JiT去噪防御：无线电信号分类抗对抗攻击新突破

无线电信号的自动调制分类（AMC）是频谱监测和电磁态势感知的核心技术。深度神经网络凭借强大的特征提取能力和端到端学习范式，在该领域很关键。然而，DNN对对抗攻击的脆弱性给实际部署带来了严峻的安全挑战。

对抗防御的困境与JiT的引入

对抗训练是常见的防御手段，但存在跨攻击类型泛化能力差、训练成本高等局限。近期一篇论文提出了一种基于JiT（Just image Transformers）的去噪防御方法。JiT是一种直接预测干净图像的扩散生成模型，而该研究将其思想迁移至无线电信号领域，设计出针对一维信号定制的Transformer去噪网络。

该方法在训练阶段通过流匹配（flow matching）优化一个信号专用的1D Transformer去噪网络，使其直接预测干净信号样本，从而学习将任意样本投影回干净信号的低维流形。在推理阶段，任意样本输入训练好的网络后会被直接投影到该流形上，实现无需先验攻击知识的去噪防御。

流匹配（Flow Matching） 是一类训练连续时间生成模型的方法，其核心思想是直接学习一个将噪声分布映射到数据分布的常微分方程（ODE）速度场，而无需像传统扩散模型那样依赖大量的采样步数进行模拟。具体而言，流匹配通过构造从简单先验（如高斯噪声）到目标数据之间的概率路径，并回归该路径上的条件速度场来训练网络。与扩散模型相比，流匹配的训练目标更简单、训练过程更稳定，且推理时可采用更少的采样步数。在本文的无线电信号去噪场景中，流匹配被用来训练1D Transformer去噪网络，使其学习将含噪或对抗扰动的信号样本沿着一条“流”投影回干净信号的低维流形，从而实现无需攻击先验的去噪防御。

实验设计与关键数据

研究在RML2018.01A数据集上进行了实验，且未使用任何攻击信息，仅采用一个经验选取的固定去噪起始时间。这种设置更贴近实际场景——防御方往往无法预知攻击类型与强度。

与基于PGD的对抗训练相比，该方法在PGD攻击下的鲁棒准确率相对提升至少20.58%，在干净样本上的分类准确率也相对提升10.20%。这意味着防御方法没有以牺牲正常分类性能为代价，反而实现了双赢。

RML2018.01A数据集 是无线电信号自动调制分类领域广泛使用的基准数据集，由DeepSig公司发布。该数据集包含24种不同的模拟和数字调制类型（如BPSK、QPSK、8PSK、16QAM、64QAM、GFSK、CPFSK、PAM4、WBFM、AM-SSB等），覆盖了从简单到复杂的多种调制方案。每个样本以I/Q两路采样点构成的一维时序信号表示，采样长度通常为1024点，并包含不同的信噪比条件（从-20 dB到30 dB）。该数据集规模较大、调制类型丰富，常被用于评估调制分类模型的泛化能力和鲁棒性。本文选择RML2018.01A作为实验平台，使得评估结果在AMC领域具有较好的可比性和代表性。

面对未知攻击的泛化优势

更值得关注的是对训练中未见过的攻击类型的评估。当对抗训练面对未知攻击时，其防御效果往往大幅下降，而该JiT去噪方法展现出更强的防御能力。在较高攻击强度下，其鲁棒准确率相对提升至少39.72%。这一结果说明，学习将样本投影回干净流形的思路具有更好的泛化性，不依赖于特定攻击模式的先验知识。

对抗攻击的迁移性 是指针对一个模型生成的对抗样本，能够以较高概率误导另一个不同结构或不同训练数据的模型。这一现象源于不同模型在决策边界上的相似性。在AMC场景中，攻击者可能利用替代模型生成对抗扰动，再迁移至目标分类器实施攻击。对抗训练虽然能提升模型对训练中所见攻击的鲁棒性，但往往过拟合于特定攻击的扰动模式，导致对未见攻击（包括不同算法生成的对抗样本）的防御效果显著下降。本文所提的JiT去噪防御不依赖于攻击类型，而是学习将任意输入投影回干净信号流形，因此对具有迁移性的未知攻击也表现出更好的泛化防御能力，这解释了其在未知攻击下鲁棒准确率相对提升至少39.72%的实验结果。

方法的意义与局限

从方法论看，该研究将扩散生成模型中的直接预测思想引入信号去噪，为对抗防御提供了新视角。其无需攻击先验、推理阶段直接投影的特点，降低了防御部署的门槛。不过，实验仅在一个数据集上使用固定去噪起始时间，方法的普适性仍需更多验证。此外，1D Transformer去噪网络的计算开销、对多调制类型和复杂信道条件的适应性，也是实际部署前需要考察的问题。

总体而言，该工作展示了生成式模型在无线电安全领域的潜力，为AMC的鲁棒性提升提供了一条有前景的技术路径。