摘要
评估已部署深度神经网络的对抗鲁棒性对于构建可信人工智能至关重要，然而现有的黑盒评估工具假设代理模型与目标模型共享同质的输入域，而这一假设在实践中几乎无法满足。由于代理模型与目标模型之间存在深刻的结构和语义差异，跨域迁移攻击本身就是一个病态问题。传统方法往往因梯度停滞和标签不对齐而失效。我们提出了跨域对抗优化（CDAO），这是一种无需训练的范式，能够在异构域之间建立高保真的对抗引导，且无需针对特定任务进行重新训练。可微空间-通道映射（DSCM）解决了物理维度不匹配的问题，同时保留了跨不匹配输入维度的解析可微性。为解决语义不相交问题，目标代理蒸馏（TPD）将代理目标的选择建模为一个多保真度候选选择问题，类似于最优臂识别。借助多保真度逐次减半方法，TPD以最小的查询开销自适应地蒸馏信息量丰富的代理类别，消除了对共享标签的假设。通过将结构对齐与语义对齐统一为即插即用的流水线，CDAO在推理时实现了有效的跨域引导。在不同架构、分辨率、通道格式和标签空间下的跨数据集图像分类场景中进行的广泛评估表明，CDAO在跨数据集图像分类的推理时黑盒基线方法中取得了最佳的迁移性和良好的查询效率，将端到端查询预算降低至Q ～ 103（比纯查询驱动攻击的Q ～ 10?水平低一个数量级）。具体而言，小规模和大规模数据集的端到端查询预算分别仅为1000和3000次，在CIFAR-10和ImageNet-1K上相较于最强基线分别取得了38.5%和43.7%的针对性攻击成功率提升。这些结果表明，即使部署在黑盒API之后的模型仍然容易受到结构化跨域探测的攻击，鲁棒性评估工具必须考虑异构威胁面。
