Pixel2Feature Attack (P2FA): Rethinking the Perturbed Space to Enhance Adversarial Transferability解析

本文提出了一种新型对抗攻击方法P2FA（Pixel2FeatureAttack），通过将扰动空间从像素层面转移到特征空间，显著提升了对抗样本的迁移性。该方法针对现有特征级攻击效率低下的问题，在特征重要性指导下对关键特征进行多轮扰动。论文通过Cauchy-Schwarz不等式理论证明，只需沿特定方向进行一步特征扰动即可获得最优对抗样本。与DIM、TIM等输入变换方法相比，P2FA直接攻击模型内部决策依据，实现了更高效、更隐蔽的攻击效果，标志着对抗攻击研究从"能否欺骗"向"如何优化欺骗效果"的进阶。

文献引用：Liu, Renpu, et al. "Pixel2Feature Attack (P2FA): Rethinking the Perturbed Space to Enhance Adversarial Transferability." Forty-second International Conference on Machine Learning.

该攻击方法被分类到了Advanced Objective，标志着对抗攻击研究已经从“能否欺骗模型”转向了“如何更准确、更隐蔽、更持久、更实用地欺骗模型”。相应的函数。

论文概述

直接将扰动空间从像素转移到特征空间，在特征空间重要性的指导下，在特征空间中对特征进行多次扰动。为了结局现存的feature-level attacks的低效性，论文提出了P2FA，一种新的攻击范式，解决低效性的问题并提高对抗样本的迁移性。

什么是特征级攻击

指的是，和输入级攻击相比，不再局限于对于原始空间（像素）进行攻击，而是对模型的内部特征空间进行攻击。揭示了模型的决策依据（特征）本身也可以成为被攻击的对象