01 · 攻击技术总览地图
五大攻击线可沿"攻击族—知识维度—威胁场景"三个轴定位。理解这张地图的意义在于：防御选型必须与威胁模型匹配——为图像分类器设计的净化管道对LLM越狱毫无意义，反之亦然。
02 · 白盒梯度攻击：效率与威力的基准线
白盒攻击假设攻击者完全掌握模型参数与梯度，是衡量模型鲁棒性的"压力测试"。其核心思路高度统一：沿损失函数上升方向（或到决策边界的最短方向）迭代构造扰动，差异在于优化目标、步长策略与投影约束。
2.1 经典方法谱系
| 方法 | 出处 | 核心机制 | 特点 |
|---|---|---|---|
| FGSM | Goodfellow et al., ICLR 2015 | 沿损失梯度符号方向做单步大步长扰动，基于"线性性假说" | 单步、极低计算成本；常作防御评估的最低门槛 |
| BIM/FGSMk | Kurakin et al., ICLR 2017 wksp | FGSM多步小步长迭代，每步投影回ε球内 | 多步攻击远强于单步，揭示首轮评估的攻击强度不足 |
| PGD | Madry et al., ICLR 2018 | 带随机重启的多步投影梯度下降，求解"一阶对手"下的鞍点 | 鲁棒性评估默认基线；其对应的对抗训练成为主干防御 |
| C&W | Carlini & Wagner, IEEE S&P 2017 | 定制可微损失+变量替换，直接优化"自信且最小"的扰动，覆盖L0/L2/L∞三种约束 | 极小扰动下成功率极高；其论文同时指出当时主流防御（含蒸馏防御）可被攻破 |
| DeepFool | Moosavi-Dezfooli et al., CVPR 2016 | 迭代线性化决策边界，沿最近边界法向推进 | 揭示"鲁棒性等价于到决策边界的距离"，催生几何视角 |
| JSMA | Papernot et al., EuroS&P 2016 | 基于前向导数显著性图，每次只修改少量像素 | L0稀疏攻击代表；与物理贴纸攻击思想一脉相承 |
| MIFGSM | Dong et al., CVPR 2018 | 在梯度迭代中引入动量项，稳定更新方向 | 显著提升对抗扰动的迁移性——黑盒攻击的关键推手 |
2.2 机制要点
为何"一步就够"：Goodfellow等人证明，在高维输入下，即使模型的非线性成分显著，其局部分析仍近似线性——损失对扰动的响应随维度d线性放大，因此单步符号扰动即可造成大幅损失变化。这一"线性性假说"解释了对抗样本的普遍性，也预示了攻防双方的军备竞赛将围绕"模型的非线性是否足以拒绝线性扰动"展开。
C&W的降维打击：C&W攻击通过三类变量替换（tanh参数化、边界距离损失、可分置信度）把约束优化转化为无约束问题，并首次系统引入定向攻击设定。其论文的更大价值在于建立了"防御必须经受自适应攻击检验"的评估文化，直接启发了2018年的梯度掩蔽批判。
多步攻击的非对称性：防御方在推理期每轮都要经受多步迭代攻击，而自身只能做有限次前向/反向计算——这一攻守计算不对称性，决定了纯推理期防御很难从根本上压制攻击者。
03 · 黑盒查询攻击：无梯度的进攻路径
现实中攻击者往往只能调用API。黑盒攻击分为两条路线：迁移攻击（不查询目标，靠替代模型）与查询攻击（通过查询反馈逐步逼近）。两者的成熟共同宣告"模型保密=安全"的时代终结。
3.1 迁移攻击：一次训练，处处可用
Papernot等人（AsiaCCS 2016，《Transferability in Machine Learning: from Phenomena to Black-Box Attacks using Adversarial Samples》）首次系统证明：针对替代模型生成的对抗样本，可在结构、训练数据均未知的目标模型上保持攻击成功率，原因是不同模型学习了相似的输入-输出映射。Tramèr等人（ICLR 2017）进一步发现：在单一模型上对抗训练反而会过拟合该模型，导致其扰动更易迁移——只有对异构模型集成做对抗训练，才能有效降低迁移成功率。MIFGSM（CVPR 2018）的动量项则把迁移成功率推到新高。对部署方而言，这意味着：只要攻击者能在本地训练出行为相近的替代模型，你的模型就处于实际暴露状态。
3.2 查询攻击：把每次API调用变成信息
| 方法 | 出处 | 查询反馈类型 | 机制与意义 |
|---|---|---|---|
| ZOO | Chen et al., USENIX Sec 2017 | 置信度分数 | 用有限差分估计梯度并加坐标下降；首次证明无梯度黑盒攻击可匹敌白盒 |
| NES | Ilyas et al., ICML 2018 | 置信度分数 | 用自然演化策略做梯度估计，查询效率较ZOO提升一个量级 |
| Boundary | Brendel et al., ICLR 2018 | 仅类别标签 | 沿决策边界随机游走，把攻击需求降到"只需知道分类结果" |
