💻 computer science

When Efficiency Becomes Fragility: Exploiting Dynamic Routing Vulnerabilities in Adaptive UAV Tracking

本文识别了自适应无人机（UAV）追踪器因其动态路由机制的利普希茨奇异性（Lipschitz singularity）而导致的严重结构性漏洞，并提出了对抗性路径反转（API）框架，旨在通过操纵门控决策来破坏模型性能，从而利用这一缺陷。

原作者： Shaofeng Liang, Runwei Guan, Wenshuo Chen, Jiemin Wu, Bowen Tian, Haozhe Jia, Kaishen Yuan, Songning Lai, Daizong Liu, Yutao Yue

发布于 2026-08-05

📖 1 分钟阅读☕ 轻松阅读

CC BY 4.0

原作者： Shaofeng Liang, Runwei Guan, Wenshuo Chen, Jiemin Wu, Bowen Tian, Haozhe Jia, Kaishen Yuan, Songning Lai, Daizong Liu, Yutao Yue

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一个这样的世界：你的手机、你的汽车，甚至是你头顶飞过的无人机，都拥有由数字神经元构成的“大脑”。这就是人工智能（AI）的领域，特别是其中的一个分支——计算机视觉，它教会机器如何通过摄像头来“看见”并理解这个世界。对于这些“数字眼睛”来说，最令人兴奋的工作之一便是目标跟踪（Object Tracking）：即锁定一个移动的目标——比如足球运动员、汽车或鸟类——并逐帧进行跟随，而不丢失目标。

长期以来，目标一直是让这些跟踪器尽可能精确，即便它们运行缓慢且极其耗电。但现在，我们正将这些“大脑”安装在天空中高空飞行的微型电池驱动无人机上。这些无人机无法携带沉重且缓慢的计算机。因此，工程师们发明了一种聪明的技巧，叫做自适应跟踪（Adaptive Tracking）。把它想象成一位聪明的厨师，他只切那些特定菜肴真正需要的蔬菜，而不是把厨房里所有的蔬菜都切一遍。这些自适应系统会实时决定使用大脑的哪些部分，以及跳过哪些部分，从而在保持快速的同时节省能量。但这里有一个大问题：如果一个系统为了节省时间而不断改变自身的结构，它是否真的更安全？还是说这种不断的改变会产生新的、隐藏的结构性裂缝？

这篇题为《当效率变为脆弱》（When Efficiency Becomes Fragility）的论文，深入探讨了这样一个问题。作者团队来自香港科技大学（广州）和武汉大学，他们发现，正是这种让跟踪器变得高效的机制，也成为了它们最大的弱点。研究人员发现，这些跟踪器用来决定开启哪些大脑部分的“开关”极其敏感。事实上，它们如此敏感，以至于视频流中一个微小的、肉眼几乎不可见的扰动，就能导致跟踪器的整个决策过程发生彻底的反转。

研究人员将这种现象称为利普希茨奇异性（Lipschitz Singularity）。为了理解这一点，请想象墙上的一个灯开关。如果你将它向“关”的位置稍微推一点点，灯就会亮起；如果你将其向“开”的位置稍微推一点点，灯就会熄灭。尽管你的手指只移动了一毫米，但变化却是瞬间且剧烈的。在这些自适应跟踪器中，“灯开关”是指决定是否跳过某一层处理。论文从数学上证明，在跟踪器决定跳过某一层的确切时刻，系统会变得不稳定。图像中一个微小的变化——小到人类肉眼根本无法察觉——就能迫使跟踪器突然走上一条完全不同的“大脑路径”。

作者并没有仅仅尝试迷惑跟踪器的“眼睛”（这是以往大多数攻击方式的做法），而是提出了一种新的攻击手段，称为对抗性路径反转（Adversarial Path-Inversion, API）。想象你在玩一款电子游戏，角色根据硬币的正反面来选择路径。大多数黑客试图让角色看到一堵假墙，但这种新的 API 方法试图直接操纵硬币本身。通过在视频中添加一种几乎不可见的噪声模式，攻击者迫使跟踪器翻转其开关。突然之间，它本该使用的层被跳过了，而它本该跳过的层却被迫开始工作。

