综述：超越漏洞：跨领域的对抗性攻击全面调查

《Computer Science Review》：Beyond vulnerabilities: A comprehensive survey of adversarial attacks across domains

人工智能与机器学习系统面临日益严重的对抗攻击威胁，此类攻击通过微小扰动即可误导模型决策，对医疗诊断、自动驾驶、金融风控等关键领域构成安全风险。本文系统梳理了白盒、黑盒及新型对抗攻击的分类方法，结合MITRE ATLAS威胁模型分析了物联网、工业控制、自然语言处理等八大领域的攻防实践，揭示防御机制需与部署场景深度适配的核心规律，提出跨领域安全框架的必要性。

　　

Dimitrios Christos Asimopoulos | Panagiotis Radoglou-Grammatikis | Georgios Th. Papadopoulos | Panagiotis Sarigiannidis

信息与电子工程系，国际希腊大学，Sindos校区，塞萨洛尼基，希腊

摘要

对抗性攻击对机器学习（ML）系统构成了重大威胁，它们利用模型的漏洞，危及多个领域中应用程序的完整性、安全性和可靠性。本文全面回顾了对抗性攻击的类型——白盒攻击、黑盒攻击以及其他类型的攻击，并探讨了在物联网（IoT）、医疗保健、工业控制系统、自动驾驶汽车、语音识别、自然语言处理（NLP）、金融以及大型语言模型（LLMs）等领域的定制攻击和防御机制。每个领域都面临着独特的对抗性挑战，需要采取特定的对策，从异常检测到对抗性训练以及鲁棒的模型架构。通过系统地分类攻击方法和防御策略，本调查提供了对各个领域对抗性动态的全面理解，突出了进一步研究的关键领域以及开发具有跨领域适应性的ML防御措施的重要性。

引言

近年来，人工智能（AI）和机器学习（ML）取得了显著进展，这些技术已广泛应用于医疗保健、金融、自动驾驶系统和网络安全等多个领域。虽然这些突破带来了诸多好处，但也暴露了AI和ML系统中的固有缺陷。

AI攻击包括一系列利用AI和ML系统漏洞的恶意行为，可能导致各种领域的潜在危害。这些攻击可能表现为数据投毒、模型反转、规避攻击和拒绝服务（DoS）攻击等形式，所有这些都会损害AI应用程序的完整性、安全性和可靠性。此外，近年来网络攻击变得越来越普遍和复杂，针对不同行业并造成严重干扰。 2023年发生了几起备受关注的攻击事件，例如8月的“Hot Topic”攻击，其中未经授权的第三方试图使用从未知来源获取的凭证登录客户账户。同样，Prospect Medical Holdings也遭遇了严重的勒索软件攻击，导致部分医院和门诊设施停止运行，医务人员不得不恢复手动操作。FortiGuard Labs 2023年全球威胁报告显示，攻击者正在以惊人的速度利用漏洞。这些事件延续了2022年的趋势，当时政治动机驱动的攻击尤为突出。例如，俄罗斯支持的团体针对芬兰议会和乌克兰国有核能公司等关键基础设施发动了DoS和机器人攻击。其他行业，如希腊的天然气分销商和英国的水务公司，也遭遇了勒索软件和数据泄露事件。这些案例凸显了网络攻击在各个行业中的日益增长的威胁，并强调了采取强大网络安全措施以降低风险和保护关键服务的必要性。因此，确保强大的防御能力对于保护AI技术和维护这些系统的安全至关重要。 一个关键挑战是系统对对抗性攻击的脆弱性。对抗性攻击利用了AI模型（尤其是深度神经网络DNN）的高维性和复杂性。Szegedy等人首次提出了对抗性攻击的概念。本文指出，微小的输入变化就足以误导神经网络。这些攻击通过对输入数据的扰动来实现，这些扰动通常无法被人类观察者察觉，但会显著影响模型性能。自那时起，已经识别出多种类型的对抗性攻击，包括但不限于：规避攻击、数据投毒攻击和模型反转。对抗性攻击对AI系统的可靠性、安全性和可靠性具有深远影响。在自动驾驶汽车、医疗诊断和金融欺诈检测等安全关键应用中，对抗性攻击可能造成灾难性后果。例如，在自动驾驶汽车中，被恶意篡改的停车标志可能被误认为是让行标志，从而导致不安全的驾驶决策。同样，在医疗领域，针对医学图像分类器的对抗性攻击可能导致诊断错误，对患者安全构成严重威胁。此外，对抗性攻击还严重阻碍了AI在网络安全中的应用。攻击者可以利用对抗性方法绕过入侵检测系统、逃避恶意软件检测并破坏认证过程。此类攻击可能带来巨大的经济损失。总体而言，对抗性攻击是AI和ML系统中的一个关键漏洞，对各种应用具有深远影响。随着AI技术在关键领域中发挥越来越重要的作用，保护AI系统免受各种攻击方式的侵害变得至关重要。

