对抗样本防御创新论文总汇（2024‑2026CV 多模态 NLP）

对抗样本防御创新论文汇总（2024‑2026，CV/多模态/NLP）分为图像对抗防御、多模态大模型防御、NLP大模型对抗防御、黑盒/迁移攻击专项防御，每篇给出：标题、出处、核心创新、解决痛点、关键方法、实验亮点。一、图像对抗样本防御1.基于扩散模型的分布双向引导对抗扰动净化防御（2026，计算机研究与发展）标题：基于扩散模型的分布双向引导对抗扰动净化防御

问题：传统扩散净化易丢失干净样本细节、重构分布不稳定，对未知泛化扰动防御弱。

核心创新：扩散逆向过程引入类间循环引导+类内聚合引导双向分布约束，构建对抗域‑干净域跨域自监督映射，在去除扰动同时保留原始图像信息。

方法：双向分布引导扩散净化器，不依赖对抗样本训练；类间循环保证跨域一致性，类内聚合约束样本向干净样本流形靠拢。

效果：CIFAR‑10、ImageNet，AutoAttack下干净精度损失显著降低，优于DiffPure等经典净化方法。2.MAPE：针对可迁移对抗攻击的多源扰动消除（arXiv2026‑06）标题：MAPE:DefendingAgainstTransferableAdversarialAttacksUsingMulti‑SourceAdversarialPerturbationsElimination

痛点：迁移对抗攻击黑盒、隐蔽性强，单模型训练的防御泛化差。

创新：SAPE单源扰动消除+PPSA预训练模型概率调度算法。

方法：通道注意力U‑Net作为净化网络；PPSA量化模型差异、负动量调度多预训练模型，训练时最大化对抗样本多样性。

指标：CIFAR‑10防御率>95.1%，Mini‑ImageNet>71.5%，抵御跨模型迁移攻击。3.DeepDefense：逐层梯度‑特征对齐构建鲁棒网络（arXiv2025‑11）标题：DeepDefense:Layer‑WiseGradient‑FeatureAlignmentforBuildingRobustNeuralNetworks

创新点：提出GFA梯度‑特征对齐正则，在网络每一层对齐损失梯度与输入特征，拉平损失曲面，压缩对抗扰动有效方向。

区别普通对抗训练：不需要大量生成对抗样本做迭代PGD训练，正则嵌入训练流程，计算开销更低。

局限：对One‑Pixel这类非结构化黑盒攻击提升有限，对梯度类白盒攻击效果突出。4.RandomLogitScaling（RLS，arXiv2026‑07）标题：RandomLogitScaling:DefendingDeepNeuralNetworksAgainstBlack‑BoxScore‑BasedAdversarialExampleAttacks

创新：即插即用后处理防御，随机缩放Logit输出，迷惑基于分数查询的黑盒攻击者，不改动模型权重。

优势：无需重训，可接任意分类模型；尽量保持干净样本预测置信度不畸变。二、视觉‑语言多模态模型对抗防御（CLIP/LVLM，近年热点）1.TAPT：测试时对抗提示调优（CVPR2025）标题：TAPT:Test‑TimeAdversarialPromptTuningforRobustInferenceinVision‑LanguageModels

痛点：CLIP零样本能力强，但极易受视觉对抗扰动；传统对抗微调成本巨大。

创新：测试时无监督双模态（文本+视觉）防御提示调优，不更新主干模型权重。

方法：针对每个测试样本优化防御提示，最小化多视图熵，对齐对抗‑干净样本特征分布。

结果：AutoAttack下CLIP零样本鲁棒性提升≥48.9%，11个数据集验证。2.BeyondFalseStability：高噪声漂移门控（arXiv2026‑06）标题：BeyondFalseStability:High‑NoiseDriftGatingforTest‑TimeAdversarialDefensesinVision‑LanguageModels

核心发现：弱噪声下对抗样本存在“伪稳定”；高噪声条件下对抗特征漂移远大于干净样本。

创新：无训练、插件式漂移门控机制，以高噪声特征漂移作为信号，仅检测到对抗不稳定时才触发防御，缓解干净精度‑鲁棒性权衡。

效果：13个下游数据集，8个细粒度数据集上，干净+对抗平均精度由65.7%提升至71.4%。3.ContrastiveSpectralRectification（2026）标题：ContrastiveSpectralRectification:Test‑TimeDefensetowardsZero‑shotAdversarialRobustnessofCLIP

创新：从频域视角修正CLIP特征的谱偏差；测试时做特征谱校正，不需要对抗样本参与训练，实现零样本对抗防御。三、NLP/大模型对抗与越狱防御1.DDM防御式双重掩码（arXiv2024‑12）标题：DefensiveDualMaskingforRobustAdversarialDefense

创新：训练阶段插入[MASK]；推理时识别可疑token做掩码替换，消除文本对抗扰动，保留核心语义。

优势：可直接接入LLM，适配文本对抗、同义词替换类攻击。2.EvoDefense：协同进化黑盒越狱防御（arXiv2026‑05，国防科大+上海AI实验室）标题：EvoDefense:Co‑EvolvingBlack‑BoxDefensewithLargeLanguageModels

痛点：现有LLM防御静态规则，容易被新的越狱对抗样本绕过；黑盒场景拿不到模型梯度。

核心：攻防协同进化框架，动态生成对抗越狱样本，经验积累迭代防御策略，不需要访问目标模型参数。3.LocalAlign：针对提示注入的近目标对抗样本对齐训练（arXiv2026‑05）标题：LocalAlign:EnablingGeneralizablePromptInjectionDefenseviaGenerationofNear‑TargetAdversarialExamples

创新：自动生成“接近正确回答但被注入篡改”的对抗样本，收紧模型鲁棒边界；解决传统手工攻击样本泛化差问题。4.AMIA（EMNLP‑Findings2025，多模态大模型越狱）标题：AMIA:AutomaticMaskingandJointIntentionAnalysisMakesLVLMsRobustJailbreakDefenders

创新：推理阶段轻量化防御：①自动掩码无关图像块破坏视觉对抗扰动；②联合意图分析识别隐藏有害意图。无需重训LVLM。四、黑盒与迁移攻击专项BestingtheBlack‑Box:BarrierZones（屏障区防御）标题：BestingtheBlack‑Box:BarrierZonesforAdversarialExampleDefense

背景：很多白盒防御在自适应黑盒攻击下直接失效。

贡献1：提出更强自适应黑盒攻击，比传统攻击有效性提升≥30%；

贡献2：BarrierZones屏障区防御，依靠多重变换+多分类器投票构建决策屏障，抵御边界攻击、迁移攻击。

效果：在测试数据集上黑盒场景鲁棒准确率>85%。五、当前主流创新方向总结（写论文/开题可直接参考）测试时防御（Test‑TimeDefense）：不重训主干模型，推理阶段做净化/提示调优/门控，解决大模型微调成本过高问题，CLIP/LVLM主流路线。扩散模型对抗净化：解决传统去噪丢失细节；重点优化分布对齐、循环一致性。面向迁移攻击、自适应黑盒攻击：不再只做PGD白盒测试，强调自适应攻击下的安全性。干净精度‑鲁棒性权衡优化：门控触发防御，避免所有样本无脑处理造成精度下降。大模型（LL