💻 computer science

A Comprehensive Review of One-Pixel Attack: Research Status, Taxonomy, Applications, Regulation Policy and Future Directions

这项遵循 PRISMA 指导原则的综述综合了 2017 年至 2026 年的研究，旨在建立单像素攻击（One-Pixel Attacks）的全面分类法，评估当前的防御措施及特定领域的脆弱性，并提出未来的研究方向以及旨在缓解 AI 系统中此类超稀疏对抗性威胁的监管框架。

原作者： Mirza Niaz Morshed, Md. Masudul Islam, Galib Muhammad Shahriar Himel, Md. Aslam Uddin, Hui Liu, Md. Shafiqul Islam

发布于 2026-10-02

📖 1 分钟阅读☕ 轻松阅读

CC BY 4.0

原作者： Mirza Niaz Morshed, Md. Masudul Islam, Galib Muhammad Shahriar Himel, Md. Aslam Uddin, Hui Liu, Md. Shafiqul Islam

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

在人工智能的世界里，计算机已经学会了如何“看”。它们可以识别照片中的猫，发现医学扫描中的肿瘤，或者为自动驾驶汽车读取交通标志。这些被称为深度神经网络的系统并非通过僵化的规则进行编程，而是在庞大的图像库上进行训练，直到它们能够自主识别模式。在大多数情况下，它们是非常可靠的。然而，研究人员发现了一个奇怪且令人不安的缺陷：这些强大的机器会被极其微小的变化所欺骗，而这些变化微小到人类肉眼根本无法察觉。想象一张被计算机正确识别为熊猫的照片。如果你仅仅改变该图像中一个极小的光点颜色，计算机可能会突然以绝对的把握断定那只动物是长臂猿。这种现象——即微小的改动导致巨大的错误——揭示了这些机器“看”的方式与人类看的方式有着本质的区别，使得它们容易受到一种特定类型的数字破坏。

来自孟加拉国、马来西亚和德国的一个研究小组现在对这种特定的脆弱性进行了深入研究，他们称之为“单像素攻击”。通过对过去十年发表的研究进行的全面综述，他们收集并分析了三十二篇高质量论文，以了解这些攻击是如何运作的、它们在何处最为危险，以及我们该如何阻止它们。他们的工作充当了当前领域现状的地图，表明虽然通过改变单个像素来愚弄计算机听起来像是一个简单的戏法，但现实却是一个复杂的数学策略领域。研究人员发现，寻找这些“诡计像素”最有效的方法不是利用计算机自身的内部逻辑，而是使用一种类似于自然选择的方法。在这个过程中，一个计算机程序会生成数千个随机变化，保留那些能让系统更接近被愚弄状态的变化，并重复这一过程，直到找到那个完美的、可供修改的单点。这种被称为“差分进化算法”的方法已被证明是这类攻击的主导策略。

这项综述显示，这些攻击不仅仅是理论上的奇闻轶事；它们在我们的现实生活中构成了真实的风险。在医学领域，研究人员发现，单个被篡改的像素可能导致诊断工具误判细胞，从而可能导致患者得到错误的诊断。在自动驾驶领域，类似的改变可能导致车辆将停止标志误读为限速标志，从而直接威胁公共安全。该研究还调查了用于安全领域的生物识别系统（如人脸识别），并发现这些系统同样可能被如此微小的变化所欺骗。令这些发现尤为令人担忧的是，攻击往往针对图像中最重要的部分——即计算机投入最多注意力的区域。通过改变高可见度位置的一个像素，攻击者可以改变计算机对整幅图片的理解，尽管这种变化对人类观察者来说是不可见的。

尽管这些攻击具有令人警惕的潜力，但研究人员也发现，这种威胁在所有情况下并不统一。单像素攻击的成功程度在很大程度上取决于图像的类型以及所使用的计算机模型的复杂程度。综述显示，这些诡计在处理较简单的图像和较旧的计算机模型时效果最好，而面对更复杂、高分辨率的图像以及现代、先进的系统时则较难得逞。事实上，研究表明，在许多现实场景中，诸如相机模糊、光照变化和图像压缩等因素可能会自然地保护系统免受这些特定攻击的影响。研究人员认为，虽然单像素攻击是理解这些系统脆弱性的有力工具，但在一个图像很少是完美的物理世界中，它未必代表了最直接的危险。

