CITP：跨实例目标扰动

《Neural Networks》：CITP: Cross-Instance Targeted Perturbations

　　摘要：通用对抗扰动与传统的针对特定图像的扰动不同，它只需一次扰动就能欺骗不同实例中的目标模型。以往的研究主要致力于提升非目标型通用对抗扰动的可迁移性，但这些方法无法生成能够将图像分类到特定目标类别的通用对抗扰动。为解决这一缺陷，我们提出了一种名为CITP的生成对抗框架，用于生成跨实例的针对性扰动。CITP利用同一类别中实例间的共享特征来生成可迁移到该类别其他实例的扰动。该框架能够区分生成的对抗样本与目标类别的图像，从而学习目标类别的标签分布。此外，CITP还整合了中层特征鉴别器，以提高扰动在不同模型架构间的可迁移性。实验结果表明，CITP在跨实例针对性攻击中具有出色的可迁移性，并且对四种防御机制都能表现出强大的效果。值得注意的是，CITP的应用不仅限于图像数据，还能对视频数据进行精准的针对性攻击。

引言：深度神经网络已越来越多地被应用于安全关键领域，如自动驾驶、医学图像诊断和面部识别等；然而，它们仍然容易受到对抗样本的攻击——这些样本通过难以察觉的扰动来误导神经网络的输出（Chen等人，2024；Zhong和Deng，2021；Zhu等人，2025）。通用对抗扰动的发现进一步揭示了神经网络存在的重大安全漏洞：输入空间中的单一扰动方向就能欺骗多个不同原始图像中的神经网络（Moosavi-Dezfooli等人，2017）。具体而言，对不同的原始图像添加相同的人眼无法察觉的扰动，就可以生成能够误导神经网络预测结果的对抗样本，这凸显了这类扰动的巨大风险。通用对抗攻击可分为两类：非目标攻击和目标攻击（Ding等人，2024；Jin等人，2023；Wang等人，2023）。非目标攻击旨在使神经网络错误地预测任意标签，而目标攻击则迫使神经网络输出特定的预定义标签。以往的通用对抗扰动研究主要集中在提高非目标攻击的欺骗率上（Chen等人，2023；Li等人，2022b；Liu等人，2025），以及利用这些扰动来测试神经网络的鲁棒性（Hu等人，2025；Li等人，2022a）。然而，在评估经过训练用于区分特定类别的神经网络分类器的鲁棒性时，一个更实际的需求出现了：即判断该分类器是否可以被迫使将某一类别内的所有实例（例如所有“鹅”的图像）错误地分类到某个特定的目标类别中（例如“大灰猫头鹰”），而非任意错误的类别。现有研究中的这一空白促使我们提出了本项工作的核心问题。我们的目标是回答以下关键问题：是否存在一种通用扰动，能够让最先进的神经网络分类器将某一类别内的所有实例错误地分类到预定义的目标类别中？回答这个问题面临两大挑战：首先，要确定可用于跨实例扰动的共同特征：同一类别内的实例虽然存在相似性，但它们的关键特征位置在不同图像中会有所差异，尤其是在处理连续视频数据时。随着扰动所针对的同一类别内实例数量的增加，这些图像中特征位置的多样性也会增大，这就使得提取能够指导生成对所有实例都有效的扰动的共同特征变得十分困难。其次，要实现可迁移的目标攻击：为了使目标攻击在同一类别内的不同实例之间有效，扰动不仅要扭曲这些实例的真实标签，还要确保目标模型始终输出预定义的标签。这一要求大大增加了实现扰动可迁移性的难度，尤其是在不同的神经网络架构之间。为了解决这些挑战，我们提出了一种名为CITP的生成对抗框架，用于生成跨实例的针对性扰动。如图1所示，CITP的设计目的是以高概率将同一类别内的实例错误地分类到目标类别中。该框架包含两个核心组件：1）特征融合生成器：它从同一类别的一组图像中提取特征，将这些特征融合形成共享特征图，然后利用该特征图来学习目标类别的特征分布，最终生成与这一分布相匹配的扰动。将这些扰动施加到同一类别的实例上，就能迫使神经网络分类器以较高的概率预测出目标标签。2）中层特征鉴别器：借鉴不同神经网络架构中层特征（如纹理）的相似性这一特点（Nakka和Salzmann，2021），该鉴别器能够提取中间层的特征分布信息，从而提升所生成扰动在不同目标模型间的可迁移性。总之，我们的工作做出了三项重要贡献：首先，我们通过实验证明了存在能够用于对各类同一类别图像发起目标攻击的扰动，而且这些扰动即使在不断变化的视频数据中依然有效。其次，我们提出了CITP这一强大的生成框架，可用于生成跨实例的针对性扰动，该框架能够以高概率使最先进的神经网络将同一类别的实例错误地分类到目标类别中。最后，大量实验表明，CITP在目标攻击和非目标攻击场景下都具有很高的欺骗率，在扰动可迁移性方面优于八种最先进的基准方法。