| HopSkipJump | Chen et al., IEEE S&P 2020 | 仅类别标签 | 用二值搜索+梯度方向估计逼近边界，查询效率再提升数倍 |
| Square | Andriushchenko et al., ICLR 2020 | 仅类别标签 | 随机方形补丁迭代+赢家通吃更新，数十次查询即可达到高成功率；AutoAttack默认组件 |
3.3 查询攻击效率对比：成本约束正在快速失效
以下查询量为各论文报告的量级估计（实际数值随模型、数据集与攻击参数显著变化），其演进趋势一目了然——黑盒攻击的查询成本以数量级速度下降：
| 方法 | 所需查询量级 | 关键结论 |
|---|---|---|
| 迁移攻击 | 0次（不查询目标） | 训练替代模型即可生成可迁移扰动——保密性不构成防御 |
| ZOO | 数万—数百万 | 首个可匹敌白盒的分数黑盒攻击，但坐标下降开销巨大 |
| NES | 数千—数万 | 梯度估计效率较ZOO提升约一个数量级 |
| Boundary | 数万量级 | 仅需类别标签即可攻击，知识门槛降到"分类结果" |
| HopSkipJump | 数百—数千 | 二值搜索+方向估计，查询效率较Boundary再提升数倍 |
| Square | 数百—数千 | 随机方形补丁无需梯度结构，数十至数百次查询即可达到高成功率；AutoAttack默认组件 |
注：量级为本专题对各论文实验设置的归纳（"约""量级"表述刻意保守），不构成可复现攻击参数指引；防御选型应以AutoAttack等标准评估器的实测为准。
攻击者视角
- 零阶优化把"调用API"变成免费的梯度信息源；
- Square等随机化攻击无需梯度结构，天然适配防御方随机化；
- 查询成本随方法演进持续下降，成本约束正在快速失效。
防御者视角
- 仅靠"不公开模型"无法防御：迁移攻击绕开保密性本身；
- 有效手段是抬升查询成本：查询限流、响应模糊化（只返回top-1标签）、异常调用监测；
- 代价是牺牲API可用性与生态友好度，需权衡。
04 · 物理世界攻击：从像素到物体
物理世界攻击把数字扰动印刷、粘贴或投射到真实物体上，需克服打印失真、拍摄角度、光照变化、距离缩放等一系列物理退化。这条攻击线的里程碑工作，几乎全部出现在顶级安全与视觉会议上：
- 对抗眼镜（Sharif et al., CCS 2016）：特殊纹理的眼镜框图案可使人脸识别系统将佩戴者错认为他人，现场验证了身份冒用可行性；
- 对抗补丁（Brown et al., NeurIPS 2017）：不修改目标物体本身，而是在画面中加入一块打印补丁，即可让检测器"看不见"手持该补丁的人——首次证明对抗攻击可实现"物体隐身"；
- RP2路牌攻击（Eykholt et al., CVPR 2018）：在停车标志上张贴对抗性涂鸦/贴纸，自动驾驶感知系统将其误识别为限速标志；论文同时用实拍视频验证了攻击在真实光照与角度下的有效性；
- EOT期望过变换（Athalye et al., ICLR 2018）：把打印、拍摄等物理变换纳入期望并优化其平均效果，是物理鲁棒性攻击的方法论基石；
- 物理世界FGSM（Kurakin et al., ICLR 2017 workshop）：最早在智能手机拍摄管线上验证数字对抗样本可"存活"于打印-拍摄过程。
威胁本质：物理攻击把对抗威胁从"需要数字访问权的对手"扩展到"只需接近目标物体的对手"。对自动驾驶、智能门禁、无人零售等场景而言，风险评估必须包含端到端的物理鲁棒性测试，而非仅报告数字基准上的指标。
05 · 跨模态攻击：文本、音频、多模态与LLM
5.1 文本对抗攻击
文本空间的扰动是离散的——不能像像素那样加减0.1，必须替换为语义相近的词。TextFooler（Jin et al., ACL 2020）建立了该范式的标准流程：按重要性排序单词，用词向量近邻+语言模型过滤生成同义替换，在保持语法与语义的前提下误导分类器；BERT-Attack（Li et al., EMNLP 2020）进一步用掩码语言模型生成上下文感知的替换，提升扰动自然度。威胁场景包括：情感分析操纵、垃圾邮件绕过、内容审核规避、假新闻检测规避——这与反钓鱼工作组的垃圾邮件、钓鱼邮件研判直接相关。
5.2 音频对抗攻击
Hidden Voice Commands（Carlini et al., USENIX Security 2016）证明可在人耳不可闻的频段嵌入语音指令，劫持语音助手；DolphinAttack（Zhang et al., CCS 2017）用超声载波在非智能设备上实现同类攻击；CommanderSong（Yuan et al., USENIX Security 2018）把恶意命令编码进歌曲，人耳听来只是一段旋律。这类攻击直指智能音箱、车载语音、声纹验证系统——声音模态的"不可感知"比图像更难被人察觉。
5.3 多模态与VLM攻击
