1. 从标题拆解一个被低估的攻击思路第一次看到 AdvFlow 这个标题时我脑子里冒出来的第一个问题是为什么偏偏要用 flow-based model 来做对抗攻击毕竟在对抗样本这个圈子里主流做法要么是梯度类方法FGSM、PGD 那一套要么是迁移攻击、查询攻击生成模型里 GAN 用得也不少。用 normalizing flow 来做黑盒攻击乍一看像是为了用而用但真正把论文思路捋一遍之后会发现这个选择背后有相当扎实的动机。先把标题里的几个关键词拆开看。AdvFlow是一个基于标准化流Normalizing Flow的黑盒对抗攻击框架核心卖点是inconspicuous也就是生成的对抗扰动足够隐蔽、不显眼。黑盒意味着攻击者拿不到目标模型的梯度只能通过输入输出对来探测。Normalizing Flow是一类可逆的生成模型它通过一系列可逆变换把简单分布比如高斯分布映射到复杂数据分布最大特点是能精确计算似然而且双向可逆。这个组合解决的核心问题是在黑盒设定下如何生成既有效又自然的对抗样本。传统黑盒攻击往往依赖查询次数堆砌或者用替代模型做迁移生成的扰动要么噪声感很重要么在语义上不自然。AdvFlow 的思路是把对抗样本的搜索空间约束在一个由 flow 模型学到的自然图像流形附近让扰动沿着数据分布的方向走而不是在像素空间里乱撞。这篇文章适合谁看如果你对对抗样本、生成模型、或者黑盒优化这几个方向里任意一个感兴趣都能从中拿到东西。做安全评估的可以了解一种新的攻击面做生成模型的可以看到 flow 在对抗场景下的一个非典型用法做黑盒优化的能学到如何在查询受限下做高效搜索。我会尽量把原理讲透同时给出可以照着复现的实操路径包括参数怎么定、坑在哪里。需要提前说明的是下面涉及的具体实现细节有一部分是论文里明确给出的有一部分是我基于这类方法的常见工程实践做的合理补全我会在相应位置标注清楚避免误导。2. 为什么是 Normalizing Flow方案选型背后的逻辑2.1 对抗攻击里生成模型的三种主流选择要理解 AdvFlow 为什么选 flow得先看清楚这个位置上还有哪些候选。在对抗攻击里引入生成模型常见的有三条路线。第一条是GAN 系。用生成器直接产出对抗样本判别器负责保真。优点是生成质量高、单次前向就能出样本缺点是训练不稳定模式坍塌是老问题而且生成器一旦训好样本多样性受限于隐空间采样想针对不同目标做精细控制比较别扭。第二条是VAE 系。编码器把图像压到隐空间解码器重建。优点是隐空间连续、便于插值缺点是重建有模糊似然是近似下界而且编码器和解码器不对称做精确的密度估计不靠谱。第三条就是Flow 系。可逆变换精确似然隐空间和像素空间一一对应。优点是密度可算、双向可逆、采样和推断都精确缺点是对网络结构有约束每层必须可逆、雅可比行列式要好算参数量和计算量相对大一些。AdvFlow 选 flow核心考量在于它需要精确地知道一个样本在数据分布下的密度。黑盒攻击的搜索过程本质上是在有效性和隐蔽性之间找平衡点而隐蔽性最自然的度量就是样本落在真实数据分布高密度区域的概率。Flow 能直接给出 log-likelihood这就让扰动后样本仍然像真实图像这件事有了可优化的目标函数而不是靠判别器去猜。2.2 可逆性带来的搜索优势Flow 的可逆性在攻击场景里有个很实用的副产品你可以在隐空间和像素空间之间自由往返。这意味着搜索可以在隐空间里做——隐空间通常是低维、连续的搜索效率比在像素空间高得多搜完之后再映射回像素空间得到对抗样本。打个比方像素空间搜索像是在一个几万维的崎岖地形里找路每一步都容易踩到不像真实图像的悬崖隐空间搜索像是在一张平滑的地图上规划路线走出来的路径天然落在数据流形附近。AdvFlow 正是利用了这一点把对抗扰动的搜索搬到 flow 的隐空间里让生成的样本在视觉上更自然。还有一个细节值得说flow 的精确似然让攻击者可以给搜索加一个密度惩罚项。当候选样本的 log-likelihood 掉得太厉害时说明它已经偏离了自然图像分布这时候就该往回拉。这个机制在 GAN 和 VAE 上都很难干净地实现前者没有显式密度后者的密度是近似的。2.3 黑盒设定下 flow 的额外价值黑盒攻击最稀缺的资源是查询次数。每一次查询目标模型都要付出代价实际场景里可能有速率限制、可能有预算约束。AdvFlow 用 flow 做先验相当于把什么样的样本是合理的这个知识提前编码进了模型搜索时不需要靠大量查询去试探边界而是沿着先验指引的方向走。我实测过类似的思路在查询预算紧张的情况下带生成先验的搜索确实比纯查询的方