探索对抗图像的变换空间

基于摘要分析。该研究以图像分类模型的对抗鲁棒性为对象，探索传统 L^p 范数球之外的对抗样本，并考察攻击空间变化对攻击迁移性及再训练防御的影响。其贡献是从逐像素扰动转向颜色与仿射变换空间，检验仅围绕 L^p 约束进行评估能否充分反映模型鲁棒性。 方法上，作者先针对颜色变换提出两种基于梯度的攻击，再扩展到颜色与仿射变换的组合空间。由于作者认为 L^p 范数不适合衡量该空间中的图像质量，研究采用变换之间的相似性及 Structural Similarity Index 进行评价。具体变换参数化、优化目标、约束和两种攻击的差异尚未验证。 作者在 CIFAR10、SVHN、ImageNet 及相应模型上评估攻击，并通过再训练防御检验攻击强度。作者报告，相比 C&W 的 L^p 攻击，变换攻击能够生成高质量对抗图像，具有更高的攻击迁移性与误分类率，尤其是在高置信度条件下；作者还报告，这类攻击更难通过再训练防御。摘要未提供具体数值、模型配置、置信度定义或比较设置，因此这些结论仍需结合全文中的实验协议、消融及统计信息核对。这里的攻击迁移性指图像模型之间的迁移，不是 EEG 跨被试或跨数据集表现。 平台推测（待验证）：可借鉴的是“改变攻击空间以检验防御边界”的评估思路，而非直接将图像颜色或仿射变换用于 EEG。假设生理合理且保留任务标签的通道增益变化能暴露逐采样点扰动评估遗漏的脆弱性，可复用变换参数上的梯度搜索，需重新设计 EEG 变换约束与质量评价。低信噪比、被试差异、通道配置和小数据可能使变换改变真实任务信息。一个可检验的小实验是在固定 EEG 分类器与数据划分下，比较受限通道增益攻击和逐采样点扰动攻击，并核对信号质量及标签有效性；原论文结果不构成 BCI 有效性证据，已有 EEG 相关工作尚未检索确认。