计算机科学与探索

作者：郑德生, 田野, 柯武平, 李晓瑜, 殷浩, 王聪

单位：1. 西南石油大学 计算机与软件学院，成都 6105002. 喀什地区电子信息产业技术研究院，新疆 喀什 8440003. 电子科技大学 计算机科学与工程学院，成都 6117314. 电子科技大学 信息与软件工程学院，成都 6100545. 电子科技大学 物理学院，成都 6117316. 四川警察学院 智能警务四川省重点实验室，四川 泸州 646000

关键词：对抗样本,黑盒攻击,决策攻击,图像处理

基金：智能警务四川省重点实验室开放课题（ZNJW2023KFMS005）；公安部科技计划项目（2022JSM04）；新疆维吾尔自治区自然科学基金（2024D01A20）。

深度神经网络（DNN）很容易受到微小扰动生成的对抗样本的攻击，它对基于DNN的应用构成极大威胁。基于决策的攻击是一类仅依赖目标模型预测硬标签的黑盒攻击。目前基于决策的攻击方法通常采用梯度估计在目标模型决策边界附近发动攻击，但需要高昂的查询代价。因此，该研究提出一种基于球几何性质的黑盒攻击方法，称为球攻击（SBA）。它利用球的空间几何性质寻找最优对抗样本点，避免了梯度估计，实现了高攻击成功率和低质量损失的对抗样本。通过添加随机大噪声和线性查找得到初始对抗样本。利用离散余弦变换将输入样本和对抗样本变换到频率空间并利用几何位置关系采样三维子空间。将频率空间决策边界近似为超平面并利用球的几何性质迭代更新频率空间内更优的对抗样本，重复此步骤不断更新。利用逆离散余弦变换将其变换回输入空间最终得到最佳对抗样本。在ImageNet数据集上的实验结果表明，SBA的攻击成功率取得了较优效果，并且PSNR和SSIM结果表明，SBA生成的图像质量更佳。

来源：2025年第8期

《计算机科学与探索》期刊编辑部

查看计算机科学与探索杂志2025年第8期