arXiv cs.AI· Rafael M. Mamede, Pedro C. Neto, Ana F. Sequeira·· 6 天前AI 评分24
什么决定了对抗样本在 Deepfake 检测器之间的迁移性？
What Makes Adversarial Examples Transfer Across Deepfake Detectors?
AI 导读
研究对 60 个 Deepfake 检测器开展受控评估，覆盖六种骨干网络、两种预训练方式和五种训练数据配置，采用 AutoAttack（AA）与 CW-EOT 两种攻击。
正文 · AI 翻译
摘要：Deepfake 检测器仍然容易受到基于迁移的黑盒攻击，在这种攻击中，对抗样本在源代理模型上生成，然后迁移到攻击者未知的目标模型。然而，源—目标兼容性如何影响攻击成功率仍鲜为人知。先前的研究评估的检测器池有限，且很少将架构因素与训练因素区分开来。我们对 60 个检测器的对抗迁移性进行了受控评估，这些检测器涵盖六种骨干网络、两种预训练机制和五种训练数据配置，并使用两种攻击方法：AutoAttack（AA）和带有变换期望的 Carlini--Wagner 攻击（CW--EOT）。匹配比较显示，当源和目标共享完全相同的骨干网络、架构家族、预训练机制或训练数据时，迁移性显著更高。这种兼容性结构依赖于攻击方式：在 AA 下，完全相同的骨干网络兼容性影响最大，而在 CW--EOT 下，共享预训练和训练数据的影响最大。当在非目标源上对迁移性取平均时，AA 下的平均攻击成功率（ASR）为 $7.21\%$，CW--EOT 下为 $19.52\%$。相比之下，结合两种攻击的多源 oracle 在排除完全相同的骨干网络和训练数据匹配后，达到了 \(64.48\%\) 的平均 ASR，这表明源平均可能大幅低估目标脆弱性。我们发布了 240,000 张对抗扰动图像、完整的成对迁移结果、检测器配置和评估代码。这些发现确立了源—目标兼容性和源模型选择，是可信的基于迁移的黑盒鲁棒性评估的核心维度。
| 学科： | 计算机视觉与模式识别（cs.CV）；人工智能（cs.AI）；密码学与安全（cs.CR）；机器学习（cs.LG） |
| 引用为： | arXiv:2609.10002 [cs.CV] |
| （或 arXiv:2609.10002v2 [cs.CV] 用于此版本） | |
| https://doi.org/10.48550/arXiv.2609.10002 由 DataCite 颁发的 arXiv DOI |
提交历史
来自：Rafael M. Mamede [查看电子邮件]
[v1]
2026年9月9日星期三 10:28:36 UTC（2,430 KB）
[v2]
2026年10月9日星期五 05:06:59 UTC（2,430 KB）
来源：arXiv cs.AI · arxiv.org