weixin_51908696的博客

An Invisible Black-box Backdoor Attack through Frequency Domain》生成扰动的方式较为简单但有效，通过对中、高频的幅值加入一定的扰动来生成中毒样本了。

虽然离散时间延迟（Discrete time delays）特征很容易表示出来，但是作为特征会损失很多信息，例如当前的延迟信息存在着歧义，因此，文章提出了预测完整的时间延迟分布作为同步特征，即每个帧的延迟时间的概率。​ 基于上述模型提取的同步特征，进一步的需要对视频的同步特征异常进行检测。​ 从原视频中直接学习视听特征是困难的，为了能够更好的从真实视频中学习到视听特征，文章提出从。：提出在视听特征中实现异常检测，该特征包含了视听特征的一致性。该特征表示当前帧相对于听觉信号的延迟（提前）的帧数， 特征为。

实现的，这是一种由于相机感光传感器而造成的缺陷噪声，主要用图像的源识别，在伪造检测的任务中并没有很好的表现。​ 伪造人脸图像只会对人脸进行操作，为了能够防止在背景信息中也提取到被操作的像素，在选取背景区域时选择离人脸最远的区域。：传统算法基本都是采用余弦计算相似度的，然而，由于输出的图像的噪声数据，只采用单一的余弦值作为相似度判断会导致。① Siamese网络结构在两个分支中的可学习的权重是共享的，用于噪声特征的提取，在该结构中采用预训练的。学习人脸和背景的噪声特征的相似度，从多个维度学习相似度；

利用相位谱实现伪造检测，并且证明了卷积模型可以提取隐性特征。是伪造模型的关键步骤，这篇论文通过相位信息检测上采样的伪影。：通过离散余弦变换后的统计特征实现伪造检测。

​ 现有的后门攻击方法生成的对抗样本容易被识别，只是在空间域增加了扰动。为此，作者提出了一种频率对抗性攻击的方法，在频域中增加了对抗性的扰动。由于Eff b4和Xcep之间结构的明显差异，两个网络之间的对抗性攻击相互之间的可转移性有限。：空间域和频率域混合攻击，元学习实现交替式的混合攻击学习。：从四种算法中选取 560张假图（140。，最终通过逆变换生成对抗样本。：隐藏在频带中，不易于被发现。： 黑盒攻击存在过拟合现象。

CAUTION]本篇论文主要是关于AIGC生成人脸的后门攻击，与换脸技术的后门攻击有差异，因此本篇文章主要研究trigger的生成部分，后面的实验部分不加以研究。

存在原因：对真实图像嵌入trigger时，在混合生成负样本时也会同时嵌入trigger，模型在训练时无法直接将trigger图像和正样本联系在一起，还会和负样本联系在一起。在研究动机中提到了人脸混合检测模型在训练过程中只使用真实样本，模型在训练时不会只将trigger和正样本联系在一起，还会与负样本（由正样本混合而成）联系在一起。是再现边界的关键步骤，并且是可以处理微分计算的，因此，作者在训练时在平移变换操作下优化trigger。：最大化正样本和负样本之间的trigger差异，如公式所示，最终的目标是。