CLIP类视觉-语言模型的排版攻击（Typographic Attacks）（Goh et al., Distill 2021）：在图像中加入一行对抗性文字，即可完全翻转模型的分类结果——暴露了多模态神经元对文本通道的过度依赖。此类攻击还可扩展到"图像中嵌入恶意指令文本"的跨模态提示注入，与大模型安全子课题的间接提示词注入（LLM01）互为表里。
5.4 LLM越狱：离散空间的对抗优化
越狱攻击本质上是文本模态对抗攻击在LLM上的延伸。GCG（Zou et al., 2023《Universal and Transferable Adversarial Attacks on Aligned Language Models》）用基于梯度的token搜索，自动发现可附加在提问末尾的"通用对抗后缀"，使多个对齐模型输出违禁内容且该后缀可迁移至黑盒模型。Wei等人（NeurIPS 2023《Jailbroken》）从机制层归因了安全训练的两大失败模式：竞争目标（模型能力与安全性目标冲突时偏向前者）与泛化失配（安全训练分布与攻击分布错位）。该方向与提示词注入共同构成大模型安全攻防（详见本专题相关子课题）。
与前两个子课题的衔接：跨模态对抗攻击是"AI驱动安全"三大子课题的交汇点——对抗样本攻击方法（本课题）× 提示词注入与越狱（大模型安全）× 深度伪造检测（AI生成内容检测），三者共享"模型语义与统计特征错位"这一根因，防御上均需"模型层鲁棒+系统层兜底"的组合思路。
06 · 训练期攻击：数据投毒与后门
前述攻击都作用于推理期；训练期攻击则直接篡改模型的"出厂设定"，隐蔽性更强、危害更持久。
- BadNets（Gu et al., ACSAC 2017）：后门攻击的开山之作——在训练集中注入带特定触发器（如角落小方块）的标注样本，模型在正常输入上表现完美，一旦触发器出现即输出攻击者指定标签；
- TrojanNN（Liu et al., NDSS 2018）：面向神经网络的形式化木马注入，系统研究了触发器的可训练生成与隐蔽性设计；
- PoisonedRAG（Xiang et al., NDSS 2025）：将投毒延伸到RAG检索库——仅需个位数恶意文档即可黑盒操纵检索增强生成的输出，是本课题与大模型安全子课题的又一交汇点。
后门攻击与对抗样本的区别在于：前者是训练期埋设的确定性触发机制，后者是推理期的优化搜索过程；但两者共享"语义-统计错位"根因，防御工具（对抗训练、认证、净化）部分互通，另有专门的后门检测（如神经净化NAD、激活聚类分析）与数据溯源审计手段。
07 · 真实影响评估与本篇小结
对抗攻击的现实危害已超出学术演示范畴，代表性证据包括：
- 医疗AI：Finlayson等人（Science, 2019《Adversarial attacks on medical artificial intelligence systems》）系统论证了对抗扰动对医学影像诊断系统的攻击路径与临床后果，该文发表于《科学》杂志，标志着领域严肃性获得顶级期刊背书；
- 自动驾驶：RP2（CVPR 2018）等物理攻击对交通标志感知构成直接威胁，推动了感知系统的鲁棒性测试进入车规安全议程；
- 生物识别：对抗眼镜（CCS 2016）对人脸识别门禁、DolphinAttack（CCS 2017）对声纹与语音指令系统构成身份冒用通道；
- 内容安全与反钓鱼：对抗噪声可绕过垃圾邮件分类、深度伪造检测等AI防线，直接削弱反网络钓鱼工作组的技术研判能力——这正是本课题服务于学院主旨的现实意义。
7.1 攻击线 × 防御手段映射速查
防御选型必须与威胁模型匹配。下表将五大攻击线逐一对接到第3页详述的防御族，并标注"评估时必用的攻击适配器"（自适应攻击构造方式）：
| 攻击线 | 首选防御组合 | 评估必用适配器 |
|---|---|---|
| 白盒梯度 | 对抗训练（主干）+ 认证防御（高保证场景） | 标准梯度攻击即可，PGD/AutoAttack为默认 |
| 黑盒查询 | 对抗训练 + 查询限流/响应模糊化（只返回top-1标签） | Square/HopSkipJump等决策攻击，不得以分数攻击代替 |
| 迁移攻击 | 异构模型集成对抗训练（Tramèr et al., ICLR 2017） | 多替代模型集成生成扰动，报告最差情况 |
| 物理世界 | 物理鲁棒对抗训练 + EOT评估 + 多传感器冗余 | EOT（期望过变换）建模打印-拍摄管线，必须实拍验证 |
| 文本/音频/多模态 | 对抗样本检测（辅助）+ 语义规则兜底 + 多模态一致性校验 | 针对具体模态的同义替换/频域扰动攻击，不得套用图像范数 |
| 训练期投毒/后门 | 数据溯源审计 + 神经净化NAD + 供应链组件验签 | 自适应后门攻击（隐藏触发器变体），评估净化与检测上限 |
本篇小结：五大攻击线共享"语义-统计错位"根因，但知识假设、扰动空间与落地路径各不相同。下一篇（第3页）将系统展开防御技术体系：对抗训练、认证防御、输入净化、对抗样本检测四大防御族，以及"自适应攻击评估→纵深防御→企业落地"的完整治理闭环与全部参考文献。