ℓ1攻击在多大程度上需要集中式扰动？

arXiv:2610.27773v1 发布类型：new 摘要：全局 ℓ1 预算限制了对手可以对图像进行多大程度的修改，但并不限制这些修改如何分布。我们探究：当限制较大的坐标变化时，ℓ1攻击已观测到的成功率有多少能够保留。我们在预算中加入逐坐标上限，通过精确的循环内投影来施加联合约束，并在不改变目标函数的情况下，对 APGD-ℓ1、SLIDE 和 FMN-ℓ1 扫描该上限。在 18 种标准模型设置中，相对于各方法原生的无上限基线，上限不超过 32/255 时，攻击成功率的中位数仍保留 97%；与此同时，峰值幅度中位数下降 80%，有效支持规模的中位数接近扩大至原来的三倍。在实际达到的 ℓ1 范数相同的情况下，受上限约束的扰动在结构上仍具有明显差异；在 ImageNet 上的独立比较还表明，在选定的上限下，LPIPS 和 DISTS 更低。直接进行循环内约束优化，相较于事后裁剪，最多可多保留 88 个百分点的攻击成功率，凸显了约束施加的重要性。不过，合适的上限会因攻击方法和模型而异，对抗训练分类器表现出更加异质的集中敏感性。这些结果表明，扰动集中度是评估 ℓ1 攻击时一个与模型和攻击方法相关的补充维度。