对抗性攻击的背景

对抗性攻击是一种网络威胁，攻击者利用被篡改的输入来欺骗ML模型。这些输入被称为对抗性样本，旨在使ML模型产生错误，同时对于人类观察者来说看起来是正常的。这种技术揭示了ML算法的脆弱性，尤其是在其解释层方面。 对抗性样本考验了AI系统在现实世界场景中的鲁棒性。它们利用了算法处理数据的方式...

相关综述论文

关于对抗性攻击和防御机制的研究产生了大量文献，其中包括多篇综述论文，总结了当前的技术水平。本节概述了表1中列出的类似综述出版物，这些出版物为理解对抗性攻击、其后果和防御策略做出了重要贡献。这些研究为本工作奠定了基础，并有助于识别需要填补的空白...

对抗性攻击的分类

对抗性攻击对ML系统的完整性、可靠性和可靠性构成了重大威胁。鉴于攻击策略、威胁假设和操作环境的多样性，孤立的或平行的分类方案往往掩盖了对抗性行为之间的内在联系。为了解决这一局限性，本节采用了一种“统一的对抗性威胁建模视角”，通过多种互补的方法来描述对抗性攻击...

ATLAS矩阵

基于上一节介绍的统一对抗性威胁建模框架，MITRE ATLAS（AI系统的对抗性威胁景观）被用作操作参考模型，以在各个领域中对对抗性行为进行情境化描述。ATLAS不仅是一个描述性分类系统，还提供了一个以威胁为中心的分析结构，将攻击者的目标、操作阶段和攻击机制与AI系统的生命周期相结合。 MITRE ATLAS组织...

不同领域的对抗性攻击

基于MITRE ATLAS矩阵分类法，我们进行了全面的文献搜索，以研究多个应用领域中对抗性研究的进展。共识别出237篇相关出版物，包括153篇期刊文章和84篇会议论文（如图3所示）。这种分布反映了该领域的双重特性：期刊文章通常提供成熟和深入的分析，而会议论文则捕捉到了快速的发展...

讨论

本调查揭示了多个领域中对抗性攻击的现状以及保护ML模型免受此类威胁所需的发展中的方法。除了对攻击类型进行分类外，跨领域的证据一致表明：(i) 攻击者的知识和操作限制决定了实际可行的攻击方式；(ii) 鲁棒性与部署环境（传感器、协议、工作流程）密不可分；(iii) 防御措施必须基于现实假设进行评估...

结论

本调查强调了对抗性攻击在包括物联网、医疗保健、金融和自动驾驶系统在内的多种ML应用中日益严重的问题。通过探讨常见的攻击方法（如规避攻击和数据投毒攻击）以及特定领域的防御措施，本研究强调了适应性安全措施的必要性。许多对抗性攻击利用了模型中普遍存在的根本弱点，因此需要核心防御措施来应对...

利益冲突声明

作者声明他们没有已知的财务利益或个人关系可能影响本文所述的工作。