LGR：利用李雅普诺夫梯度正则化提升对抗性集成模型对强健模型的迁移能力

《Neurocomputing》：LGR: Lyapunov gradient regularization for improving ensemble adversarial transferability against robust models

　　摘要：基于集成方法的技术已被证明可通过整合不同架构和训练数据下的模型，有效提升对抗性样本的迁移能力。然而现有方法主要聚焦于优化集成权重或整合路径，而对决定迁移能力的核心因素——谱稳定性——探讨不足。具体而言，现有方法生成的噪声往往具有高频特性，极易被强大的防御机制识破。为解决这一问题，我们提出了一种新的李雅普诺夫梯度正则化框架，用于规范对抗性扰动的生成过程。通过向特征空间注入微小扰动，利用李雅普诺夫指数量化各像素的敏感度，并构建动态稳定性感知梯度掩码。该掩码能够有效抑制不稳定高频区域的梯度更新，迫使优化轨迹向语义上更稳定的低频特征靠拢。通过将这一正则化机制嵌入基于动量的梯度聚合流程中，我们的方法有效降低了过拟合替代模型的风险。在ImageNet数据集上的大量实验表明，所提框架在面对普通模型及经过强化防御的模型时，均能显著提升对抗性样本的迁移能力。

引言：近年来，深度神经网络彻底改变了人工智能领域的格局。从卷积神经网络这类传统架构[1]到发展迅速的视觉变换器[2]，这些模型在各种计算机视觉任务中展现了前所未有的性能，包括大规模图像分类和物体检测[1][2]。尽管在封闭式基准测试中具有更高的准确率，但深度神经网络本质上仍易受对抗性样本的影响[3][4]。这类恶意输入是通过在干净数据上叠加难以察觉的精心设计过的扰动而生成的，它们能轻易误导目标模型，使其以高置信度给出错误预测[5]。更令人担忧的是，对抗性样本还具备一种被称为跨模型迁移性的重要特性[6][7]。这意味着在本地可访问的替代模型上生成的对抗性扰动，即便目标模型拥有完全不同的架构或训练数据分布，仍有可能被成功欺骗[7]。这一特性正是黑盒迁移攻击的基石，使得攻击者无需了解目标模型的内部梯度或参数，就能对现实世界的人工智能系统构成严重安全威胁。

为提升黑盒环境下的攻击效果，人们广泛研究了基于集成的策略[7][8]，以此降低过拟合特定替代模型的风险。但我们认为，现有集成框架的性能可能受到限制，因为其并未充分考虑到反向传播梯度本身的谱稳定性。虽然现有方法试图通过融合多个模型的决策边界或逻辑值来平滑损失函数曲线[8]，但其核心思路主要是侧重于权重分配策略（如[9]），而非梯度的内在质量。集成方法通过平均梯度或预测值，试图找到一个通用的扰动方向以消除模型特有的偏差[7]。从本质上讲，这种聚合过程相当于一种被动的高通滤波器，能够在一定程度上缓解随机的高频噪声和模型特有的抖动。然而，这些框架中的优化过程通常将所有空间位置和频率段的梯度视为同等有效的贡献，因而对梯度的内在稳定性研究不足。对谱稳定性考虑不周可能会导致一个漏洞，即优化过程容易受到不稳定高频成分的影响。与人类感知不同，深度学习模型往往存在依赖高频纹理特征进行分类的谱偏置。因此，从替代模型反向传播而来的原始梯度可能易受内在高频噪声成分的污染。虽然在白盒场景下这类高频伪影极具危害，但在特征空间中它们往往表现出极强的不稳定性。从动力系统角度来看，这些成分通常代表着输入空间的微小变化就可能导致深度特征表示出现剧烈的非线性波动。图1直观地展示了这一现象：传统的优化算法往往不加区分地处理所有梯度成分，因此优化轨迹容易受到不稳定高频噪声的影响。尽管这些含噪梯度能为跨越替代模型的决策边界提供捷径（如蓝色曲线所示），但它们通常代表的是模型特有的伪影，而非通用特征[10][11]。

当面对配备了诸如对抗训练或输入预处理等防御机制的黑盒模型时[12][13]，这些脆弱的高频特征很容易被破坏。因此，在没有对谱稳定性施加明确约束的情况下，单纯的模型集成实际上可能导致非鲁棒噪声的积累，进而使得生成的对抗性样本无法跨越目标模型的决策边界（如红色曲线所示），从而导致迁移能力不佳。这促使我们提出一种范式转变：将来自非线性控制与动力系统的李雅普诺夫稳定性理论引入对抗性样本生成领域。我们摒弃了传统的无差别梯度更新策略，建立了一个基于数学原理的框架，能够自动识别并抑制那些在模型特征空间中引发混乱的区域。如图1所示，我们的方法引入了一种动态稳定性评估机制。具体而言，我们设计了基于李雅普诺夫理论的掩码，用于主动识别并抑制与不稳定高频噪声相关的梯度成分。通过过滤掉这些非鲁棒的梯度方向，优化过程得以朝着各模型共有的稳定、语义化的特征方向发展。我们假设，深度特征流形中的这些稳定方向能在不同模型架构之间保持一致的语义连续性，从而有效避免因非鲁棒高频特征而导致的剧烈、模型特有性的波动。

