该论文研究商用黑盒语音平台（包括云语音 API 和语音控制设备）上的对抗性攻击。现有黑盒攻击通常依赖模型返回的概率分数或置信度信息来生成对抗样本，但服务提供商可以通过不返回这些信息来防御。作者提出两种更贴近实际且条件更严格的攻击方法。针对云语音 API，提出 Occam，一种仅依赖最终决策（decision-only）的黑盒攻击。Occam 将对抗样本生成建模为不连续的大规模全局优化问题，并自适应地将其分解为多个子问题协同优化。实验表明，Occam 在 Google、Alibaba、Microsoft、Tencent、iFlytek、Jingdong 等广泛使用的语音和说话人识别 API 上达到 100% 的攻击成功率（SRoA），平均信噪比（SNR）为 14.23 dB，优于现有最优黑盒攻击。针对语音控制设备，提出 NI-Occam，这是首个非交互式物理对抗攻击，攻击者无需查询目标设备，也无需获取其内部信息或训练数据。作者首次将对抗攻击与模型反演攻击相结合，生成具有高迁移性的物理有效音频对抗样本，实现对目标设备的零交互攻击。实验显示，NI-Occam 能成功欺骗 Apple Siri、Microsoft Cortana、Google Assistant、iFlytek 和 Amazon Echo，平均 SRoA 为 52%，SNR 为 9.65 dB，揭示了对语音控制设备进行非交互式物理攻击的可行性。核心贡献在于降低了攻击所需的先验知识，扩展了对抗攻击的适用场景，同时提醒防御者仅隐藏概率分数不足以抵御攻击。适合关注语音安全、对抗机器学习、物理世界攻击的研究人员阅读。

本文提出一种新型物理对抗性样本生成技术——短时对抗性扰动（SLAP）。传统静态对抗性补丁存在明显、半永久、无法修改等缺点，而SLAP利用投影仪将精心设计的对抗性扰动实时投射到真实物体上，使其转化为对抗性样本。攻击者可以动态开关或修改投影，且不受空间限制，更难被察觉。作者以自动驾驶场景为测试对象，针对车辆检测器和交通标志识别系统（特别是停止标志检测）进行实验。在多种环境光照条件（包括室外）下，SLAP在非明亮环境中表现出极高鲁棒性，对最先进的神经网络（如YOLOv2）在多种角度和距离下实现高达99%的误分类成功率。此外，SLAP生成的对抗性样本不会表现出传统对抗性补丁的可检测特征，从而绕过了SentiNet等物理对抗性检测方法。作者还评估了包括对抗性训练在内的自适应防御措施，即使在有利的攻击条件下，对抗性训练也能将攻击成功率降低80%。该研究揭示了物理对抗性攻击的新途径，对自动驾驶安全具有重要意义。