模型安全与对抗攻击：攻防视角下的鲁棒性

FreeGuideOnline 最新 2026-06-20

模型安全与对抗攻击：攻防视角下的鲁棒性

在人工智能广泛落地的今天，模型安全已从学术概念演变为工程必需。对抗攻击揭示了机器学习模型，尤其是深度神经网络，在面对精心构造的微小扰动时的脆弱性。理解攻击的原理与防御的策略，是构建鲁棒系统的基石。本教程将从攻防双视角出发，系统介绍对抗攻击的核心概念、经典方法与提升鲁棒性的关键技术。

为什么模型会被“欺骗”？

神经网络通过学习输入与输出之间的复杂映射来工作，但这种映射在高维空间中往往是不平滑的。对抗样本正是在输入上施加人眼不可察觉的扰动，使模型以高置信度输出错误结果。其根本原因在于：

  • 线性假象：在高维空间中，即使模型整体是非线性的，局部仍可能表现出近似线性的行为。微小的输入变化经层层权重放大后，可能导致输出发生剧烈改变。
  • 决策边界的非鲁棒性：模型的决策边界在训练数据附近往往过于复杂或紧贴数据流形，导致微小偏移就跨越边界。
  • 训练数据的局限性：训练集无法覆盖所有可能的输入分布，模型倾向于记住统计相关性而非学习到真正的不变特征。

对抗攻击的核心方法

攻击可以从多个维度分类：攻击者是否了解模型内部参数（白盒/黑盒）、攻击是否具有针对性（目标/非目标）、扰动施加的阶段（逃避攻击/投毒攻击）。以下聚焦于最常见的逃避攻击，即在推理阶段构造对抗样本。

白盒攻击——基于梯度的精准扰动

当攻击者能够完整访问模型架构与梯度信息时，可利用损失函数相对于输入的梯度来生成扰动。

  • FGSM（快速梯度符号法）
    最经典的单步攻击。核心思想是沿梯度上升方向施加符号扰动，使损失增大：

    x_adv = x + ε * sign(∇_x J(θ, x, y))

    其中 ε 控制扰动大小。计算高效，但攻击强度有限。

  • PGD（投影梯度下降）
    多步迭代版本的FGSM，被视为一阶攻击的“最强基准”。每一步在梯度的符号方向进行小步伐移动，并将结果投影回 ε 球内以保证扰动不可见：

    x_{t+1} = Π_{x+ε}( x_t + α * sign(∇_x J(θ, x_t, y)) )

    PGD攻击对许多防御方法构成了严峻考验，常被用作鲁棒性评估的标准工具。

  • C&W（Carlini & Wagner攻击）
    将攻击建模为优化问题，通过寻找最小扰动使模型错分，同时保持扰动不可见。使用自定义损失函数和约束，能够攻破许多防御性蒸馏等方法，是精准攻击的代表。

黑盒攻击——无需内部信息的隐蔽攻击

黑盒场景更贴近真实威胁，攻击者只能查询模型获取输入-输出对。

  • 基于迁移的攻击：在替代模型上使用白盒方法生成对抗样本，再迁移至目标模型。依赖对抗样本的跨模型迁移性。
  • 基于查询的攻击：
    • 分数查询：利用模型输出的置信度分数估计梯度或直接搜索扰动方向（如ZOO攻击）。
    • 决策查询：仅利用模型输出的最终标签，通过边界攻击（Boundary Attack）在决策边界附近游走，逐步减小扰动。
  • 物理世界攻击：在现实场景中通过打印图案、佩戴特制眼镜等方式实现攻击，需要考虑视角、光照等物理变化，代表方法有RP2、对抗补丁等。

提升模型鲁棒性的防御策略

防御的目标是使模型在面对对抗扰动时仍能正确预测。防御方法需要经受住自适应攻击的评估，避免带来虚假的安全感。

对抗训练——最有效的经验防御

对抗训练将对抗样本动态加入训练过程，强迫模型学习平滑且鲁棒的决策边界。其本质是求解一个min-max优化问题：

min_θ E_{(x,y)~D}[ max_{||δ||≤ε} L(f_θ(x+δ), y) ]
  • 标准对抗训练：在每一步训练中，使用PGD等方法为当前批次生成对抗样本，然后在这些样本上更新模型参数。
  • TRADES：在损失函数中显式加入鲁棒性正则项，平衡自然准确性与对抗鲁棒性之间的权衡。
  • 高效对抗训练：如Free AT、Fast AT等，通过重放梯度、单步攻击等方式加速训练，使对抗训练更实用。

实践要点：对抗训练需要较大的模型容量和足够的训练轮次；ε 和扰动步长的选择需与评估时保持一致，否则可能产生虚假鲁棒性。

输入预处理与去噪

试图在输入到达模型前消除对抗扰动。

  • 特征压缩：通过比特深度缩减、中值滤波等减少对抗扰动空间。
  • 基于MagNet的去噪：训练一个自编码器或去噪器来清理输入。
  • 随机化：在推理时对输入进行随机缩放、填充或加入小量噪声，破坏攻击者精心构造的扰动模式。

这类方法容易受到“反向梯度攻击”（Backward Pass Differentiable Approximation）的绕过，需谨慎使用。

可验证鲁棒性与理论保证

追求数学上证明的鲁棒性下界，即使在最坏情况攻击下也能保证预测不变。

  • 区间传播（Interval Bound Propagation）：通过逐层计算输出值的上下界来验证。
  • 线性松弛方法（如CROWN）：用线性边界框出非线性激活函数，高效传播范围。
  • 随机平滑（Randomized Smoothing）：通过在输入上多次添加高斯噪声并统计投票结果，得到一个带有概率保证的鲁棒分类器。该方法简单可扩展，是目前工业界接受度较高的手段。

检测机制

区分正常样本与对抗样本，可在分类前进行过滤。常用方法包括：

  • 利用辅助分类器检测输入分布异常。
  • 比较不同层的特征一致性。
  • 使用马氏距离等距离度量进行异常检测。

需要注意的是，检测器本身也可能成为攻击目标，攻击者可联合优化样本以同时欺骗分类器和检测器。

面向鲁棒性的评估与实战建议

模型安全不能只靠单一指标衡量。建立坚实的防御体系需要遵循以下准则：

  1. 多攻击、多参数评估：使用PGD、C&W、AutoAttack等不同攻击方法，并尝试多种 ε 幅度和步长策略。
  2. 区分最佳与平均状况：报告最差情况下的鲁棒准确率，而非仅平均情况。
  3. 注意混淆梯度：如果攻击时发现梯度消失或梯度砸烂，应检查防御是否依赖于不可靠的机制（如梯度掩蔽），并使用黑盒攻击或可微近似进行复核。
  4. 权衡实用性与安全性：对抗训练会降低标准测试准确率，随机平滑增加推理成本。需根据业务场景设定可接受的权衡边界。

总结

模型安全是一场持续的攻防博弈。理解攻击者的视角能让我们设计出更精准的防御；而防御的进步又催生更强的攻击方法。对于大多数实际系统，对抗训练结合可验证方法（如随机平滑）是目前兼顾效果与保障的推荐组合。但更根本的是建立安全开发生命周期，将鲁棒性作为模型的核心指标之一，融入数据收集、训练、测试到部署的每一个环节。