本文关注深度视觉模型在对抗性扰动下的脆弱性问题。基于卷积网络或 Transformer 的神经网络已成为现代计算机视觉系统的核心组件，但已有研究表明，人眼几乎不可察觉的微小扰动即可显著改变模型预测结果，这对自动驾驶、医疗影像、工业质检等安全关键场景的落地构成实质性威胁。现有攻击方法大多假设白盒威胁模型，即攻击者能够完整访问目标模型的参数与梯度，这一前提在真实环境中往往不成立，导致其实际风险被高估、可操作性被夸大。作者提出在更贴近现实的 black-box 威胁模型下工作的新方法 RIBA（Reinforcement Learning Inspired Black-box Adversarial Attack），核心思路是把扰动优化问题建模为在不可微目标模型上的黑盒优化，并借用强化学习中已被充分优化的查询效率机制（依据模型反馈信号迭代地调整搜索策略）来驱动扰动生成，从而在只能通过有限次查询获得模型输出的条件下完成攻击。作者在 Cifar10 与 ImageNet 数据集上，针对多种目标模型与当前先进攻击方法进行了对比实验。结果显示：在 Cifar10 上攻击 ResNet-18 时，RIBA 生成对抗样本所需查询次数的中位数比基线方法减少 25.4%；在 ImageNet 上欺骗 ViT-B/16 模型时，中位查询次数减少 22.5%。此外，在经对抗训练加固的模型上，RIBA 的表现可与白盒攻击相当。该工作说明黑盒场景下攻击的查询成本正在快速下降，也提示仅依赖对抗训练并不足以抵御具备查询能力的自适应对手。适合对抗机器学习、模型安全评估与视觉系统鲁棒性方向的研究者与工程人员阅读。

本文针对联邦学习（Federated Learning, FL）系统在计算机视觉任务中面临的数据投毒攻击威胁，提出了一种名为 STAR-FL 的新型防御框架。研究指出，现有防御技术仍面临两大关键挑战：一是难以准确区分良性模型更新与恶意模型更新，二是在模型聚合阶段难以有效削弱投毒更新的影响。STAR-FL 框架包含两个核心组件：首先，利用时空聚类（spatial-temporal clustering）技术对客户端上传的模型更新进行分组与分析，从而识别并移除潜在的恶意更新；其次，在聚合过程中动态调整学习率，以减轻那些逃逸检测的恶意更新对全局模型的影响。作者在多个基准数据集上进行了大量实验，评估了时空分析与鲁棒聚合各自的贡献及其协同效应。实验结果表明，STAR-FL 能够有效保护联邦学习系统，并在抵抗定向投毒攻击方面持续优于现有的最先进防御方法，显著降低了攻击成功率（ASR）。论文还公开了源代码仓库（https://github.com/mlsysx/STAR-FL），便于研究者复现和进一步改进。该研究主要面向联邦学习安全、对抗性机器学习和鲁棒聚合领域的研究人员与安全工程师，为其提供了可落地的防御思路与实验基线。

本文是一篇系统化知识综述（SoK），旨在系统评估合成图像能否替代真实图像数据在机器学习中的应用，重点分析了合成图像的效用（utility）与隐私保护（privacy）之间的权衡。研究首先梳理了当前主流的合成图像生成方法，包括生成对抗网络（GANs）、变分自编码器（VAEs）、扩散模型（Diffusion Models）等，并比较了它们在保真度、多样性和可控性方面的差异。随后，论文提出了一个统一的评估框架，从下游任务性能（如图像分类、分割、检测）、数据多样性与分布覆盖、以及隐私泄露风险（如成员推断攻击、属性推断攻击、模型逆向攻击）三个维度对合成图像进行量化测评。通过对大量已有实证研究的元分析，作者发现：合成图像在多数标准化基准任务上可以接近甚至达到真实图像的性能，但在分布外泛化、细粒度识别和长尾类别上仍存在明显差距；隐私方面，即使采用差分隐私训练，合成图像仍可能泄露训练数据的敏感特征。论文还讨论了身份保护、数据去标识化、以及用于联邦学习的合成数据等前沿场景。最终结论是：合成图像在低隐私风险场景下可作为真实数据的可行替代，但在高安全性要求或边缘分布任务中仍需谨慎使用。本文为安全从业者提供了关于合成数据风险收益的全面参考。

本文提出并评估了一个用于过肩视频监控（Over-the-Shoulder Video Surveillance）的多模态触摸检测框架，旨在从物理手指交互中重建移动键盘上的按键事件。该框架并行集成四种检测模态：MediaPipe 手部关键点、HSV肤色滤波、时间帧差运动检测以及基于形状的Canny边缘分析。在受控的120帧第一人称演示视频（包含密码输入）上，单独的Motion-Only和Edge-Only配置分别达到18.5%和18.2%的F1分数，而完整的多模态配置F1分数仅为16.7%，按键序列与真实iOS密码布局的相似度仅为3.0%。消融实验、分辨率衰减、噪声敏感性和邻近阈值调优表征了系统的操作边界。在5段真实公开的第三人称手机视频上评估时，系统每帧平均检测出57个触摸点（峰值205），比真实点击速率高1~3个数量级，原因是肤色滤波器响应整只手而非指尖接触。结论指出：在受控校准场景下获得的按键重建结果无法推广到非受控真实视频，系统无法实现可靠的按键重建。

