是什么使对抗样本能够跨深度伪造检测器迁移？

arXiv:2609.10002v2 公告类型：替换并交叉收录 摘要：深度伪造检测器仍然容易受到基于迁移的黑盒攻击。在此类攻击中，对抗样本在源替代模型上生成，并迁移至攻击者未知的目标模型。然而，源模型与目标模型之间的兼容性如何影响攻击成功率，目前仍缺乏深入理解。既有研究评估的检测器范围有限，且很少区分架构因素与训练因素的影响。我们对涵盖六种骨干网络、两种预训练方案和五种训练数据配置的60个检测器开展了对抗迁移性的受控评估，使用两种攻击方法：AutoAttack（AA）以及结合变换期望的 Carlini--Wagner 攻击（CW--EOT）。匹配比较表明，当源模型与目标模型具有完全相同的骨干网络、相同的架构家族、预训练方案或训练数据时，迁移性显著提高。这种兼容性结构取决于攻击方法：在 AA 下，骨干网络完全一致的影响最大；而在 CW--EOT 下，共享预训练方案和训练数据的影响最大。对非目标源模型的迁移结果取平均时，AA 下的平均攻击成功率（ASR）为 $7.21\%$，CW--EOT 下为 $19.52\%$。相比之下，在排除骨干网络完全一致和训练数据匹配的情况后，结合两种攻击的多源预言机仍达到 \(64.48\%\) 的平均 ASR，表明对源模型取平均可能会大幅低估目标模型的脆弱性。我们公开了240,000张经对抗扰动的图像、完整的两两迁移结果、检测器配置和评估代码。这些发现确立了源模型与目标模型的兼容性以及源模型选择在可信的基于迁移的黑盒鲁棒性评估中的核心地位。