亖月三日 君寻的blog

1. 萌芽期（2014–2017）：数字对抗样本#

Szegedy（2014）与 Goodfellow 等人发现深度网络对微小像素扰动极度敏感，这是整个领域的起点。

随后 Brown 等人提出“对抗贴片”（Adversarial Patch），首次证明局部、可打印的扰动能在数字域稳定欺骗分类器；Sharif 等人则提出对抗眼镜框来欺骗人脸识别，并引入“可打印性约束”（non-printability score）以保证扰动在物理打印后依然有效。这一约束迫使对抗扰动只使用可打印的颜色范围。[2]

2. 物理攻击起步期（2017–2019）：从贴纸到伪装的过渡#

标志性工作是 Eykholt 等人的 RP2（Robust Physical Perturbations）。该方法提出了一种通用攻击算法，用于在不同物理条件下生成鲁棒的视觉对抗扰动，可以让“停车”标志被识别成限速标志。

其技术路线是先用 $l_1$ 范数攻击定位需扰动的稀疏区域（即贴纸位置），再用 $l_2$ 范数攻击优化该区域的颜色。随后将结果打印出来贴在路牌上，使得自动驾驶系统在任意距离和视角下都可能被欺骗。

同期还有 Kurakin 等人验证手机拍摄打印对抗图像仍可攻破分类器以及 Chen 等人通过添加特定背景图案打印对抗停车标志，从而骗过 Faster R-CNN 检测器。这一阶段的攻击大多仍是“贴片式”局部扰动，尚未形成系统性的“伪装”概念。[3]

3. 三维伪装的诞生（2019–2021）：车辆与人体全表面纹理#

这是“伪装”（camouflage，即覆盖整个物体表面而非局部贴片）概念真正确立的阶段。

• CAMOU（Zhang et al., 2019）是该方向的开创性工作。由于仿真环境中的渲染过程不可微，早期车辆伪装研究大多是黑盒方法；CAMOU 训练了一个近似梯度网络来模拟渲染和检测过程，进而据此优化对抗纹理。[4]

• Wu et al.（2020） 采用遗传算法搜索纹理图案并将优化出的图案重复平铺构建覆盖车身整体的 3D 纹理。[5]

• UPC（Universal Physical Camouflage） 由 Huang 等人提出，可同时欺骗区域回归器和分类器。[6]

• 针对行人的 Adversarial T-shirt、AdvTexture 等工作把伪装从车辆延伸到可穿戴衣物，AdvTexture 通过设计可重复结构的对抗纹理实现多视角的行人检测规避。

4. 可微渲染时代（2021–2023）：从“能骗”到“骗得稳、看着像”#

神经渲染器（neural/differentiable renderer）的引入让纹理优化可以端到端反向传播，是本领域的关键技术拐点。

此后的方法主要分两类：一类是直接优化 UV 贴图纹理（UV-map-based），如 Wang 等人提出的对偶注意力抑制攻击（DAS），通过同时压制模型注意力和人类视觉注意力来生成伪装。[7]

• FCA（Full-coverage Camouflage Attack） 首次尝试将非平面的伪装纹理渲染到车辆整个三维表面，并引入变换函数把渲染后的伪装车辆转化为逼真场景，解决了以往贴片只能覆盖车身平面部分、无法应对多视角/远距离/部分遮挡的问题。[8]

• DTA（Differentiable Transformation Attack） 利用可微变换网络学习渲染物体的预期变换，生成能应对多种变换场景的鲁棒伪装纹理；其后续 ACTIVE 进一步提升了纹理映射精度和背景色彩适配，改善了伪装的可迁移性与美观度。[9]

• CAC（Coated Adversarial Camouflages） 利用一系列空间变换来渲染物体在不同姿态、光照等自然变化下的表现，消除对抗性盲点，使伪装能从任意视角将目标误导为特定类别，这类方法普遍采用 EoT（Expectation over Transformation）思想，即对变换分布 $T$ 求期望优化：

  $$\operatorname*{arg\,max}_{\delta}\; \mathbb{E}_{t \sim T}\!\left[ \mathcal{L}\!\left(f\!\left(t(x + \delta)\right), y_{\text{target}}\right) \right]$$

  以保证纹理在各种真实变换下仍然有效。[10]

5. 跨模态与红外伪装（2022–2024）：从可见光扩展到全谱段#

随着军事/边防等场景需求增加，伪装研究开始覆盖红外热成像：

• HotCold Block 提出一种可穿戴设计来欺骗热红外检测器；[11]

• Adversarial Infrared Patches/Curves/Geometry 等系列工作探索用几何形状、曲线、可学习位置的红外贴片进行攻击；

• Unified Adversarial Patch 实现了跨可见光与红外模态的统一对抗贴片攻击，这类工作解决的核心难题是光学与红外传感器成像机理完全不同——红外传感器无法捕捉为可见光设计的色彩纹理扰动，而光学传感器又对红外模态特有的热辐射变化不敏感，因此单模态物理攻击难以同时对抗多模态探测器。[12][13]

