该论文关注对抗样本的迁移性（transferability）问题，即在黑盒场景下，用替代（surrogate）模型生成的对抗扰动能否有效误导未见过的受害模型。作者指出，现有迁移攻击存在一个关键瓶颈：轨迹级的几何失配。基于环境空间（ambient space）计算得到的梯度往往会偏离数据本身所处的内在低维流形，使得优化过程被替代模型的特有特征带偏，产生替代模型过拟合，从而降低跨模型迁移成功率。为缓解这一问题，论文提出统一框架 MABT（Manifold Anchored Bilevel Transfer，流形锚定双层迁移）。其核心思路是把对抗轨迹锚定到多个模型共享的语义子空间上：首先引入一个松弛的流形锚定算子（relaxed manifold-anchoring operator），充当语义整流器，用于抑制偏离流形的噪声分量，使扰动在语义上更稳定、更可能被不同架构共同感知。在该约束下，作者把迁移攻击的生成过程形式化为一个分布级双层优化（distributional bilevel optimization）问题：内层求解给定初始化下的扰动，外层则在替代模型的不确定性分布下最小化期望迁移风险，从而学习到一个几何对齐的初始化点，而不是依赖单一替代模型的局部最优。为求解这种嵌套结构带来的计算开销，论文进一步设计了一种无需计算 Hessian 的求解器，复杂度为线性时间，使其在大规模模型上仍具可行性。实验方面，作者在 10 个基线攻击方法、28 种攻击配置上验证了该框架的通用性，并覆盖多种受害模型架构与多类防御机制，结果显示迁移性获得一致提升，表明流形几何约束与双层初始化学习可以与现有攻击方法解耦组合。整体而言，这是一篇偏向对抗机器学习与优化理论的论文，适合从事鲁棒性评估、红队测试、模型安全评测以及对抗训练的研究人员与安全工程师阅读。

该论文针对基于机器学习的 Windows 恶意软件检测器所面临的问题空间逃逸攻击（problem-space evasion）开展了统一、大规模的经验评估，目标是弥补当前研究中的碎片化问题。作者指出，尽管已有大量工作证明 ML 恶意软件检测器存在严重弱点，但既有评测在检测模型、数据集与攻击方法上彼此割裂，且往往忽视问题空间攻击的域约束——即生成的样本必须仍然可执行、且保留原有恶意功能，否则评测结果在真实环境中缺乏说服力。为此，论文在“保持可执行性”的条件下，对 9 种最先进的逃逸攻击与 8 个 Windows 恶意软件检测器（其中 7 个开源模型、1 个商业检测器）进行了横向对比，并从攻击有效性、攻击之间的互补性、跨模型可迁移性以及对抗加固（adversarial hardening）四个互补维度刻画鲁棒性。主要发现包括：第一，检测器的脆弱程度强烈依赖于模型的特征表示方式与攻击类型，使用原始字节（raw-byte）表示的检测器对多类问题空间操纵尤为敏感，但不存在在所有攻击下都稳健的检测器家族。第二，攻击有效性并不能仅由变换空间的大小解释：最强的攻击往往只使用更少种类的变换，把扰动集中在少数高影响的操纵上，却能取得显著更高的绕过成功率。第三，攻击之间存在高度互补性——仅用两种互补攻击即可覆盖其余所有被评估攻击所产生的约 99% 的对抗样本，说明少量高质量攻击即可代表整体威胁面。第四，可迁移性呈现出与直接攻击成功率不同的规律：直接成功率较低的攻击反而可能产生高度可迁移的逃逸样本，这对仅以白盒成功率衡量风险的评估方式提出质疑。第五，对抗加固的效果高度依赖具体攻击与模型，鲁棒性提升常常无法跨攻击迁移，甚至可能提高模型对未见攻击的敏感性。论文的贡献在于揭示当前恶意软件鲁棒性评测方法论上的局限，建立一个可复用的综合经验基线，并厘清有效性、可迁移性与防御鲁棒性之间的关系。

该论文研究的是深度神经网络在黑盒设定下的定向对抗攻击问题，属于对抗机器学习领域兼具理论难度与工程意义的课题。背景是：DNN 对微小扰动敏感，而攻击按信息可见性可分为白盒与黑盒；黑盒中又以 decision-based（仅返回 top-1 标签）的定向攻击最为困难——攻击者既看不到梯度与置信度，又必须让模型在扰动受约束的前提下预测一个事先指定的目标类别。作者指出现有方法的主要瓶颈出现在扰动精修之前的初始化阶段：必须先找到一个能够把样本推入目标类决策区域的可行方向，而这一步往往消耗掉绝大部分查询预算，导致在低查询预算下成功率极低。为此论文提出 GuidedRay，一种基于多样性引导方向发现的定向 decision-based 攻击框架。其设计建立在两个观察之上：其一，目标类别的参考样本能够提供以目标为条件的方向先验，使搜索不再是盲目的；其二，候选样本越多样，命中某个真正指向目标区域的方向的概率就越高，从而避免在单一方向上反复浪费查询。方法上，GuidedRay 从一个或多个目标类参考样本出发生成多个风格各异的候选样本，再用一次查询即可完成的 Fast Test 快速筛选这些候选所诱导的符号方向，筛掉明显不可行的候选；一旦确认存在可行方向，就用 Ray Search 沿着该方向不断缩减到决策边界的半径，从而在有限的扰动预算内完成定向攻击，同时把查询开销集中于最有希望的方向上。实验部分在 CIFAR-10、CIFAR-100 与 ImageNet 三个数据集上展开，在 500 到 5000 四个查询预算档位上与五种当前最优的 decision-based 攻击进行对比，GuidedRay 在所有档位均取得更好的表现，尤其在初始化阶段的方向发现效率上优势显著，说明查询预算越紧张收益越明显；此外，面对采用对抗训练或 TRADES 加固的模型，它在四个查询预算下同样取得最高的攻击成功率，表明该方向先验与多样性策略对鲁棒模型也能奏效。整体而言，论文的核心贡献在于把黑盒定向攻击的瓶颈从“扰动精修”重新定位到“方向发现”，并给出了一个查询高效的工程化方案，适合对抗鲁棒性研究者、模型安全评估与红队人员阅读。