本文提出了一种名为BAAA（Budget-Aware Adaptive Adversarial Patches）的新型黑盒对抗性补丁攻击方法，针对现代目标检测器（如YOLOv5、Faster R-CNN、YOLOS）。现有对抗性补丁攻击存在三个主要不足：1）在严格查询预算下，联合优化补丁位置、纹理和大小的基于评分的黑盒攻击较少；2）攻击成功与否很少与补丁的视觉占用面积（footprint）关联；3）评估常混淆EOT（期望变换）鲁棒性与纯图像抑制。BAAA结合了上下文Thompson采样定位器（Contextual Thompson-Sampling placer）和NES风格像素更新，并自适应地扩大补丁大小（仅在优化停滞时增长）。评估采用严格的纯图像抑制测试，EOT仅用于审计而非成功标准，并引入可选的外观/可打印性权重以揭示强度-可见性权衡。实验表明，BAAA在CNN-based检测器上实现强抑制，在transformer-based检测器上实现显著抑制，且相比固定尺寸和启发式基线，清晰展示了查询-占用面积权衡。物理打印-拍摄实验进一步验证了跨未见物理对象和视角的迁移性。本文适合AI安全研究者、对抗性攻击防御者及目标检测系统开发者阅读。

本文研究目标检测模型中的后门攻击防御问题。后门攻击会向深度模型中植入恶意行为，同时保持其在干净数据上的性能，对安全关键的视觉系统构成严重威胁。虽然图像分类领域的后门防御已有广泛研究，但目标检测的防御方法相对不成熟。对抗微调是分类任务中常用的后门缓解方法，但直接迁移到目标检测面临挑战：分类导向的对抗生成与检测攻击空间不匹配（攻击可能导致目标误分类或消失），且标准检测损失会在众多预测中稀释修复信号。本文提出了一种检测感知的对抗微调框架，在防御者仅能访问受损检测器和少量干净数据集、且未知攻击目标的情况下缓解目标检测后门。首先，为了在不需攻击目标知识的情况下生成对抗样本，引入了软分支最小化（soft-branch minimisation），使用软门控组合针对误分类和消失攻击的目标，并结合检测感知的分类损失最大化。其次，针对定向修复，提出了一种对目标匹配预测应用的双目标微调损失，将防御更新集中在与后门行为最相关的预测上。在基于CNN和Transformer的检测器上的实验表明，与分类导向的基线方法相比，该方法在更有效降低攻击成功率的同时保持真实检测性能，并维持了有竞争力的干净检测性能。

本文提出一种对抗性补丁攻击的防御方法，核心思想是“以火攻火”，即通过向模型输入注入特制的防御性补丁来主动探测或抵消潜在的攻击补丁。作者设计了两种防御补丁：canary（金丝雀）和woodpecker（啄木鸟）。Canary补丁用于探测输入中是否存在攻击补丁，通过分析模型输出中与canary对应的检测结果是否异常来判断是否遭受攻击；Woodpecker补丁则直接抵消攻击补丁的效果，通过将其放置在可能受攻击的区域来扰乱攻击者的对抗性扰动。方法的关键在于：无需修改目标模型，仅通过预处理输入和后处理输出即可实现防御，因此易于部署且不影响模型效率。针对防御感知的适应性攻击，作者采用随机化的补丁注入模式，每次推理时随机选择补丁的位置和数量，使攻击者难以绕过。实验在多个目标检测模型和攻击方法上进行，结果表明该方法能有效检测和防御多种未知攻击，且引入的时间开销有限。即使在自适应攻击（攻击者知晓防御策略并针对性优化攻击）下，该方法仍表现出足够的鲁棒性。本文的主要贡献包括：提出了一种新颖的对抗式防御框架，设计了两种互补的防御补丁，以及通过随机化提升对适应性攻击的抵抗力。该工作适用于目标检测场景的安全加固，尤其适合需要平衡防护效果与部署成本的工业界应用。