结果是全面的崩溃。因为跟踪器现在正运行在一条它并非为该特定时刻设计的路径上，它对世界的理解也随之瓦解。论文表明，这种“路径反转”比传统的攻击更具破坏力。在实验中，API 框架不仅让跟踪器陷入混乱，更导致了灾难性的失败。在名为 DTB70 的数据集上，这种攻击将跟踪器的成功率从健康的 65% 大幅降低到了惨不忍睹的 8.2%。更令人印象深刻的是，虽然其他黑客手段既慢又笨重，但这种新方法非常迅速，攻击速度保持在极快的每秒 62.5 帧。

作者在几种不同类型的自适应跟踪器（AVTrack、SGLATrick 和 LGTrack）上进行了测试，发现这种漏洞具有普遍性。无论这些跟踪器的具体构建方式如何，只要它们使用了这些“跳过工作”的开关，就容易受到此类攻击。他们甚至展示了这种攻击在各种飞行场景下的有效性，包括高速移动的无人机和剧烈晃动的摄像机视角。

然而，论文谨慎地指出，这是一个关于发现漏洞的研究，而非对该技术的永久性击败。作者建议，这一发现应当作为一个警告。仅仅因为一个系统是高效的，并不意味着它是鲁棒的（稳健的）。他们提出，未来的设计可能需要“软化”这些生硬的开关，或者加入随机性，以防止系统如此轻易地被翻转。简而言之，这篇论文揭示了：在追求让 AI 更快、更轻的竞赛中，我们可能无意中建造了一个一旦被正确吹气就会坍塌的纸牌屋。教训是：效率固然很好，但如果你不保护好这些“开关”，你最聪明的无人机可能会在半空中突然“睡着”。

技术摘要：当效率演变为脆弱性：利用自适应无人机追踪中的动态路由漏洞

1. 问题陈述

用于视觉追踪的无人机（UAV）部署正日益依赖于自适应视觉 Transformer（例如 AVTrack、SGLATrack、LGTrack），以在严格的边缘硬件计算约束下平衡高精度与高效能。这些模型利用动态路由架构，特别是输入依赖型的层跳过（layer-skipping）机制，根据特征复杂度选择性地激活 Transformer 模块。

虽然这些架构提供了效率，但本文识别出了一个关键的、此前被忽视的安全漏洞：其离散门控决策中固有的利普希茨奇异性（Lipschitz singularity）。不同于计算图固定的静态神经网络，自适应追踪器拥有动态的推理拓扑结构。作者指出，层跳过决策（激活与跳过）的二元性质在决策边界处产生了数学上的不连续性。因此，这些边界处的局部利普希茨常数会趋于无穷大。这一结构性缺陷意味着，极微小的输入扰动即可触发推理拓扑的突发性、灾难性转变，导致模型偏离预定的计算路径，进而引发特征表示崩溃。

2. 方法论：对抗路径反转（Adversarial Path-Inversion, API）

为了利用这一漏洞，作者提出了对抗路径反转（API）框架。不同于传统的通过扰动输入来破坏固定图中语义表示的对抗攻击，API 针对的是推理拓扑本身。

理论基础：
作者将门控决策函数 $\pi(x)$ 形式化为一个离散阶跃函数。他们证明了对于位于决策边界流形上的输入 $x_0$ ，一个微乎其微的扰动 $\delta$ 就能使门控输出从 0 翻转为 1（或反之）。这导致尽管输入差异极小，却产生了有限的输出差异 $\|f(x_+) - f(x_-)\|$ ，从而证明了局部利普希嘶常数趋向于无穷大。

