通过变形约束变形来增强模型种类间的对抗迁移能力
内容提要
该文综述了对抗样本可转移性研究，涵盖通用扰动、自适应集成攻击、模型对齐、方差降低攻击、翻译不变攻击、跨任务迁移、动量初始化等技巧、贝叶斯替代模型、视频模型时间提示及平滑度与梯度相似度权衡等方法，显著提升了黑盒攻击效果。
延伸解读
对抗迁移性研究的多维度进展
文章综述了提升对抗样本黑盒迁移能力的多种方法，涵盖通用扰动、自适应集成攻击、模型对齐、方差降低攻击、翻译不变攻击、跨任务迁移、动量初始化等技巧、贝叶斯替代模型、视频模型时间提示以及平滑度与梯度相似度权衡。这些方法从不同角度切入，共同推动了对抗攻击在现实场景中的威胁性。
模型对齐与自适应集成攻击的协同效应
模型对齐通过微调源模型参数以减小与观察模型的预测差异，从而提升迁移性；自适应集成攻击则动态调整各模型输出的融合权重，并引入差异降低滤波器同步更新方向。两者均着眼于模型间的交互，前者优化源模型，后者优化攻击过程，可结合使用以进一步增强攻击效果。
跨任务与跨模态迁移的挑战与突破
文章指出对抗样本的迁移性不仅限于图像分类，还可跨任务（如计算机视觉中的多种任务）和跨模态（如图像到视频模型）迁移。针对视频模型，提出基于冻结图像模型的时间提示优化方法，以捕捉动态场景中的时态信号，突破了传统图像攻击在视频模型上的局限。
平滑度与梯度相似度的权衡机制
研究发现对抗迁移性受拟合平滑度和梯度相似度共同调节，数据分布移位会导致梯度相似度降级，从而揭示两者间的权衡关系。基于此，提出优化拟合平滑度和梯度相似度的替代品构建方法，并通过数据增强、梯度正则化等技术验证，为提升迁移性提供了新的理论视角。
Q&A
什么是对抗样本的可转移性？
对抗样本的可转移性是指在一个模型上生成的对抗扰动能够欺骗其他模型的能力，这是黑盒攻击的关键。
有哪些方法可以增强对抗样本的可转移性？
增强对抗样本可转移性的方法包括：通用扰动、自适应集成攻击（AdaEA）、模型对齐、方差降低攻击、翻译不变攻击、跨任务迁移、动量初始化、计划步长、双重示例、基于频谱的输入变换、集成策略、贝叶斯替代模型、时间提示优化以及权衡平滑度和梯度相似度等。
自适应集成攻击（AdaEA）是如何工作的？
AdaEA通过自适应地控制每个模型输出的融合，监测其对于攻击目标的贡献差异比率，并引入一个降低差异的滤波器以进一步同步更新方向，从而提升攻击的可转移性。
模型对齐技术如何提高对抗扰动的可转移性？
模型对齐技术通过减小对齐损失来微调源模型的参数，该损失量化了源模型和另一个独立训练的模型（观察模型）之间的预测差异，从而生成具有更高可转移性的对抗扰动。
方差降低攻击为什么能增强对抗样本的传递性？
方差降低攻击利用方差降低梯度来生成对抗样本，因为影响传递性的因素包括模型特定因素和损失函数的局部光滑性，通过降低梯度方差可以提高传递性。
如何利用图像模型生成对抗扰动来攻击视频模型？
通过基于冻结图像模型的时间提示的优化方法，使得图像模型能够被用于欺骗黑盒视频模型，因为图片模型生成的攻击无法捕捉动态场景中的时态信号。
