该论文聚焦推荐系统面临的一类重要安全威胁——刷榜/刷单攻击（shilling attack，即攻击者通过注入虚假用户档案来扭曲物品排名、操纵曝光度）。作者指出，现有刷榜攻击方法存在两个明显短板：一是往往需要针对特定目标物品进行微调，或依赖固定的用户档案模板，导致攻击难以迁移到不同受害系统；二是模式化程度高，容易被检测器识别。为克服上述局限，论文提出 Agentic Group Attack System（AGAS），一个协同式群体刷榜框架：由中央的 Coordinator（协调者）指挥一组具备角色切换能力的 worker agent，使其能够自适应地在不同“受害者家族/受害系统类型”上推广同一目标物品。Coordinator 会根据推广进展是否停滞、抑制信号（例如检测器或平台的打压反馈）是否增强，动态调整整体策略；而 worker agent 则围绕共同目标行动，并在“活跃/非活跃”角色之间切换，以避免产生重复、可被模式识别的行为痕迹（即降低行为同质性与时序规律性）。论文在统一的攻击预算与评测协议下，将 AGAS 与多个强基线方法进行比较，报告的结果显示：AGAS 在目标物品推广效果上持续优于基线，同时更好地保留了正常推荐质量（即对良性用户体验的破坏更小、隐蔽性更高），并削弱了代表性检测器的效果，效率也高于既有攻击。作者进一步强调，这类结果表明，防御推荐系统可能需要能够应对“自适应、协同化刷榜行动”的机制，而不仅是针对孤立虚假档案注入的传统检测思路。论文代码已公开在 GitHub 上。研究视角上，该工作属于推荐系统安全与多智能体/LLM Agent 交叉方向，核心贡献是提出自适应协同的群体攻击框架并给出统一预算下的系统性评测，适合推荐系统安全、风控反作弊、平台信任与安全以及 Agent 安全研究者阅读。

本文是团队"Go To Germany"参加ImageCLEF 2026深度伪造检测与生成任务的系统描述，并在官方任务之外额外开展了基于净化的对抗检测研究。在图像生成任务中，作者使用FLUX.1-dev与PuLID进行身份保持的人脸合成，并设计了一种针对12个检测器同时进行的多模型PGD对抗攻击，该攻击集成了DiffJPEG可微压缩环、MI/DI/EoT多种梯度优化策略、自适应权重以及两阶段热启动机制。该攻击使生成图像对组织方检测器逃脱率达90%，对参赛方检测器逃脱率57.6%，最终生成得分为0.4170。在图像检测任务中，作者组合了两种互补检测器：SigLIP+DINOv2用于识别AI生成图像，GenD-DINOv3用于识别人脸操作，通过最大概率集成，在基线深度伪造上达到99.4%的准确率，但在真实图像上产生较高的假阳性率，最终检测得分为0.6986。在官方提交之外，作者自主探索了基于净化的对抗检测方法，比较了三种检测信号家族，并基于共享CLIP ViT-L/14骨干的六个检测器进行了实验。结果表明，在采用中值滤波（median-3）净化后，通过EFFORT检测器使用的原始|Δlogit|（净化前后logit差异绝对值）能够在四种对抗源类型上将对抗输入与干净输入分离，AUROC达到0.81-0.98。这一发现反驳了简单的骨干保留假说（即净化会破坏对抗扰动，从而暴露对抗样本），并揭示了在JPEG质量因子Q70处存在一个尖锐的质量悬崖，当质量低于该阈值时，检测信号会突然崩溃。该研究为深度伪造检测与对抗鲁棒性提供了实证洞察。

本文研究了深度神经网络中对抗性噪声在不同层间的非均匀传播现象，并首次从理论上给出了形式化的对抗噪声放大定理。作者推导出一组充分条件，保证对抗噪声在特定层或特征空间中以可预测的方式放大，从而为对抗样本检测提供了坚实的数学基础。基于理论分析，他们提出了一种新的训练方法：通过设计定制的谱损失函数和特定的网络架构，强制模型在正常输入与对抗输入之间产生显著不同的噪声放大模式。该方法在训练阶段引入额外的正则化项，使模型对对抗扰动更敏感，同时保持对干净样本的识别能力。在推理阶段，他们开发了一种轻量级的检测机制，仅需一次前向传播即可利用放大的噪声信号判断输入是否对抗，无需额外计算或外部知识。通过在多个基准数据集和多种先进攻击（包括自适应攻击）上的实验，验证了检测器具有高检测率和低误报率，证明了增强的噪声放大可以作为一种鲁棒且可靠的防御信号。本文的主要贡献在于：1）从理论上证明了对抗噪声放大的存在条件；2）提出具体可行的训练与架构设计方法来增强该信号；3）实现了一种高效且仅在推理时运行的检测方法。适合从事深度学习安全、对抗防御研究的人员阅读。