6. 生成式与神经渲染前沿（2024–2026）：自然性、环境自适应与多视角鲁棒#

这是当前最活跃的前沿阶段，主要解决两大矛盾：攻击鲁棒性 vs. 视觉自然性、特定场景优化 vs. 跨环境泛化。

• RAUCA 通过一个编码器-解码器结构的环境特征提取器，将环境条件（光照、天气等）纳入伪装生成过程，显著提升伪装在不同真实环境下的稳定性。[14]

• VFACamou（2026）针对无人机侦察场景，指出现有伪装攻击大多局限于二维图像设定、忽视真实世界复杂性，进而提出视角融合、环境自适应的物理规避伪装，将战场/边境监控这类真实军事应用场景纳入考量。[15]

• 扩散模型驱动的伪装生成：如 FPA 利用扩散模型生成 UV 贴图纹理，提升伪装在环境中的自适应能力；国内团队提出的 GBSL（Gan-Based Style Learner） 融合分层风格迁移与多尺度图案建模，让生成的伪装纹理在保持攻击性的同时更贴近自然纹理的视觉分布，并同步提出了伪装“有效性+可信度”的联合评估体系。[16]

• NeRF/动态神经渲染：UV-Attack基于动态 NeRF 的 UV 映射，实现针对行人检测的物理世界对抗攻击，把神经辐射场用于建模非刚性人体姿态变化下纹理的一致贴合，是 2025 年 ICLR 的代表性工作。[17]

• 对比学习驱动的鲁棒伪装：PhyCamo采用对比学习方法生成面向多视角物理对抗攻击的鲁棒伪装。[18]

• 梯度校准与正则化：2025 年的新工作提出对现有基于可微渲染的伪装优化过程中梯度失真问题进行校准和正则化，以提升收敛稳定性和攻击迁移性。

• 点云/3D 检测、BEV 空间 方向也在 2024–2025 年出现专门针对自动驾驶三维目标检测（而非 2D 图像检测）的伪装/贴片攻击，标志着战场从图像平面扩展到三维感知全链路，如面向视觉 BEV 空间三维目标检测的可物理实现对抗攻击。[19]

• 光/投影类“非接触式”伪装 也是新趋势，如用光投影仪将对抗贴片投射到路牌上的 SLAP、控制反射光颜色形状的 RFLA、利用人眼不可见的红外光扰动 AI 感知的 ILR，这类方法某种意义上是伪装概念的延伸——不再依赖物理涂装，而是动态光学投射。[20]

1. 仿真到现实的差距（Sim-to-Real Gap）#

目前多数伪装方法依赖 CARLA 等仿真软件里的可微渲染器进行训练优化，但仿真环境对材质反光、真实光照变化、传感器噪声等物理细节的建模仍然粗糙。伪装纹理在仿真里表现优异，搬到真实世界后攻击效果常常明显衰减，这是整个领域从 CAMOU 时代延续至今都没被彻底解决的老问题。

2. 自然性与攻击强度的权衡#

纹理越贴近人类视觉习惯中的“自然迷彩”，可调整的扰动幅度就越受限，攻击成功率往往随之下降；反过来，扰动幅度越大越容易被人眼察觉为异常。像 GBSL 这类引入风格迁移、追求“自然又有效”的工作，本质上是在这两者之间找折中点，目前还没有方法能同时把两个指标都推到极致。

3. 跨模型、跨架构的迁移性#

大多数伪装是针对某个或某几个具体检测器（YOLO 系列、Faster R-CNN 等）专门训练出来的，一旦攻击训练时没见过的模型——尤其是基于 Transformer 的检测器（如 DETR），或者融合了摄像头、激光雷达等多传感器信息的感知系统——攻击成功率会明显下滑。

这本质上是数字对抗样本领域里“黑盒迁移性”问题在物理伪装场景下的延伸，只是难度更大，因为纹理还要同时满足“物理可实现”和“视觉自然”两个额外约束，可调节的自由度更小。

4. 攻防博弈持续升级#

防御手段已经从早期简单的输入变换（如特征压缩），发展到基于 Vision Transformer 的鲁棒结构和扩散模型净化（diffusion purification）这类更强的净化式防御。伪装生成方需要不断针对新防御手段调整攻击策略，目前双方仍处于持续拉锯的状态，还没有出现能“一劳永逸”压制对方的方案。

5. 多光谱、多传感器场景下的统一建模#

可见光、红外、甚至激光雷达点云各自的成像机制差异很大，红外传感器捕捉不到为可见光设计的色彩纹理扰动，光学传感器又对红外特有的热辐射变化不敏感。

虽然已有跨模态统一贴片的尝试，但真正能同时稳定攻击“光学+红外+点云”三种模态的通用伪装方案仍然很少，是当前比较前沿但尚未成熟的方向。

6. 高风险应用场景下的双重用途伦理问题#

像 VFACamou 这类面向无人机侦察、边境监控的伪装研究，以及针对战场光学/红外探测的伪装工作，正在快速增长。这类研究本身是为了揭示感知系统的安全漏洞、推动防御技术进步，但同样的技术一旦被用于逃避合法监测或军事滥用，也存在被滥用的风险，这是该领域在技术发展之外需要持续关注的维度。