问题空间中对抗机器学习攻击的若干特性［扩展版］

基于摘要分析。本文研究软件等领域的对抗机器学习规避攻击：攻击者需要修改真实对象，而非仅在特征向量上施加扰动，且特征空间与真实对象之间不存在清晰的逆映射。主要贡献是建立问题空间攻击的通用形式化框架，并以 Android 恶意软件攻击及对抗训练评估检验其实用意义。 在机制上，框架涵盖可用变换、语义保持、无额外伪迹及合理性等约束，并引入 side-effect features（副作用特征），描述逆特征映射过程中伴随产生的特征变化。作者称据此定义并证明了问题空间攻击存在的充要条件；具体假设、定理适用范围与证明细节尚需全文核对。 在实验上，作者报告在包含来自 2016 年和 2018 年的 150K 个 Android 应用的数据集上，验证了所提攻击规避恶意软件分类器及其强化版本的可行性。作者还评估了不同场景下对抗训练的鲁棒性效果，但摘要未给出对应指标。作者报告可自动批量生成数千个真实且不显眼的对抗应用，平均生成一个样本仅需几分钟，并据此认为“对抗恶意软件即服务”构成现实威胁。数据划分、分类器配置、攻击成功率、计时环境、消融及统计信息尚未验证。 平台推测（待验证）：若研究 EEG 对抗鲁棒性，其可借鉴之处是区分特征扰动与可实现的信号变换，并核对后者产生的副作用特征，而非直接复用 Android 攻击方法。该假设依赖明确的信号生成或采集约束、特征提取流程及任务标签；软件语义约束需改为生理合理性与任务语义约束。低信噪比、通道差异和跨被试变异可能使攻击效应与自然波动混淆，小样本也可能限制鲁棒性估计。可在固定 EEG 分类协议下，小规模比较特征空间扰动与受约束信号扰动的可实现性及分类影响，检验两者是否存在系统性差距。已有 EEG 相关工作尚未检索确认，本文本身不提供 BCI 有效性证据。