为了应对这些脆弱性，该综서考察了已提出的各种防御策略。一些方法试图在计算机观察图像之前对其进行清洗，通过平滑噪声或压缩文件来消除微小的改动。另一些方法则涉及训练计算机去识别并忽略这些奇怪的模式。研究人员发现，虽然其中一些防御措施在受控测试中表现良好，但当面对不同类型的图像或攻击方式发生轻微变化时，往往会显得力不从心。目前研究的一个显著空白在于，大多数研究都集中在实验室使用的标准低分辨率图片上，而非医院或道路上常见的复杂现实世界图像。作者指出，我们对于最新一代人工智能模型（其处理图像的方式与旧系统不同）如何受到此类攻击的影响，了解仍然不够充分。

展望未来，研究人员提出了一个新的路径，将更好的测试与更智能的监管相结合。他们建议，与其仅仅修补单个弱点，我们更需要构建“设计即鲁棒”的系统，使其能够承受这些微小的扰动，而无需不断的修补。他们还呼吁建立一种标准化的系统测试方法，确保每一款新的人工智能模型在发布到公众面前之前，都经过针对这些攻击的检测。此外，他们建议政府和组织应将这些脆弱性视为严肃的安全问题，要求公司在系统遭到破坏时进行报告，并披露其弱点以便开发修复方案。通过将人工智能的脆弱性视为一种可管理的风险而非无法解决的谜团，研究人员相信我们可以继续利用这些技术的力量，同时保障每个人的安全。

技术摘要：单像素攻击（One-Pixel Attack）全面综述

1. 问题陈述

深度神经网络（DNNs）在遭受对抗性扰动时表现出显著的脆弱性。尽管关于基于梯度的攻击（如 FGSM、PGD）和 $L_p$ 有界扰动的文献已非常广泛，但**单像素攻击（One-Pixel Attacks, OPAs）**代表了一种极端的对抗性脆弱形式，即通过修改单个像素即可诱发高置信度的错误分类。尽管其概念简单且能够揭示基本的决策边界弱点，但在现有的综述中，OPAs 仍未得到充分研究，通常仅被视为黑盒攻击或高效查询攻击的简短案例。

目前在以下方面缺乏系统的综合研究：

超越原始差分进化（DE）方法的 OPA 优化策略的演进。
专门针对超稀疏扰动的防御机制的有效性。
安全关键领域（医学影像、自动驾驶、量子通信）的特定领域漏洞。
标准化的评估协议以及研究结果在不同架构（如 Transformer 与 CNN）之间的泛化性。

2. 研究方法

本研究采用 PRISMA 指导的系统性综述方法，对 2017 年 10 月至 2026 年 2 月期间发表的高质量研究进行合成。

检索策略： 在 Scourus、Web of Science 和 Google Scholar 中使用“one-pixel attack”、“single-pixel attack”、“computer vision”和“adversarial attack”等术语进行了结构化布尔搜索。
筛选标准：
- 纳入： 直接针对深度学习模型（CNN、ResNet、VGG 等）进行单像素或单像素攻击的研究，发表于权威平台，包含定量实验，并以英文撰写。
- 排除： 未侧重于 OPA 的广泛对抗性机器学习综述、非视觉数据攻击、缺乏实验验证的论文以及重复的会议/期刊版本。
筛选过程：
- 初始检索：3,929 条记录。
- 剔除重复项并进行标题/摘要筛选后：73 条记录。
- 经过全文符合性及质量评估后：最终选择了 32 项高质量研究进行合成。
分析框架： 本综述利用 PICO 框架（问题、干预、比较、结果）和四轴分类系统，通过以下维度对文献进行分类：
1. 攻击方法（优化策略）。
2. 模型架构。
3. 防御机制。
4. 领域应用。
批判性评估： 每项研究都根据其可复现性、数据集多样性和方法论严谨性进行了评估，并分配了综合质量评分，以识别趋势与空白。

3. 主要贡献

本文对对抗性机器学习领域做出了四个主要贡献：

统一分类法： 它将 OPA 研究整合到一个多维框架中，涵盖算法基础（从 DE 到程序合成）、黑盒进化优化、混合方法以及防御策略。
领域特定漏洞分析： 它绘制了自然图像、医学影像、生物识别、自动驾驶系统和量子通信中的 OPA 风险图谱，区分了理论上的脆弱性与具体的现实世界风险。
研究质量元分析： 通过对选定的 32 项研究进行结构化分析，本文量化了该领域的发展进程，强调了结构性差距，如数据集多样性有限（过度依赖 CIFAR-10/MNIST）、评估指标不一致以及缺乏对现代架构（如 Vision Transformers）的实证数据。
监管框架提案： 它提出了一个 OPA 的治理模型，强调鲁棒性测试、事件披露以及与《欧盟 AI 法案》和 NIST AI 风险管理框架相一致的责任机制。

