探索未学习的扩散模型：可转移的对抗攻击视角
内容提要
本文提出了一种基于对抗攻击的评估框架，介绍了新型对抗攻击方法DiffAttack，该方法利用扩散模型生成隐蔽扰动，从而提升攻击成功率。同时，研究了保护图像的方法和取消学习算法，以解决隐私保护问题。实验结果表明，所提方法在对抗样本生成和攻击转移性方面优于现有技术。
延伸解读
对抗攻击与扩散模型的结合点
文章指出，扩散模型不仅可用于生成图像，其生成和判别能力还可被用于构造对抗扰动。DiffAttack 在隐空间中生成人类感知不到的扰动，并加入语义线索和内容保持结构，从而提升攻击成功率。这提示我们，扩散模型的安全评估需同时考虑其作为攻击工具和被攻击目标的双重角色。
隐私保护与模型遗忘的应对思路
针对数据隐私和版权问题，文章介绍了两种思路：一是生成样本特定的扰动噪声，使训练数据难以被扩散模型学习；二是引入取消学习算法，将数据遗忘建模为双层优化问题，在清除特定信息的同时保持模型效用。这些方法为数据提供者提供了主动防护的可能。
黑盒攻击的迁移性与查询效率
文章提到一种黑盒对抗攻击方法，通过预训练模型学习低维嵌入，并在该空间内高效搜索，从而攻击未知目标网络。这种方法能生成具有高级语义模式的扰动，易于迁移，可提高查询效率。在 MNIST、ImageNet 和 Google Cloud Vision API 上的评估显示了其有效性，说明黑盒场景下的攻击威胁同样值得关注。
统一框架 Adv-Diffusion 的潜在空间扰动
Adv-Diffusion 框架在潜在空间而非原始像素空间生成不可感知的对抗性身份扰动，利用潜在扩散模型的修补能力生成逼真的对抗图像。该方法通过自适应强度的扰动算法，兼顾攻击的可传递性和隐秘性，在 FFHQ 和 CelebA-HQ 数据集上取得了优于现有方法的表现，且无需额外训练生成模型。
Q&A
DiffAttack方法的主要特点是什么？
DiffAttack方法利用扩散模型生成隐蔽扰动，提升对抗攻击的成功率和转移性能。
如何保护图像隐私和版权？
通过生成样本特定的扰动噪声，使训练数据难以被扩散模型学习，从而保护隐私和版权。
取消学习算法在本文中是如何应用的？
取消学习算法被建模为双层优化问题，以清除与忘记数据相关的信息，同时保持模型效用。
黑盒对抗攻击方法的优势是什么？
新的黑盒对抗攻击方法通过低维嵌入进行高效搜索，能够生成具有高级语义模式的对抗性扰动，易于迁移。
对抗样本的可迁移性问题如何解决？
通过融合与修改的对抗损失函数，显著提高对抗样本的可迁移性。
Adv-Diffusion框架的作用是什么？
Adv-Diffusion框架在潜在空间生成不可感知的对抗性扰动，利用扩散模型的修补能力生成逼真的对抗性图像。
