深度伪造（deepfake）检测器普遍面临基于迁移的黑盒攻击威胁：攻击者在一个本地替代模型（source surrogate）上构造对抗样本，再直接投放到未知的目标检测器（target）上，从而在不接触目标模型的情况下实现绕过。然而，源模型与目标模型之间的“兼容性”如何决定迁移成功率，此前一直缺乏系统认识——已有研究往往只评测少量检测器，且很少把网络结构因素与训练因素（预训练方式、训练数据）分离开来。本文针对这一问题开展受控评测：作者构建了覆盖 60 个检测器、6 种骨干网络、2 种预训练范式、5 种训练数据配置的评测矩阵，并采用两种攻击流程——AutoAttack（AA）与带期望变换的 Carlini–Wagner 攻击（CW–EOT）——进行成对（pairwise）迁移测试。匹配对照结果显示，当源与目标共享完全相同的骨干、同一架构家族、同一预训练范式或同一训练数据时，迁移成功率显著更高；而且这种兼容性结构依赖于攻击方式：AA 下“骨干完全相同”的增益最大，CW–EOT 下“共享预训练”与“共享训练数据”的影响最大。在跨所有非目标源取平均时，AA 的平均攻击成功率（ASR）为 7.21%，CW–EOT 为 19.52%；但若使用一个同时整合两种攻击的多源 oracle，在排除骨干与训练数据完全匹配的组合后，平均 ASR 仍可达 64.48%。这说明仅按单一源模型平均得到的 ASR 会严重低估目标模型的真实脆弱性。作者同时公开了 24 万张对抗扰动图像、完整的成对迁移结果、各检测器配置以及评测代码，并据此提出：源—目标兼容性与源模型选择，应当成为基于迁移的黑盒鲁棒性评测中不可回避的核心维度。

该论文深入研究了深度神经网络（DNN）中对抗样本的可迁移性问题。传统的对抗样本攻击中，攻击者使用白盒替代模型生成对抗样本，这些样本能够欺骗其他不同架构的黑盒模型。尽管已有大量实证研究提供了生成高可迁移性对抗样本的指导，但许多发现缺乏理论解释，甚至给出矛盾的建议。本文聚焦于替代模型的特性，从“微鲁棒性”（little robustness）现象出发——即用轻微扰动对抗样本进行对抗训练的模型反而能作为更好的替代模型来发起迁移攻击。作者将此归因于模型平滑度（model smoothness）和梯度相似性（gradient similarity）之间的权衡，并强调两者对可迁移性的联合效应，而非单独影响。通过理论分析和实证研究，他们假设对抗训练中由离流形（off-manifold）样本引起的数据分布偏移是损害梯度相似性的原因。基于此，进一步探讨了常见数据增强和梯度正则化对可迁移性的影响，分析了不同训练方法中权衡的表现，构建了可迁移性调节机制的综合蓝图。最后，提出一种通用路线来构建优质替代模型以提升可迁移性，即同时优化模型平滑度和梯度相似性，例如结合输入梯度正则化和锐度感知最小化（SAM），并通过大量实验验证。总结来说，论文呼吁关注这两个因素对发起有效迁移攻击的联合影响，而非单独优化其中一个，并强调操纵替代模型的关键作用。适合从事对抗机器学习、模型鲁棒性研究的学者和工程师阅读。

本文系统研究了视觉语言模型（VLM）在自动驾驶场景中的对抗性迁移性。随着VLM在自动驾驶中的应用日益广泛，其结合视觉感知与语言推理的能力提升了可解释性，但物理世界对抗攻击的迁移性风险尚未被充分探索。本文针对三种代表性VLM架构（Dolphins、OmniDrive、LeapVAD），在十字路口和高速公路两种场景下，使用可物理实现的补丁攻击（放置于路边基础设施）进行跨架构迁移性评估。实验通过迁移矩阵评估，发现跨架构攻击具有高有效性：十字路口场景的迁移率为73-91%（平均0.815），高速公路场景为73-91%（平均0.833）。即使在补丁未针对目标模型优化的情况下，攻击在64.7-79.4%的关键决策窗口内仍能持续操控帧级输出。结果表明，攻击者无需知道目标车辆的具体模型，即可利用可迁移的物理补丁干扰VLM决策，对自动驾驶安全构成严重威胁。本研究首次量化了VLM在自动驾驶中的对抗迁移性，揭示了跨架构攻击的实际风险。