框架组件：
API 框架采用了一个编码器-解码器扰动生成器 ( $G_p$ )，旨在操纵这些门控决策：

路径反转目标 ( $L_{path}$ )：核心损失函数强制使对抗输入的门控对数（logits）翻转原始输入的极性。如果某一层原本处于激活状态，攻击则迫使其跳过；反之亦然。这系统性地反转了计算路径。
协同特征破坏 ( $L_{feat}$ )：该目标最小化干净路径与对抗路径之间 Token 嵌入的余弦相似度，确保语义表示随拓扑变化而崩溃。
显著性引导的扰动聚焦 (SGPF)：为保持视觉隐蔽性，该模块识别决定门控决策的关键 Token（即主导门控决策的 Token），并将对抗能量集中于这些 Token，同时抑制背景区域的噪声。
响应中心抑制 ( $L_{resp}$ )：确保攻击在时间窗口内降低追踪器的响应图质量，防止后续帧的恢复。
视觉重建约束 ( $L_{recon}$ )：通过约束像素级差异，确保扰动保持不可感知。

生成器使用一个平衡了拓扑反转、语义破坏和视觉保真度的复合损失函数进行优化。

3. 核心贡献

理论发现：本文首次正式刻画了自适应追踪架构中的利普希茨奇异性，识别出离散门控边界是导致微小扰动引起无界敏感性的固有不稳定性来源。
新攻击面：它揭示了一种全新的基于拓扑路径的攻击面。不同于传统攻击在固定路径内降低性能，此方法同时操纵模型的语义表示及其推理拓扑。
API 框架：作者提出了对抗路径反转框架，该框架生成的不可感知扰动能够精确反转门控决策，迫使模型进入恶意的计算路径。
实证验证：广泛的实验表明，该方法造成的追踪失败比现有方法更为严重，同时保持了高推理速度。

4. 实验结果

API 框架在六个无人机基准测试（DTB70, UAV123, UAVDT, VisDrone2018, UAVtrack112）上对最先进的自适应追踪器（AVTrack, SGLATrack, LGTrack）进行了评估。

攻击效力：API 实现了显著的追踪性能下降。具体而言，在 DTB70 数据集上使用 AVTrack 基准时，它使精度率（Precision Rate）降低了 80.9%（从 84.3% 降至 16.1%），并使成功率（Success Rate）降低了 87.3%（从 65.0% 降至 8.2%）。论文指出，该框架在所有评估的基准测试中均表现出持续且显著的性能下降，在整个测试套件中平均精度下降超过 80%，成功率下降超过 85%。
效率：API 的一个关键优势在于其速度。虽然像 RTAA 这样基于优化的攻击由于沉重的计算开销仅能达到 4.6 FPS，但 API 保持了 62.5 FPS 的推理速度，证明了高强度攻击并不需要以牺牲执行效率为代价。
泛化性：该攻击在不同的自适应架构上均有效，证实了动态路由机制具有普遍的脆弱性。
消融实验：移除路径反转目标会导致攻击效力大幅下降（精度从 16.1% 回升至 52.7%），验证了针对拓扑进行攻击是成功的核心驱动力。同样，禁用显著性引导聚焦模块会显著降低性能，凸显了针对性扰动的必要性。

5. 意义与主张

本文声称为动态追踪网络的安全性分析开辟了一个新维度。其主要意义在于将研究重点从输出空间攻击（破坏边界框预测）转向拓扑路径攻击（破坏执行流）。

作者断言，通过动态路由获得的“效率”是以“脆弱性”为代价的。门控边界处的数学不连续性使得这些网络在面对针对性扰动时本质上是不稳定的。这项工作为未来的研究提供了理论警告，表明构建鲁棒的自适应架构需要解决这些结构性奇异性问题，例如通过随机化门控决策、软化路由边界或进行拓扑感知对抗训练等策略。本文并未提出具体的防御实现方案，而是强调了开展此类研究的必要性，以防止实验中所观察到的不可逆追踪漂移。