Deepfake 检测器对抗样本迁移成功的关键在于源与目标的架构和数据匹配

该研究通过控制变量实验发现，对抗样本在 Deepfake 检测器间的迁移成功率高度依赖源模型与目标检测器在骨干网络、预训练机制和训练数据上的匹配程度。研究覆盖了60个检测器，包含六种骨干网络、两种预训练机制和五种训练数据配置，使用AutoAttack和CW-EOT两种攻击方法进行测试。结果显示，当源和目标共享完全相同的骨干网络时，迁移效果最显著；而共享预训练和训练数据则在CW-EOT攻击下影响最大。

具体数据表明，在非目标源模型平均情况下，AA攻击的成功率为7.21%，CW-EOT为19.52%。然而，当排除完全匹配的源模型后，结合两种攻击的多源Oracle策略将平均成功率提升至64.48%。这一巨大差异说明，仅依赖非匹配源模型的简单平均会严重低估目标检测器的实际脆弱性。研究团队还发布了24万张对抗扰动图像、完整的成对迁移结果及评估代码。

事实层面，该研究量化了架构与数据匹配对迁移攻击的具体贡献，并指出不同攻击算法对匹配维度的敏感度存在差异。推断层面，现有的黑盒鲁棒性评估若未考虑源模型选择策略，可能无法真实反映系统的安全水位。猜测层面，未来针对Deepfake检测器的防御设计可能需要引入针对特定架构或数据分布的对抗训练，而非通用的泛化防御。