DifAttack：通过解耦特征空间实现查询高效的黑盒攻击

基于摘要分析。本文研究图像领域基于分数反馈的黑盒对抗攻击，提出 DifAttack，将图像潜在特征拆分为对抗特征与视觉特征，仅优化前者，以提高攻击成功率（ASR）和查询效率。 核心机制是利用干净图像与对抗样本（AEs）的配对数据训练自编码器，实现特征解耦；训练所需 AEs 由可用替代模型上的白盒攻击生成。作者将对抗特征描述为主要决定攻击能力的部分，将视觉特征描述为主要决定图像外观的部分。攻击受害模型时，DifAttack 根据查询反馈迭代优化对抗特征，同时保持视觉特征不变，而非在整个特征空间中搜索。摘要未给出具体解耦损失、网络结构及优化细节。 作者报告，该方法在实验中同时改善 ASR 与查询效率，尤其是在目标攻击和 open-set 场景下；这里的 open-set 指受害模型训练数据集未知。作者将这一优势关联于黑盒攻击优化阶段不使用替代模型梯度，但这不意味着方法的训练阶段不依赖替代模型。具体数据集、受害模型、查询预算、扰动约束、对照基线及数值结果尚未验证，实验协议、消融及统计信息也尚未验证。摘要提供了代码仓库，代码可运行性与复现配置尚未核对。 平台推测（待验证）：其“固定任务无关属性、仅搜索攻击相关潜变量”的机制可作为 EEG 分类器黑盒鲁棒性评估的研究假设，而非已证实的 BCI 方法。可复用潜变量解耦与查询反馈优化思路，但需将图像视觉约束改造为 EEG 时频结构及信号合理性约束，并构造干净 EEG 与对抗样本配对数据。低信噪比、跨被试差异、通道变化及小样本可能使解耦不稳定。可在固定被试内划分、相同扰动约束和查询预算下，对比全潜空间搜索与解耦搜索的 ASR、查询次数及信号失真，检验收益是否来自解耦。已有 EEG 相关工作尚未检索确认。