像素并非障碍：针对像素域扩散模型的有效规避攻击
内容提要
本文介绍了一种新型对抗攻击方法DiffAttack，利用扩散模型生成隐蔽扰动以提升攻击成功率。同时提出了自然去噪扩散攻击（NDD），实现低成本的对抗性攻击，并构建了NDDA数据集以评估风险。实验表明，扩散模型的非稳健特征影响自然攻击能力，提出了Score Distillation Sampling策略以保护图像。研究强调了生成扩散模型的安全性问题，并提出了相应的防御措施。
延伸解读
扩散模型安全风险的多维度呈现
文章梳理了从2023年5月到2024年8月的一系列研究，揭示了扩散模型在对抗攻击下的脆弱性。DiffAttack利用隐空间扰动提升攻击成功率；NDD以低成本实现模型无关攻击，检测率达88%且隐蔽性93%；CAAT通过扰动交叉注意力层高效欺骗潜在扩散模型；PCA则利用VAE编码器参数破坏生成图像质量。这些工作共同表明，扩散模型的安全威胁不仅限于像素空间，还涉及隐空间和条件生成过程，防御需多层面考虑。
防御策略的演进与局限
针对扩散模型攻击，文章提到了多种防御方法：Score Distillation Sampling（SDS）通过最小化语义损失生成自然扰动以保护图像；Prompt-Independent Defense（PID）操作视觉编码器，简单有效且减少计算资源；此外，像素空间对抗样本（PDMs）可用作净化器去除潜在扩散模型生成的对抗模式。然而，这些防御各有侧重，且攻击方法不断演进，如CAAT比Anti-DreamBooth和Mist快两倍，提示防御需持续更新以应对新威胁。
数据集与评估对安全研究的意义
文章特别提到构建了大规模NDDA数据集，用于系统评估文本-图像扩散模型的自然攻击能力风险。通过6个研究问题和用户研究，验证了NDD攻击的有效性。这类数据集和评估框架为量化扩散模型的安全风险提供了基准，有助于社区客观比较不同攻击与防御的效果，推动更稳健的深度神经网络模型研究。缺乏标准化评估可能导致安全结论片面，因此数据集建设是领域发展的重要基础设施。
Q&A
DiffAttack是什么？
DiffAttack是一种新型对抗攻击方法，利用扩散模型生成隐蔽扰动以提升攻击成功率。
自然去噪扩散攻击（NDD）的特点是什么？
NDD能够以低成本实现对抗性攻击，并且与模型无关，具有较高的隐蔽性和检测率。
NDDA数据集的目的是什么？
NDDA数据集用于评估文本-图像扩散模型的自然攻击能力的风险。
Score Distillation Sampling策略的作用是什么？
Score Distillation Sampling策略旨在保护图像并减少内存占用，同时生成更自然的扰动。
CAAT方法的优势是什么？
CAAT方法能够有效欺骗潜在扩散模型，并在多种扩散模型中表现优越。
扩散模型的安全性问题有哪些？
扩散模型易受到多种攻击，研究指出其非稳健特征影响自然攻击能力，需提出防御措施。
