它暗示着对抗性扰动可能攻击的是信号在阵列上形成的空间谱或协方差矩阵等底层物理表征中的某些固有脆弱模式，这些模式是多种DOA估计方法所共同依赖的。因此，对抗攻击的威胁比此前想象的更为基础和广泛。
这项工作的重要意义在于敲响了警钟：随着基于人工智能的信号处理技术在关键基础设施（如下一代移动通信、国防雷达、空中交通管制）中的部署日益广泛，其对抗鲁棒性必须被提升到与估计精度同等重要的战略高度。本研究为后续研究指明了方向，包括开发针对黑盒场景、特别是能同时保护学习模型与经典算法的通用防御机制，以及从信号处理基础理论层面深入探究对抗脆弱性的物理根源。该论文发表于《IEEE Transactions on Cognitive Communications and Networking》，其发现对于推动构建安全、可靠、可信的下一代认知通信与网络系统至关重要。
