通过双重多样性增强技术，实现针对SAR-ATR的无数据依赖且模型无关的黑盒攻击

《ISPRS JOURNAL OF PHOTOGRAMMETRY AND REMOTE SENSING》：Towards data-free and model-agnostic black-box attacks against SAR-ATR via dual-diversity augmentation

　　张晓轩|李阳|赵志良
中国北方大学电气与控制工程学院，太原，030051，山西

**摘要**
深度神经网络（DNN）对对抗性样本的脆弱性在合成孔径雷达自动目标识别（SAR-ATR）领域日益受到关注。在严格的无数据和模型不可知的黑盒（DFMABB）攻击场景下，目标受害模型的内部参数、架构、输出或训练数据完全无法获取，仅能获得相似的源域数据。本文提出了一种基于双重多样性增强（DDA）的新型生成攻击方法，以系统地提升对抗性迁移能力。DDA包括两个关键组成部分：实例多样性增强（IDA）和特征多样性增强（FDA）。具体而言，IDA对干净样本和对抗性样本应用相同的变换，以减轻由于SAR数据稀缺导致的源替代模型过拟合问题。同时，FDA通过协调混合和掩蔽来多样化对抗性特征，构建出对不一致特征响应具有鲁棒性的扰动模式。综合实验结果表明，在DFMABB攻击场景中，DDA在多种模型、架构和数据集上的性能均优于现有方法。

**引言**
深度神经网络（DNN）在合成孔径雷达自动目标识别（SAR-ATR）领域取得了显著进展，已成为关键军事和民用应用中的核心技术（Hashemi等人，2024；Xiong等人，2025；Zhang等人，2023；Li等人，2024；Zhou等人，2025a；Zhou等人，2025b）。尽管取得了这些成就，但由于DNN对对抗性攻击的固有脆弱性，其实际部署仍面临严重安全威胁。研究表明，攻击者可以通过注入人类难以察觉的扰动来操纵SAR图像，从而误导识别模型做出错误预测（Zheng等人，2025）。因此，开发有效的攻击方法对于揭示SAR-ATR系统的安全弱点至关重要。

近年来，针对SAR-ATR系统的对抗性攻击研究不断进展。大多数研究将SAR图像视为单通道灰度数据，借鉴光学图像的像素级扰动方法来生成有效攻击（Jin等人，2025；Wan等人，2025；Peng等人，2024）。其他研究则将其视为复数值数据以利用相位信息（L. Zhang等人，2022）。然而，这些数字域方法常常忽略了SAR成像的物理原理，限制了对抗性样本的实际应用性（Hang等人，2024）。这一差距促使了物理域对抗性攻击的出现，这些攻击结合了SAR成像机制以确保扰动的物理可实现性（Zhang等人，2024；Zhou等人，2023）。根据攻击者对受害模型的先验知识，这些方法可分为白盒攻击或黑盒攻击（Huang等人，2020）。前者利用受害模型的内部参数计算扰动梯度，而后者仅依赖于基于查询的优化或来自替代模型的对抗性迁移能力，无需访问受害模型的内部参数。早期研究主要集中在白盒攻击方法上，但在实际攻击场景中，如面对远程云API或嵌入式系统时，通常无法访问模型内部信息，因此后续研究大多转向黑盒攻击方法。

实际上，大多数现有攻击都基于攻击者能够访问目标域训练数据的强假设，这种设置称为目标到目标（T2T）攻击（如图1(a)所示）。换句话说，这种设置允许攻击者利用目标数据对目标受害模型进行白盒攻击或从目标替代模型进行迁移攻击。不幸的是，这一前提在现实世界中往往不切实际，因为所需数据可能因安全和商业原因而受到保护。因此，我们提出了一种更现实的设置，称为源到目标（S2T）攻击（如图1(b)所示），在这种设置中，攻击者只能依赖与目标域不同但相关的源域来生成对抗性样本。Peng等人（2024）和Jin等人（2025）提出了合成到测量（S2M）攻击范式，将源域和目标域限制为配对的合成数据和测量数据，并引入了针对此设置的基于梯度的攻击方法。这些方法需要配对的合成数据和来自源替代模型的梯度来生成相应测量数据的对抗性扰动。

然而，S2M攻击范式受到其对配对数据的依赖以及每个样本的缓慢迭代优化的限制。在实际的SAR-ATR应用中，这种配对跨域数据很少可用或获取成本过高，这种计算效率低下也阻碍了其在现实场景中的部署。为了解决这些问题，我们引入了一种基于生成攻击方法的S2T攻击范式，也称为无数据和模型不可知的黑盒（DFMABB）攻击，因为它不需要访问目标受害模型的内部参数、架构、输出或训练数据。这种范式消除了对配对数据的需求，并通过用一个训练有素的扰动生成器的单次快速前向传递替代了迭代过程，实现了实时推理。