本文研究了在全同态加密（FHE）框架下实现隐私保护的计算机视觉推理任务。由于法律限制（如医疗或财务数据），组织无法直接向第三方云ML服务共享敏感数据，这阻碍了云ML服务的应用。作者利用全同态加密技术，允许在加密数据上直接进行加法和乘法运算，从而在不暴露原始数据的情况下执行推理。作者修改了传统卷积神经网络（CNN）的结构，使其与加密方案兼容，并使用Microsoft SEAL库实现同态加密。实验在多个数据集上进行，包括MNIST、Kuzushiji MNIST、Fashion-MNIST和CIFAR-10。结果表明，加密CNN的分类精度与未加密基线相比仅有极小下降，同时推理性能损失较低。此外，作者还在TenSEAL库基础上增加了对复杂操作的支持，如处理彩色图像（多通道输入）、应用多个卷积层和实现平均池化。主要贡献包括：验证了FHE在CNN分类中的可行性，扩展了加密CNN对复杂数据集和操作的支持，并提供了与基线精度相当的实验结果。适合对隐私保护机器学习、同态加密应用和计算机视觉交叉领域感兴趣的研究人员阅读。

本文提出了一种针对扩散模型（Diffusion Models, DMs）的高效后门攻击框架 TooBad。现有的后门攻击方法在攻击性能、隐蔽性、时间复杂度和所需毒化率之间存在严重权衡：高攻击性能通常需要高毒化率和长时间训练，导致隐蔽性下降，易被防御机制检测。TooBad 的核心创新在于设计了一种专门针对扩散模型的触发优化技术，通过优化触发模式来最大化后门注入效率。实验在 CIFAR-10 等代表性基准上进行：仅需 0.5% 的毒化率即可达到超过 85% 的攻击成功率（ASR），而先前工作在相同数据集上通常需要 10% 的毒化率；当毒化率提升至 5% 时，TooBad 仅需 3-5 个后门注入周期即可实现接近 100% 的 ASR，相比现有方法（需要 30-50 周期及两倍毒化率）效率提升显著。此外，TooBad 能够轻松规避当前最先进的后门防御机制，同时保持模型在正常任务上的高实用性。该工作揭示了扩散模型面临的新型隐蔽威胁，强调需要开发更鲁棒的防御策略。

该论文聚焦于深度伪造图像检测器在对抗攻击下的鲁棒性问题。尽管近年来提升检测器对未见生成模型泛化能力的研究取得进展，但检测器仍易受对抗样本攻击。作者复现了Abdullah等人（IEEE SP 2024）对八种检测器的评估，并额外测试了七种最先进检测器，均发现攻击下性能显著下降。为此，论文提出一个不依赖对抗训练的统一框架，融合三种互补设计：1）基于离散余弦变换（DCT）的四阶矩池化，在频域建立高阶统计建模；2）从噪声残差中提取内容无关特征；3）通过分块语义破坏实现跨场景泛化。核心洞察是对抗攻击主要利用低阶统计和视觉语义，而高阶残差-频率特征（尤其是峰度）几乎不受约束。大量实验表明，该方法在六种不同架构的检测器上持续提升鲁棒性，在现有对抗基准测试中将召回率退化降低最多88.9%，并将最佳检测器（Yang等人，IEEE CVPR 2025）的攻击下准确率从81.9%提升至97.15%。该工作为提升深度伪造检测对抗鲁棒性提供了通用的、架构无关的解决思路。

该论文提出了一种名为“Poltergeist”的新型声学对抗机器学习攻击，针对配备图像稳定器的摄像头和计算机视觉系统。研究背景是自动驾驶车辆依赖基于计算机视觉的目标检测系统来感知环境并做出驾驶决策，而图像稳定器（通常包含惯性传感器）被用于减少摄像头抖动导致的图像模糊。然而，论文发现了一个系统级漏洞：攻击者通过发射精心设计的声学信号，可以操控惯性传感器的输出，触发不必要的运动补偿，即使摄像头本身稳定，也会产生模糊图像。这些模糊图像进而导致目标检测算法（如YOLO V3/V4/V5、Fast R-CNN以及百度Apollo）产生误分类，影响安全关键决策。论文建模了这种声学操控的可行性，并设计了攻击框架，能够实现三类攻击：隐藏对象（使检测器忽略真实物体）、创建对象（让检测器误认为存在虚假物体）以及改变对象（将物体误分类为其他类别）。实验评估证明了攻击的有效性。论文进一步提出了“AMpLe攻击”的概念，即一类新的系统级安全漏洞，源于对抗性机器学习与物理注入信息承载信号到硬件的结合。该研究揭示了硬件与软件交叉领域的新攻击面，对自动驾驶、安防监控等依赖视觉感知的系统的安全性提出了警示。

近年来，计算机视觉领域取得了显著进展，尤其是卷积神经网络（CNN）、生成对抗网络（GAN）、扩散模型、视觉变换器（ViT）以及视觉-语言模型（VLM）等架构的发展，使得生成的视觉内容越来越逼真。然而，这些进步也带来了潜在的滥用风险，例如虚假信息、身份盗窃以及隐私和安全威胁。与此同时，基于Mamba的架构作为一种新兴工具，已在图像分类、分割、医学成像、目标检测和图像恢复等多种任务中展现出潜力，但在AI生成图像检测方面的应用尚未被充分探索。本研究对Vision Mamba模型在AI生成图像检测中的性能进行了系统评估和比较分析。我们在多个数据集和合成图像源上，将多种Vision Mamba变体与代表性的CNN、ViT和VLM检测器进行基准测试，重点关注准确性、效率以及跨不同图像类型和生成模型的泛化能力。通过全面分析，我们旨在阐明Vision Mamba相对于现有方法在适用性、准确性和效率方面的优势与局限性。总体而言，我们的研究结果揭示了Vision Mamba作为区分真实与AI生成视觉内容的系统组成部分的潜力与当前局限。这项研究对于在区分真实与AI生成内容成为重大挑战的时代提升检测能力至关重要。