本文提出了一种名为 Alchemy 的无数据对抗训练框架，旨在解决实际场景中模型鲁棒性提升面临的训练数据不可得问题。传统对抗训练方法通常依赖原始训练数据来生成对抗样本并增强模型鲁棒性，但随着开源模型平台和商业模型的普及，用户往往只能获得模型权重，而原始数据集因商业利益或隐私原因并未公开。在此背景下，现有对抗训练方法无法直接应用。Alchemy 是首个无数据对抗训练框架，它不需要原始训练数据，而是通过重构具有鲁棒特征的高质量训练数据，同时提升模型对不可访问原始数据集的对抗鲁棒性，兼顾准确率保持与鲁棒性提升。作者针对两个核心挑战展开：一是如何在无数据条件下生成能够反映原始数据分布的训练样本，二是如何利用这些合成样本有效提高模型在未知攻击下的鲁棒性。实验覆盖四个数据集，并与五种基线方法对比，结果表明 Alchemy 在多数攻击场景下能够显著提升平均鲁棒性，且性能优于现有方法。此外，作者还评估了框架在不同设置下的稳定性，并讨论了未来研究方向。该工作为模型发布者和使用者提供了一种无需数据即可增强模型安全性的新思路，特别适用于模型迁移、安全微调等场景。

该论文深入研究了深度神经网络（DNN）中对抗样本的可迁移性问题。传统的对抗样本攻击中，攻击者使用白盒替代模型生成对抗样本，这些样本能够欺骗其他不同架构的黑盒模型。尽管已有大量实证研究提供了生成高可迁移性对抗样本的指导，但许多发现缺乏理论解释，甚至给出矛盾的建议。本文聚焦于替代模型的特性，从“微鲁棒性”（little robustness）现象出发——即用轻微扰动对抗样本进行对抗训练的模型反而能作为更好的替代模型来发起迁移攻击。作者将此归因于模型平滑度（model smoothness）和梯度相似性（gradient similarity）之间的权衡，并强调两者对可迁移性的联合效应，而非单独影响。通过理论分析和实证研究，他们假设对抗训练中由离流形（off-manifold）样本引起的数据分布偏移是损害梯度相似性的原因。基于此，进一步探讨了常见数据增强和梯度正则化对可迁移性的影响，分析了不同训练方法中权衡的表现，构建了可迁移性调节机制的综合蓝图。最后，提出一种通用路线来构建优质替代模型以提升可迁移性，即同时优化模型平滑度和梯度相似性，例如结合输入梯度正则化和锐度感知最小化（SAM），并通过大量实验验证。总结来说，论文呼吁关注这两个因素对发起有效迁移攻击的联合影响，而非单独优化其中一个，并强调操纵替代模型的关键作用。适合从事对抗机器学习、模型鲁棒性研究的学者和工程师阅读。