白盒攻击 VS. 黑盒攻击
黑盒攻击（Black Box Attacks）和白盒攻击（White Box Attacks）是常见的针对机器学习模型的攻击方式。它们的区别在于攻击者对目标模型的了解程度。
- 黑盒攻击：
黑盒攻击是指攻击者对目标模型缺乏完全的内部信息和访问权限，只能通过输入和输出来观察模型的行为。攻击者无法获取目标模型的结构、参数、算法等详细信息。在黑盒攻击中，攻击者通常通过试探和分析来推断模型的行为，并生成特定的输入以欺骗或破坏目标模型。
黑盒攻击可以分为基于查询的攻击和基于迁移的攻击两种类型：
- 基于查询的攻击：攻击者通过向目标模型发送特定的查询样本，并观察模型的输出，通过分析不同查询样本和输出之间的关联关系，推断模型的性质和脆弱点，从而生成有效的攻击样本。
- 基于迁移的攻击：攻击者利用已有知识、数据或模型，将这些信息迁移到目标模型上，以推断目标模型的行为并进行攻击。通过迁移学习、模型迁移或特征迁移等技术，攻击者可以对目标模型进行攻击，即使对目标模型的内部信息一无所知。
- 白盒攻击：
白盒攻击是指攻击者具有完全的内部信息和访问权限，可以全面了解目标模型的结构、参数、算法和训练数据等细节。在白盒攻击中，攻击者可以直接分析和修改模型的内部元素来进行攻击。
白盒攻击相比黑盒攻击更有优势，攻击者可以利用目标模型的内部信息进行更加精确和有效的攻击。常见的白盒攻击包括梯度攻击（Gradient Attack）、模型逆向（Model Inversion）、模型篡改（Model Tampering）等方法。这些攻击方法利用对目标模型的完全了解来生成欺骗性样本或修改模型的行为，从而达到攻击目的。
总之，黑盒攻击是在缺乏目标模型完全内部信息的情况下进行的攻击，基于观察模型输入输出的行为进行推断和攻击。而白盒攻击则是在完全了解目标模型的内部信息和工作原理的基础上进行的攻击。选择使用哪种攻击方式取决于攻击者能够获取的模型信息和目标攻击的目的。
为什么选择基于迁移的攻击
- 黑盒攻击是指攻击者在没有完全访问或了解目标模型内部信息的情况下对其进行攻击。基于不同的攻击方法和策略，黑盒攻击可以分为以下几种常见的类型：
-
基于查询的攻击：基于查询的黑盒攻击通过向目标模型发送一系列特定的查询来获取模型的输出，然后利用这些输出信息进行攻击。常见的基于查询的攻击方法包括投影攻击（Probing Attack）和优化攻击（Optimization Attack）等。
-
基于迁移的攻击：基于迁移的黑盒攻击利用已知模型或数据集的信息来攻击目标模型。攻击者可以将已知模型的知识迁移到目标模型上，从而推断出目标模型的行为并进行攻击。基于迁移的攻击可以通过迁移学习、迁移优化等方法实现。
选择基于迁移的黑盒攻击有以下几个原因：
-
模型不可知性：在黑盒攻击中，攻击者无法获得目标模型的内部信息，只能通过输入和输出来观察模型的行为。基于迁移的攻击可以利用已知模型的特性和行为来推断目标模型的性质，从而更有效地进行攻击。
-
数据复用：基于迁移的攻击可以利用已经收集到的数据集，无需重新获取大量标记样本，从而节省时间和成本。攻击者可以使用现有数据集中的样本，并根据需要进行适当修改，以生成针对目标模型的攻击样本。
-
鲁棒性验证：通过在不同的数据集和环境中进行基于迁移的黑盒攻击，可以全面评估目标模型的鲁棒性和泛化能力。这有助于检测模型对于领域变化和未知样本的适应能力，并提供更准确和可靠的模型性能评估。
-
真实世界适应性：基于迁移的黑盒攻击模拟真实世界中的攻击情景，与实际攻击更贴近。在实际应用中，攻击者通常只能观察和测试目标模型的行为，无法获得内部信息。因此，通过基于迁移的黑盒攻击来评估模型的鲁棒性更具实践意义。
综上所述，选择基于迁移的黑盒攻击可以更好地适应模型不可知性的情况，利用已有数据进行攻击，提供更贴近实际场景的评估。这些优势使得基于迁移的黑盒攻击成为一种常见且有用的攻击方式，适用于论文研究和模型评估。