NeurIPS 2025｜指哪打哪，可控对抗样本生成器来了！

主要观点总结

在NeurIPS会议上，清华大学和蚂蚁数科联合提出了一种名为Dual-Flow的新型对抗攻击生成框架。该框架能够学习“通用扰动规律”，对多种模型、多种类别发起黑盒攻击，并具备高可迁移性与高成功率。其核心思想是通过前向扰动建模和条件反向优化的双流结构实现对抗样本的生成。

关键观点总结

关键观点1: Dual-Flow框架的特点和优势

Dual-Flow是一个可从海量图像数据中学习“通用扰动规律”的系统，不依赖目标模型结构，可对多种模型、多种类别发起黑盒攻击。它通过前向扰动建模和条件反向优化的双流结构，实现对抗样本的高可迁移性与高成功率。

关键观点2: Dual-Flow的核心创新点

Dual-Flow并不在像素级别直接加噪声，而是先在flow或latent空间进行结构化扰动，再通过velocity function反向映射到图像空间，生成对抗样本。这种方法能生成更自然、更隐蔽、结构化的扰动，同时保持高迁移性。

关键观点3: Dual-Flow的实验结果

在ImageNet NeurIPS验证集上的实验表明，Dual-Flow在单目标和多目标攻击中都展现了强大的迁移能力。即使在黑盒环境下，Dual-Flow的攻击成功率也明显高于传统方法。此外，Dual-Flow还具备多目标、多模型、实例无关的攻击能力，一个生成器即可覆盖多个类别和模型，显著降低成本、提高实用性。