Pixel2Feature Attack（P2FA）：重新思考扰动空间以增强对抗迁移性

基于摘要分析。本文研究图像深度神经网络的对抗攻击迁移性，提出 Pixel2Feature Attack（P2FA）：将扰动操作从像素空间转移到特征空间，在特征重要性引导下多次扰动特征，再将扰动后的特征反演回像素，生成用于攻击黑盒模型的对抗样本。 作者提出的理论解释是：既有特征级攻击虽然在像素空间执行多次扰动，其攻击效果本质上仍等效于沿特征重要性方向进行一次特征空间扰动，因此未能高效地反复破坏模型间共享的关键特征。P2FA 的主要区别在于直接在特征空间实施多步扰动，而非仅以特征目标指导像素更新。该等效关系的假设、适用攻击范围、特征重要性的计算方式及反演过程尚需正文核对。 作者报告，实验显示 P2FA 的对抗迁移性优于所比较的 SOTA 攻击。但摘要未提供数据集、模型组合、扰动预算、攻击成功率或具体对照结果，尚不能量化优势，也不能确认不同方法的评估条件是否一致；实验协议、消融及统计信息尚未验证。 平台推测（待验证）：其潜在可迁移机制是通过破坏不同模型共享的特征来构造跨模型攻击，而不是新的 EEG 解码方法。若用于 EEG 鲁棒性评估，需要将图像像素反演改为受幅值、频谱及时间连续性约束的信号重建，并验证源模型与目标模型是否共享可攻击特征。低信噪比、跨被试差异、通道配置变化及小数据训练都可能削弱这种共享性，特征反演也可能产生不符合生理约束的信号。一个可检验的初步实验是在固定数据划分和等幅值扰动预算下，对比像素空间机制对应的输入信号迭代攻击与 P2FA 式特征多步攻击，考察其在未参与攻击生成的 EEG 解码模型上的攻击成功率及信号约束满足情况。上述迁移假设不构成已验证的 EEG/BCI 效果，已有 EEG 相关工作尚未检索确认。