本文研究面向目标检测器的延迟攻击:攻击者目标不是篡改预测结果,而是让系统无法按时响应,针对自动驾驶等实时应用场景。传统 "sponge" 类延迟攻击依赖检测器端 NMS(非极大值抑制)的计算量随候选框数量增长这一瓶颈。而现代检测器通过一对一标签分配或集合预测去除了 NMS(如 YOLOv10、YOLO26、RT-DETR),从架构上消除了该瓶颈。作者指出:"无 NMS" 并不等于 "延迟鲁棒"——架构变革并未消除攻击面,而是把攻击面下移到下游的多目标跟踪阶段,因为跟踪器的数据关联代价依然与输入内容相关。为此提出 TrackFlood:一种统一的白盒过载攻击,面向无 NMS 的 "先检测后跟踪" 流水线,同时覆盖一对一检测器与基于 query 的检测器。其思路是恢复可微的置信度张量,并优化扰动,使跟踪器被大量空间分散的幻影检测淹没,同时保持检测器自身推理基本不变,从而把延迟压力转嫁到关联环节。实验全部在 NVIDIA Jetson AGX Orin(TensorRT FP16)上完成:检测器延迟基本恒定,而跟踪器延迟显著升高。在标准不可感知扰动预算下,通用扰动已能造成明显可测的跟踪器过载,但端到端减速有限,关联主导型跟踪器尚未出现截止期错过;在更高预算的压力测试中则出现严重端到端减速和持续的截止期错过。作者还评估了一种轻量、与架构无关的有界准入层,通过限制跟踪器工作负载基本恢复端到端延迟,但代价是拒绝掉相当比例的干净检测结果。核心结论是:评估无 NMS 感知系统必须把下游跟踪和端到端时序纳入考量,而不能只看检测器推理延迟。