Sparse-RS：稀疏黑盒对抗攻击的高效随机搜索方法

1. Sparse-RS：稀疏黑盒对抗攻击的随机搜索框架解析

在深度学习安全领域，对抗攻击一直是个备受关注的话题。最近读到Francesco Croce等研究者提出的Sparse-RS框架，让我眼前一亮——这个基于随机搜索的方法在稀疏黑盒攻击场景下展现出了惊人的效果。作为长期关注模型安全的从业者，我认为这项工作为解决实际场景中的对抗攻击问题提供了新的思路。

1.1 核心创新与贡献

Sparse-RS的核心价值在于它解决了传统对抗攻击方法的几个关键痛点：

首先，它完全摆脱了对替代模型的依赖。在实际攻防场景中，获取与目标模型相似的替代模型往往不现实。Sparse-RS直接在黑盒环境下工作，仅需模型预测分数，这大大提升了方法的实用性。

其次，该方法在多种稀疏攻击模型上都表现出色：

• l0有界扰动（限制修改的像素数量）
• 对抗性补丁（局部区域的大幅度修改）
• 对抗性帧（图像边缘的特定模式扰动）

特别值得注意的是，在ImageNet这样的大规模数据集上，非目标攻击版本的Sparse-RS仅需平均171次查询就能达到100%的攻击成功率（VGG-16-BN模型，k=150时），中位数查询次数更是低至25次。这种查询效率对于实际应用至关重要。

2. 技术实现深度解析

2.1 算法框架设计

Sparse-RS的核心算法相当简洁（见算法1），但其中蕴含着几个关键设计点：

1. 双阶段更新机制：

   • 位置更新（M'的生成）：决定哪些像素/区域将被修改
   • 值更新（Δ'的生成）：决定这些位置将被修改为何种值

2. 渐进式精细化策略：

   • 初始阶段采用较大的修改步长（α_init较大）进行广泛探索
   • 随着迭代进行，逐步缩小修改范围，实现局部精细化

3. 完全利用扰动预算：

   • 在允许的修改范围内最大化扰动强度
   • 这与传统方法追求"最小扰动"形成对比，带来更高的攻击效率

python复制# 算法1的简化实现（非完整代码）
def sparse_rs_attack(model, x_orig, max_queries, k):
    M = random_select_pixels(x_orig, k)  # 初始扰动位置
    delta = random_