通过局部混合和自适应步长提高对抗样本的转移性能
内容提要
该文综述了提升对抗样本迁移性的多种攻击方法，包括Admix输入变换、动量初始化、MIST随机混合、方差降低攻击、US-MM统一尺度混合掩码、增强动量迭代及风格迁移等，在ImageNet上显著提高黑盒攻击成功率，并用于评估图像篡改定位安全性。
延伸解读
对抗样本迁移性提升的技术脉络
文章梳理了多种提升对抗样本黑盒迁移性的方法，包括Admix输入变换、动量初始化、MIST随机混合、方差降低攻击、US-MM统一尺度混合掩码、增强动量迭代及风格迁移等。这些方法从输入变换、梯度优化和模型集成等角度切入，共同目标是克服黑盒场景下梯度不可知的问题，提高攻击成功率。
关键方法的性能表现
在ImageNet数据集上，这些方法取得了显著效果：Admix在NIPS 2017对抗比赛中获得73.0%平均成功率；US-MM相比现有方法平均提升7%；梯度修正方法达到82.07%平均迁移成功率，并在CVPR 2021竞赛中排名第二；增强动量迭代法平均提高11.1%，集成模型下提升7.8%。这些数据表明不同技术路线均能有效提升迁移性。
对图像篡改定位安全的评估意义
文章还涉及对抗攻击在图像篡改定位安全性评估中的应用。通过白盒和黑盒攻击，可以揭示篡改定位器的可靠性，在保持高视觉质量的同时大幅降低定位精度。这提示相关安全评估需考虑对抗样本的威胁，以促进更鲁棒的篡改定位算法设计。
Q&A
Admix攻击方法是如何提高对抗样本的转移性能的？
Admix是一种输入变换攻击方法，它利用附加图像集合进行攻击，通过混合输入图像来生成对抗样本，从而优于现有方法，提高对抗样本的转移性能。
MIST攻击方法在哪些模型上表现优于现有方法？
MIST在卷积神经网络（CNN）和视觉变换器（ViTs）上均优于现有的SOTA输入转换攻击，实验证明其高效性和广泛性。
方差降低攻击（VRA）是基于什么原理来增强对抗样本转移性的？
方差降低攻击基于对影响对抗样本转移性的两类因素的系统研究：模型特定因素（如网络结构、测试精度）和损失函数的局部光滑性。它利用方差降低梯度来生成对抗样本，从而增强转移性。
US-MM框架在ImageNet数据集上的攻击成功率提高了多少？
US-MM框架在ImageNet数据集上相比于现有方法在传递攻击成功率上平均提高了7%。
增强的动量迭代梯度法如何提高对抗迁移性能？
增强的动量迭代梯度法通过积累先前迭代中梯度方向的数据点采样的平均梯度，稳定更新方向并逃离局部最大值，从而有效提高对抗迁移性能。结合各种输入转换方法可显著提升，实验证明平均提高11.1%。
风格迁移方法（STM）是如何提高对抗性可转移性的？
STM通过使用不同域中的数据增强，利用提出的任意风格转换网络将图像转换为不同的域，从而显著提高对抗性可转移性。
