近日，厦门理工学院软件与信息安全测评实验室的杜侠博士带领团队研究生诸佳杰同学在可逆对抗攻击领域取得了突破性进展。相关研究成果以题为《DP-RAE：用于图像隐私保护的双阶段可逆对抗攻击》（"DP-RAE: A Dual-Phase Merging Reversible Adversarial Example for Image Privacy Protection"）的论文发表在CCF-A类会议《ACM国际多媒体会议》（ACM MM）上。诸佳杰同学为论文的第一作者，指导教师杜侠博士为通讯作者。该研究提出了一种新颖的可逆对抗攻击方法，不仅显著提升了黑盒攻击的迁移性，还首次成功实现了对商用黑盒模型的有效攻击。
在数字安全领域中，可逆对抗样本将对抗攻击与可逆数据隐藏技术相结合阻止了未经授权的模型对图片的访问。传统的RAE方法通常在扰动隐藏的效果和对抗性之间做出妥协，从而削弱了可见扰动的保护能力，限制了白盒场景的应用。本文提出了一种新颖的双阶段合并可逆对抗样本生成框架，结合了启发式黑盒攻击和具有灰度不变性的RDH技术。这种双重策略不仅能更有效地评估和利用过去扰动的对抗潜力，还保证了扰动信息的完美嵌入以及原始图像的完整恢复。
实验结果表明，DP-RAE攻击方法在多个先进的机器学习模型上展现了卓越的成功率和稳健性，尤其在未知黑盒模型上的表现尤为突出。特别是在查询次数受限的条件下，对商用模型的攻击成功率高达90%。这标志着可逆对抗样本首次成功应用于黑盒商用识别系统中。
图1 双阶段可逆对抗攻击框架
图2 生成可逆对抗样本测试结果
图3 商用黑盒模型误导