**本文的主要贡献如下：**
(1) 我们提出了一种名为双重多样性增强（DDA）的新型生成攻击方法，以提升DFMABB攻击的迁移能力。具体而言，DDA利用中间层特征构建多样性特征分离损失，鼓励生成器从源域学习通用扰动模式，确保生成的对抗性样本对未知目标模型仍然有效。
(2) 为减轻生成器因SAR训练数据稀缺而对源替代模型的过拟合问题，设计了专门的实例多样性增强（IDA）组件，不仅适用于DDA攻击，也适用于多种生成攻击。它对干净样本和对抗性样本应用相同的随机变换，迫使生成器学习对各种图像变换具有鲁棒性的扰动模式。
(3) 由于特征多样性不足，通过攻击干净样本和对抗性特征对生成的对抗性样本的迁移能力有限。因此设计了特征多样性增强（FDA）组件来多样化对抗性特征。它采用混合和掩蔽的方法，混合在全局特征空间中创建连续过渡以学习平滑变化，而掩蔽随机抑制局部特征激活以防止过拟合。这种协调的特征增强使生成器能够产生对不一致特征响应具有鲁棒性的扰动模式。
(4) 通过在公开可用的数据集（SAMPLE，Lewis等人，2019）上进行全面实验，我们证明了DDA优于现有方法。此外，其在更具挑战性的场景中的强泛化能力也得到了验证。具体而言，DDA不仅在多种SAR-ATR数据集（包括移动和静止目标获取与识别（MSTAR，Keydel等人，1996；FUSAR-Ship，Hou等人，2020；OpenSARShip，L. Huang等人，2017）上表现出色，而且在面对防御模型和基于Transformer的架构等复杂模型时也表现出色。这些结果突显了DDA在现实世界部署中的巨大潜力。

**本文的其余部分组织如下：**第2节回顾相关工作；第3节详细介绍预备知识；第4节介绍我们的方法；第5节进行实验验证；第6节总结全文。

**节选内容**
**通过替代模型的生成对抗性攻击**
在黑盒对抗性攻击中，由于攻击者无法访问受害模型的内部信息，攻击方法主要分为两类（Zhang等人，2025）：基于查询的攻击和基于迁移的攻击。前者依赖受害模型的输出反馈来生成对抗性样本，而后者利用替代模型生成可迁移的对抗性样本。通过避免与受害模型的直接交互，基于迁移的攻击有效降低了检测难度。

**针对SAR-ATR的黑盒生成攻击**
在SAR-ATR任务中，黑盒生成攻击旨在训练一个扰动生成器G，使其能够为目标域T的SAR图像生成对抗性扰动。这种设置称为T2T攻击，假设攻击者可以访问目标数据并相应地构建替代模型。如图1(a)所示，T2T攻击的关键是利用在同一T域中训练的替代模型fsurt来指导G的训练，依靠对抗性样本的迁移能力进行攻击。

**提出的无数据和模型不可知的双重多样性增强攻击**
本节详细介绍了我们提出的基于DDA的对抗性攻击方法。DDA旨在提升在目标数据和受害模型都未知的黑盒攻击场景中的攻击迁移能力。我们的核心思想是通过提出DDA方法，系统地防止对抗性样本对单一替代模型过拟合，从而引导生成器学习模型不可知的通用对抗性特征。所提出的DDA包括两个关键组成部分：IDA和FDA。

**实验**
在本节中，我们进行了广泛的实验来验证所提方法的有效性和优越性。首先在第5.1节介绍实验设置，然后在第5.2节对四种攻击场景进行与现有方法的比较，第5.3节分析多样性特征，第5.4节分析多样性实例，第5.5节进行消融研究。进一步通过实例和特征分析进行深入探讨。

**结论**
本文研究了SAR-ATR应用中具有挑战性的DFMABB攻击场景，其中攻击者无法访问目标受害模型的内部参数、架构、输出或训练数据。为了解决这一挑战，我们提出了一种生成攻击方法DDA，通过协调的IDA和FDA显著提升了对抗性迁移能力。具体而言，IDA组件对对抗性和干净样本应用随机变换，以减轻过拟合问题。

**作者贡献声明**
张晓轩：撰写——原始草稿、方法论、概念化；
李阳：撰写——审阅与编辑、调查、形式分析；
赵志良：撰写——审阅与编辑、监督、调查。

**利益冲突声明**
作者声明没有已知的竞争性财务利益或个人关系可能影响本文报告的工作。

**致谢**
本工作部分得到了山西省高等教育机构科技创新计划（项目编号2025L052）、国家自然科学基金（项目编号62473344）以及山西省T-Flight实验室的支持。