从技术层面来看，我们将深度神经网络的特征提取过程视为一個复杂的动力系统[14][15]。为量化稳定性，我们在输入数据中注入微小的探测扰动，然后测量深度特征空间中响应的差异程度。由此我们可以计算出逐像素的李雅普诺夫指数图，该图能够直观地反映每个图像区域的局部敏感度和不稳定性。较高的李雅普诺夫指数表明该区域特征处于混沌状态（通常是高频噪声），而较低的指数则意味着该区域具有语义稳定性。关键在于，我们认识到并非所有高频成分都是有害的[11]。不过，随机梯度噪声以及那些通常特定于替代模型架构的非鲁棒纹理伪影[10]，则属于会引发混乱的干扰因素。我们的方法能够抑制这些不稳定的高频波动，同时保留具有语义意义的结构，从而确保生成的扰动具备抵御去噪等防御机制的能力[16]。基于这一指标，我们设计了一种自适应稳定性感知掩码，将其嵌入到基于动量积分的迭代优化框架中。该掩码在反向传播过程中起到动态滤波器的作用：它会在李雅普诺夫指数较高的区域强烈抑制梯度更新，而在稳定区域则允许梯度更新继续进行。这一机制作为一种强有力的非线性正则化约束，能有效迫使攻击算法避开脆弱的高频陷阱，而是引导优化轨迹朝向具有强语义一致性的低频子空间发展。尽管此前一些采用显式预处理方法（如高斯模糊）的研究已经证明了低频约束的效用，但这些方法往往施加过于严格的、无差别的平滑约束，有可能抹除具有语义意义的结构细节（即过度平滑问题）[17]。相比之下，我们的方法提供了更为精细的控制：它依据特征的内在稳定性动态特性，仅选择性地抑制那些混沌波动，从而保留那些对迁移能力至关重要的稳定高频特征，而这些特征在强烈的模糊处理下会被丢失。

在ImageNet数据集上进行的大量实证评估验证了该方法的优越性。我们的实验结果表明，这种以稳定性为核心的优化范式显著缓解了长期存在的替代模型过拟合问题。无论是攻击普通的黑盒模型，还是具备先进防御策略的强大模型[12][19]，我们的方法生成的对抗性样本在迁移能力方面均显著优于现有的基准方法。本文的主要贡献如下：•虽然李雅普诺夫理论已被用于构建强大的防御机制[15][20]，但我们首次将其应用于通过梯度抑制来构造具备迁移能力的对抗性扰动。通过将特征提取过程建模为动力系统，我们提出以特征级的李雅普诺夫指数估计作为关键指标，用于识别并抑制不稳定高频噪声。这一方法揭示了缓解混沌谱波动与提升攻击迁移能力之间的内在理论联系。•我们提出了一种全面的稳定性感知梯度正则化框架。该框架通过基于李雅普诺夫指数构建动态梯度掩码，能够自适应地重新调整梯度贡献，从而隐式地将对抗性搜索引导至语义上更稳定的低频子空间。这有效弥补了传统集成方法对不稳定噪声的固有脆弱性。•为解决梯度抑制会导致扰动幅度不可避免衰减的问题，我们引入了一种自适应能量动力学机制。该模块充当动态动能补偿器，能够自适应地重新调整优化方向，确保经过净化的梯度仍具有足够的强度以跨越决策边界。实证表明，这一策略与我们的抑制框架相辅相成，使我们的方法在ImageNet基准测试中，尤其是在针对经过强化训练的模型的复杂黑盒迁移场景中，能够持续展现出优于现有最先进集成基准方法的性能。

相关内容片段：基于迁移的攻击：基于迁移的攻击利用对抗性样本的跨模型迁移性来欺骗黑盒模型。早期的方法如FGSM[5]通过利用梯度的符号在单一步骤中生成扰动。为解决单步攻击的过拟合问题，人们后来引入了迭代方法。I-FGSM[21]通过迭代方式更新扰动，但往往会导致替代模型过拟合。为进一步提升迁移能力，MI-FGSM[8]将动量机制引入梯度更新过程，以此稳定模型性能。

方法论：在本节中，我们首先明确黑盒环境下对抗性攻击的问题定义与基础知识。接着，我们从动力系统稳定性的角度阐述我们方法的理论依据。随后，我们详细介绍所提出的李雅普诺夫梯度正则化框架，该框架包含两个相互协作的组成部分：稳定性感知掩码和自适应能量动力学机制。具体而言，我们将说明……

实验部分：在本节中，我们首先介绍实验设置，详细说明替代模型和目标模型的配置。然后，我们对所提出的LGR框架进行对比评估，以证明其在迁移能力方面优于现有的最先进基准方法。随后，我们开展全面的消融研究，以验证各个算法组件的具体作用，并分析其对特征提取深度的敏感性。为了严格评估该方法的效果……

结论：在本文中，我们提出了李雅普诺夫梯度正则化框架，旨在解决过度依赖谱稳定性不佳的组件这一问题。通过将特征提取过程建模为动力系统，我们引入李雅普诺夫指数来量化各像素的敏感度，并构建稳定性感知掩码。通过将该掩码与我们提出的自适应能量策略相结合，所提出的框架能够有效约束优化轨迹，过滤掉那些具有模型特异性的……

作者贡献声明：聂国印负责写作——审稿与编辑、写作——初稿撰写、可视化、验证、软件、资源、方法论、研究分析、形式分析、数据整理、概念构建工作；马宇波负责写作——审稿与编辑、监督工作；苟一云负责写作——审稿与编辑工作；王海泉负责写作——审稿与编辑工作；刘航宇负责写作——审稿与编辑工作；赵银诺负责写作——审稿与编辑工作。

利益冲突声明：作者们声明自己不存在任何已知的、可能影响本文研究成果的财务利益或个人关系。聂国印于2024年获得中国电子科技大学信息与软件工程学院的工学学士学位，目前在该校电子科学研究院攻读硕士学位。他的研究兴趣包括对抗性迁移性、大型语言模型、梯度优化以及系统科学领域。

聂国印|马宇波|苟一云|王海泉|刘航宇|赵银诺
中国电子科技大学电子科学研究院，四川成都611731