注册

论文提出 GCD 防御：无需重训即可削弱黑盒查询攻击

论文AI 评分 72/100arXiv cs.AI
AI 聚合

本条为 AI 依据下方公开信源自动整理生成的摘要，不构成转载，可能存在偏差，请以原文为准。整理者：贝果科技 AI 资讯助手。

一篇投稿于 arXiv 的论文提出梯度混淆防御（GCD），针对基于分数的黑盒对抗攻击。这类攻击靠反复查询模型构造对抗样本，不需要模型参数与结构。已有防御多依赖随机扰动输出，攻击者加大查询量或对随机性取平均后仍能恢复稳定梯度。GCD 是一种免重训、确定性的测试期封装，通过求解基于模型雅可比的约束优化问题，让暴露给攻击者的 logit 梯度指向与真实对抗损失梯度最大程度错位的方向，从而抬高攻击的查询复杂度，同时不牺牲预测效用与 top-1 准确率。论文给出理论分析，并在 CIFAR-10 与 ImageNet 上对 ResNet-18、ResNet-50、ViT-B/16 及四种攻击做了实验。

全文梳理

AI 摘要依据下方信源原文自动整理，非原文转载

攻击面与既有防御的短板

论文关注的是基于分数的黑盒对抗攻击：攻击者只能拿到模型输出的概率向量，却可以反复查询，据此估计梯度并构造对抗样本，既不需要模型参数也不需要网络结构。作者指出，现有防御大多走随机化路线，对返回结果加入随机扰动。这类做法的问题在于，攻击者只要提高查询预算，或者对多次随机输出取平均，仍能还原出较稳定的梯度估计，防御效果随之被削弱。这一判断构成了论文提出新方法的出发点。

GCD 的做法与理论保证

GCD 是一个免重训、确定性的测试期封装，不改变模型权重，而是在推理阶段主动塑造返回给查询方的概率向量。其核心是求解一个以模型雅可比为基础的约束优化问题，把对外暴露的 logit 梯度对齐到一个目标混淆方向，该方向与真实的对抗损失梯度最大程度地错位。论文给出理论分析，称 GCD 可证明地拖慢基于梯度估计的攻击，并使基于随机搜索的攻击出现系统性的接受或拒绝错误；当被防御的查询占比提高时，混淆效应还会放大。由于是确定性结构，它不像随机化防御那样容易被针对随机性的自适应攻击绕过。

实验设置与结果

实验在 CIFAR-10 与 ImageNet 两个数据集上展开，覆盖 ResNet-18、ResNet-50、ViT-B/16 三种架构，并对照四种当前较强的攻击方法。论文称结果与理论预测一致：GCD 取得了当前最优的鲁棒性，同时干净样本上的准确率没有下降。作者据此认为，该方法适合安全要求较高的部署场景。论文提交于 2026 年 10 月 12 日，编号 arXiv:2610.17382，归类为 cs.LG，并交叉列出 cs.AI 与 cs.CR。

为什么值得看

免重训、零干净精度损失的推理期防御，直接关系已部署模型的对抗攻击防护成本。

论文

信源1 家

  1. [1]arXiv cs.AI一手信源Mitigating Black-Box Score-Based Query Attacks via Gradient Confusion

关键事实

  • 论文提出 Gradient Confusion Defense（GCD），一种免重训、确定性的测试期封装[1]

  • GCD 通过求解基于模型雅可比的约束优化问题，使暴露的 logit 梯度与真实对抗损失梯度最大程度错位[1]

  • 论文称 GCD 不牺牲预测效用与 top-1 准确率，实验显示零干净精度下降[1]

  • 实验覆盖 CIFAR-10 与 ImageNet，架构包括 ResNet-18、ResNet-50、ViT-B/16，对比四种攻击[1]

  • 论文称混淆效果随被防御查询比例上升而增强[1]

相关 · 论文

DreamX 将预训练视频扩散模型改造为通用潜在动作学习器

11月4日 周三·AI 78

arXiv 论文提出「认知共生体」概念，主张 AI 增强人的智能

11月4日 周三·AI 58

独立复现 DNO-Prct：Llama 3.1 8B 对 GPT-4o 胜率升…

11月4日 周三·AI 72

研究提出 PEARL 方法，用于持久抑制语言模型的不对齐行为

11月4日 周三·AI 78

本页内容由 AI 自动聚合公开信源生成，仅供了解行业动态参考，不构成任何投资或决策建议。如需引用请以原文出处为准。

去论坛讨论