探究 $\ell_1$ 攻击需要多少集中扰动

研究通过为 APGD-$\ell_1$ 等攻击增加坐标上限，发现限制大坐标变化后攻击成功率仍保留 97%。 在 18 种标准模型设置中，上限设为 32/255 时，中位峰值幅度降低 80%，有效支撑集近三倍。 循环内约束优化比事后截断多保留最高 88 个百分点的攻击成功率，确立了扰动集中度作为互补评估维度。