基于GAN的无数据黑盒对抗攻击方法

来源：计算机工程与应用杂志2025年第7期北京时间：

作者：赵恩浩, 凌捷

单位：广东工业大学 计算机学院，广州 510006

摘要：对抗样本能够使深度神经网络以高置信度输出错误的结果。在黑盒攻击中，现有的替代模型训练方法需要目标模型全部或部分训练数据才能取得较好的攻击效果，但实际应用中目标模型的训练数据难以获取。因此，提出一种基于GAN的无数据黑盒对抗攻击方法。无需目标模型的训练数据，使用混合标签信息的噪声生成替代模型所需的训练样本，通过目标模型的标记信息以及多样化损失函数使训练样本分布均匀且包含更多特征信息，进而使替代模型高效学习目标模型的分类功能。对比DaST和MAZE，该方法在降低35%~60%的对抗扰动和查询次数的同时对CIFAR-100、CIFAR-10、SVHN、FMNIST、MNIST五个数据集的FGSM、BIM、PGD三种攻击的成功率平均提高6~10个百分点，并且在实际应用中的黑盒模型场景Microsoft Azure取得78%以上的攻击成功率。

关键词：黑盒对抗攻击,生成对抗网络,替代训练,迁移攻击,深度神经网络