Pixel2Feature Attack（P2FA）：重新思考扰动空间以增强对抗迁移性

基于摘要分析。本文研究图像 DNN 中特征级对抗攻击的跨模型迁移问题，提出 Pixel2Feature Attack（P2FA）：将主要扰动过程从像素空间移至特征空间，通过多步扰动关键特征，再将扰动后的特征反演为像素，生成用于攻击黑盒模型的对抗样本。这里的“迁移性”指对抗样本跨模型攻击的有效性，并非域适应或跨被试泛化。 作者提出的理论解释是：既有特征级攻击虽然在像素空间执行多次扰动，其攻击效果在特征空间中本质上等效于沿特征重要性方向进行一次扰动，因此未能高效利用多步更新破坏共享特征。P2FA 据此直接在特征空间中，以特征重要性为引导执行多步扰动，再通过反演得到像素输入。上述等效结论的适用假设、特征重要性的计算方式、反演目标及扰动约束尚未验证。 作者报告，实验显示 P2FA 的对抗迁移性优于所比较的 SOTA 攻击，但摘要未提供数据集、源模型与目标模型、攻击预算、评价指标或具体数值，因而无法判断优势大小及适用边界。实验协议、消融及统计信息尚未验证，尤其需核对反演后的样本是否满足一致的输入扰动约束，以及性能增益与额外计算成本的关系。 平台推测（待验证）：其可供 EEG 鲁棒性研究借鉴的是“在共享表征中多步构造扰动，再映射回输入”的机制，而非已证实的 BCI 攻击效果。迁移需要可访问的源模型中间特征，以及适合多通道时序信号的输入重建与约束模块；EEG 的低信噪比、被试差异、通道配置差异和小数据条件可能削弱共享特征假设，反演也可能产生不符合生理或采集约束的波形。可在固定 EEG 任务与数据划分下，以相同输入扰动预算比较像素空间攻击对应的输入空间迭代、多步特征扰动和单步特征扰动，检验跨模型攻击效果及计算开销。相关 EEG 工作尚未检索确认。