该论文研究人脸识别模型在"语义对抗编辑"下的脆弱性问题。背景是:人脸识别已被广泛嵌入日常身份认证与视频监控系统,而近期工作发现,对输入图像做对抗性但语义层面看似合理的修改(例如轻微改变年龄外观、调整头部姿态),就能诱导模型产生误分类。这类语义攻击比传统的像素级噪声扰动更贴近真实威胁场景(因为修改后的图像仍看起来像同一个人),但现有攻击方法计算开销很大,导致研究者难以用它们进行对抗训练等防御研发。为填补这一空白,作者提出 BoundStyle:一种在 StyleGAN 丰富潜空间中运行的强语义攻击,以最大化误分类率为目标进行搜索。BoundStyle 在保持高攻击成功率的同时,比现有最先进攻击快约 9.5 倍,使对抗训练在算力上变得可行。在 BoundStyle 基础上,作者进一步提出 StyleAT——一种高效的对抗训练方案:训练阶段只使用"低预算"(即低成本、较弱)的攻击变体,但训练出的模型仍能抵御更强、且训练时未曾见过的语义攻击。实验方面,作者在训练阶段未接触过的两个数据集和七个模型上进行评测,结果显示 StyleAT 提升了对最先进语义攻击的鲁棒准确率,并在多种设置下优于常见防御方法。该工作属于对抗鲁棒性与生物特征安全交叉方向,适合人脸识别、对抗样本防御、身份认证系统的研究者与安全工程师阅读。

本文提出 MIRAGE 框架，用于系统性地发现针对自动驾驶在线高清地图构建的语义攻击。自动驾驶车辆依赖高清地图感知车道线、分隔带、人行横道等安全关键元素，现有像素扰动攻击易被标准对抗防御（如对抗训练）中和。MIRAGE 利用扩散模型学习到的真实数据潜流形，搜索与真实场景具有相同道路拓扑但能误导地图预测的语义突变场景，例如阴影、湿滑路面等合法环境变化。在 nuScenes 数据集上评估了两种攻击：边界移除攻击抑制 57.7% 的检测结果，导致 96% 的规划轨迹被破坏；边界注入攻击是唯一能成功注入虚拟边界的方法，而像素级 PGD 和 AdvPatch 完全失败。两种攻击在多种对抗防御下仍保持有效性。通过两个独立 VLM 评判员量化真实感，MIRAGE 生成场景有 80–84% 的概率被认为真实（干净 nuScenes 为 97–99%，AdvPatch 仅 0–9%）。实验表明，语义级扰动作为合法的环境变化，比像素级扰动更难防御，揭示了当前对抗防御的类别性缺陷。