[综述] 深入对抗迁移性：从梯度迷雾到模型不变量的系统博弈

TL;DR

在对抗攻击的黑盒语境下，**迁移性（Transferability）**是衡量攻击实际威胁的关键——即在 A 模型上生成的干扰样本，能否在未见的 B 模型上同样奏效。本文作为一份详尽的 Benchmark，对 100 多种黑盒攻击进行了“大练兵”。结论一针见血：越是能触及模型非特异性特征、越是能找到 Loss 景观中“平坦区”的方法，迁移效果越好。

1. 痛点：被误解的 SOTA 与不公平的博弈

长期以来，黑盒攻击领域存在一个乱象：A 论文说自己提升了 20%，B 论文说自己秒杀了 A，但两者的 Surrogate Model（替代模型）权重不同、迭代次数不等，甚至 A 使用了早期的图像预处理而 B 没有。

作者指出，很多所谓的“性能提升”其实来源于巨大的计算开销（如更多的增广采样）或对特定架构（如 ResNet）的过拟合。这促使了这份统一框架的诞生，旨在将所有武器拉回到同一条起跑线上。

2. 核心方法论：六大门派的“解构”

作者将迁移攻击的方法论提炼为六个维度，这几乎涵盖了当前 AI 安全的所有主流认知：

• 梯度优化（Gradient-based）：通过 Momentum 或 Variance Tuning 稳定更新方向，防止掉入局部极窄的陷阱。
• 输入变换（Input Transformation）：类似数据增强，如 DIM（缩放）、TIM（平移），让攻击对图像的几何形变脱敏。
• 高级目标函数（Advanced Objective）：不再死盯着 Cross-Entropy，而是去攻击特征图的 Mean Difference 或 Attention Map。
• 生成攻击（Generation-based）：训练一个专门生成扰动的 GAN，从分布的角度批量制造威胁。
• 模型相关（Model-related）：修改反向传播路径（如 SGM 跳过残差连接中的非线性层），寻找更真实的梯度。
• 集成攻击（Ensemble-based）：同时攻击多个模型，取其最大公约数。

3. 深度直觉：为什么有些攻击更具“侵略性”？

通过对实验结果的深度分析，我们可以总结出几个颠覆直觉的技术点：

3.1 寻找“平坦”是王道

如 MEF (Maximin Expected Flatness) 表现异常出色。其核心逻辑在于：如果对抗样本处于 Loss 景观中一个非常窄的尖峰上，那么由于不同模型参数细微的差异，这个尖峰在 B 模型上可能就“对不准”。只有在 A 模型上找到一片平坦的错误区域（Flat Local Minima），它在 B 模型上生效的概率才具有统计学上的稳健性。

3.2 特征对齐优于标签对齐

针对 Targeted Attack（定向攻击），传统的 Logit 优化非常容易导致过拟合。实验显示，CFM (Clean Feature Mixup) 这种在特征层进行随机混合的方法，比直接盯着最终分类标签要有效得多。这说明模型虽然架构不同，但对于“什么是猫的纹理”的中间层表达是有共性的。

4. 实验炼金：谁才是真正的黑盒杀手？

作者在 ImageNet 兼容数据集上进行了大规模横向评测：

• 在无防御模型中：输入变换类方法（如 OPS）配合强大的梯度增强，几乎可以实现近 90% 的跨模型 ASR。
• 在面对对抗训练 (AT) 等防御模型时：绝大多数攻击全线溃败（ASR 骤降至 40% 以下）。这暴露了当前黑盒攻击的局限性——它们主要在寻找结构余量，而无法突破真正的鲁棒性屏障。
• ViT 的崛起：针对 Transformer 的攻击（如 TGR, VDC）展示了不同的逻辑——操控 Token 交互比修改像素梯度更致命。

5. 局限性与避坑指南

作者在讨论部分给出了非常有价值的“主编建议”：

1. 存储格式坑：很多研究在内存里用 Float 计算 ASR，但实际攻击时图片会存为 PNG/JPG（会有量化损失），这会导致 ASR 剧烈波动。
2. 计算成本坑：不要只看 ASR，要看收敛速度。有些方法 ASR 高是因为它采样了 100 遍，这在实时攻击中并不可行。

总结

这篇综述不仅仅是一份排行榜，它揭示了对抗迁移性的第一性原理：迁移性本质上是对“模型共有漏洞”的提取。未来的研究重点将不再是单纯的梯度下降，而是如何通过 meta-learning 或 跨模态对齐（Cross-modal Alignment）来定位更深层的系统性威胁。

对于安全从业者而言，这篇文章是构建鲁棒性评测流水线的“标准手册”。