4. 关键结果与发现

4.1. 攻击方法论

进化算法的主导地位： 由于其黑盒特性，差分进化（DE）仍然是 OPA 最普遍的优化策略。然而，它通常计算成本高昂。
新兴趋势： 该领域正转向：
- 混合/元启发式方法： 将 DE 与生物启发式启发算法（如闻蜂优化算法、教学学习型蛾焰优化器）相结合，以提高收敛速度。
- 程序合成： 如 OPPSLA 等方法生成的是对抗性“程序”而非直接的像素值，从而减少了 3 倍的查询次数并提高了迁移性。
- 效率优化： 新的变体如 RISOPA 和 CriPI 在保持高成功率的同时，比标准 DE 实现了显著的加速（高达 57 倍）。
性能： 成功率随数据集复杂度的增加而显著变化。在高分辨率数据集（如 ImageNet）上，由于输入维度和分布式特征表示的增加，高成功率（如在 CIFAR-10 上约为 68%）会大幅下降（降至约 16%）。

4.2. 防御机制

防御措施分为四类范式，每种范式都有不同的权衡：

像素级修正： 诸如 Noise2Noise 和补丁选择（patch selection）等技术可以实现极高的恢复率（高达 98.6%），但存在改变合法图像特征的风险。
以检测为中心的策略： 使用变分自编码器（VAE）或穷举搜索的方法可以高精度地标记异常（在医学背景下高达 100%），但可能会面临假阳性或高计算成本的问题。
数据变换： 输入预处理（如 JPEG 压缩、空间平滑）能有效中和攻击（将成功率降低至约 12.5%），但会引入伪影或降低图像质量。
架构加固： 对抗训练和分数阶训练提高了鲁棒性，但通常需要巨大的计算开销，且在不同领域间的泛化能力可能较弱。

4.3. 领域漏洞

医学影像： OPA 在病理学领域构成了严重风险（例如，在某些研究中，将有丝分裂误诊为正常的成功率达 91%）以及乳腺癌诊断。相比于 RGB 图像，灰度医学图像表现出不同的易感性。
自动驾驶与生物识别： 攻击可以改变交通标志识别并欺骗人脸识别流水线，尽管环境因素（光照、噪声）可能会降低其在物理环境中的有效性。
量子系统： 已证明 OPA 可以破坏连续变量量子密钥分发（CV-QKD）检测网络。

4.4. 识别的关键差距

数据集偏差： 文献严重向低分辨率、合成或玩具数据集（MNIST、CIFAR-10）倾斜，限制了生态效度。
架构失衡： 实证证据集中在 CNN（ResNet、VGG、LeNet）上。对于 Vision Transformers (ViTs)、Swin Transformers 以及多模态模型，目前显著缺乏标准化的定量评估。
评估不一致性： 各项研究使用的指标各异（ASR、查询次数、PSNR、SSIM），导致跨研究对比变得困难。

5. 重要性与主张

本文定位为首个专门针对单像素攻击的系统性综述。其重要性在于：

建立基准： 它为理解“超稀疏”威胁图谱提供了整合的基础，超越了在一般对抗性综述中碎片化的覆盖。
架起理论与实践的桥梁： 通过分析领域特定的案例研究，它阐明了 OPA 在何处仍是理论上的好奇现象，而在何处代表了切实的安全性风险（如医学诊断）。
指导未来研究： 它明确呼吁从经验性演示转向开发根本性的韧性系统，倡导：
- 标准化的基准测试和评估协议。
- 将鲁棒性集成到模型架构中（如感受野加固）。
- 探索 OPA 对 Transformer 类模型的意义。
政策相关性： 作者认为，虽然 OPA 在物理环境中可能会减弱，但它们是模型完整性的关键“压力测试”。因此，它提出了一个比例风险适度的监管框架，要求对高风险 AI 系统进行鲁棒性测试，同时不对缺乏现实世界可利用性的漏洞施加不成比例的负担。

作者总结道，虽然 OPA 暴露了当前深度神经网络的基本脆弱性，但该领域必须向更具现实意义、领域自适应的防御以及标准化的治理方向演进，以确保在安全关键型应用中实现可靠的 AI 部署。