1. 课程导入：TinyML与对抗样本风险概述

TinyML（微型机器学习）正在将人工智能从云端数据中心推向数十亿个微控制器（MCU）与边缘传感器节点。当模型运行在仅有几十KB内存、主频不足百MHz的嵌入式设备上时，其推理结果直接控制着物理世界的动作——从工业振动监测到可穿戴健康预警，从智能家居语音唤醒到农业害虫识别。然而，一个被广泛忽视的事实是：这些轻量级模型同样暴露在对抗样本攻击的威胁之下。攻击者只需在输入数据上施加人眼难以察觉的微小扰动，就能让一个原本置信度高达99%的模型输出完全错误的分类结果。本章将系统性地建立TinyML对抗样本风险的知识框架，明确学习路径，并完成实战环境的搭建准备。

上图展示了TinyML对抗样本风险的核心逻辑链路：端侧系统、攻击面与风险后果三者之间的因果关系，以及底部对应的鲁棒性测试与防御体系。理解这张图，就掌握了本课程的整体脉络——我们不仅要学会“攻击”以验证模型脆弱性，更要掌握“防御”与“测试”的工程方法。

1.1 TinyML的独特安全边界

核心原理：TinyML与传统云端AI的安全模型存在本质差异。云端模型运行在受控的数据中心，有防火墙、入侵检测、权限管理等成熟安全机制；而TinyML设备部署在物理环境中，攻击者可以物理接触设备，直接操纵传感器输入（如对麦克风播放特定频率声音、在摄像头前放置打印图案、向IMU注入振动信号）。更关键的是，TinyML模型经过量化（如从FP32压缩到INT8）、剪枝和知识蒸馏后，其决策边界变得更为粗糙和不稳定，对抗扰动更容易跨越决策边界。

对比维度	云端AI	TinyML端侧
部署环境	受控数据中心	物理开放环境
攻击者接触面	网络接口为主	物理接口+网络+传感器
模型精度	FP32/FP16高精度	INT8/INT4量化，精度损失
计算资源	GPU/TPU充足	MCU受限，无冗余计算
更新机制	热更新/在线学习	固件烧录，更新成本高
监控能力	全链路日志监控	日志有限，难以回溯

这种差异意味着，针对云端模型的对抗攻击方法（如PGD、FGSM）虽然原理相通，但在TinyML场景下需要重新设计约束条件——扰动不仅要满足Lp范数限制，还要考虑物理可实现性（如声音的响度、光线的亮度、振动的幅度）。同时，端侧模型缺乏对抗鲁棒性评估工具，开发者往往只关注准确率指标，忽视了模型在对抗环境下的可靠性。

1.2 学习目标与能力模型

完成本章及后续课程后，学习者应具备以下四项核心能力：

• 风险识别能力：能够评估特定TinyML应用场景中对抗样本攻击的现实威胁等级，识别高风险的传感器类型与模型架构。
• 攻击复现能力：掌握至少两种针对端侧模型的对抗样本生成算法（如FGSM、PGD），并能将其适配到量化模型和物理传感器输入。
• 鲁棒性测试能力：建立系统化的测试流程，包括对抗样本生成、批量评估、误判率统计、置信度分析，并输出可量化的鲁棒性报告。
• 防御加固能力：理解对抗训练、输入预处理、异常检测等防御手段在资源受限设备上的可行性，能够选择并实施轻量级防御方案。

1.3 实战环境准备

操作流程：为了确保后续实验的可复现性，需要搭建一套完整的开发与测试环境。以下是推荐的软硬件配置清单：

1. 硬件设备：ESP32-S3开发板（内置AI加速器）或STM32F746G-DISCO开发板，搭配对应传感器模块（如INMP441麦克风、OV2640摄像头、MPU6050 IMU）。
2. 开发框架：TensorFlow Lite for Microcontrollers（TFLM）作为推理引擎，Edge Impulse或Arduino IDE作为模型部署工具。
3. 攻击工具：Python 3.9+环境，安装TensorFlow 2.10+、NumPy、Matplotlib、Adversarial Robustness Toolbox（ART）库。
4. 调试工具：串口监视器（PuTTY或Arduino Serial Monitor）、逻辑分析仪（用于捕获传感器时序信号）、OpenOCD（用于调试）。

# 创建Python虚拟环境并安装依赖
python -m venv tinyml_adv
source tinyml_adv/bin/activate  # Linux/Mac
# 或 tinyml_adv\Scripts\activate  # Windows

pip install tensorflow==2.10.0
pip install numpy matplotlib
pip install adversarial-robustness-toolbox
pip install pyserial

# 验证安装
python -c "import tensorflow as tf; print('TF version:', tf.__version__)"
python -c "from art.attacks.evasion import FastGradientMethod; print('ART ready')"

环境准备过程中，一个常见问题是TensorFlow版本与ART库的兼容性。建议使用TensorFlow 2.10-2.12版本，避免使用2.13+（API变动较大）。如果使用Apple Silicon Mac，需要安装tensorflow-macos分支。

1.4 案例拆解：工业振动监测系统的对抗风险初探

案例背景：某工厂部署了一套基于TinyML的旋转机械故障诊断系统，使用ESP32-S3采集加速度计（ADXL345）的振动数据，通过一个INT8量化的CNN模型（参数量约50K）实时判断设备状态（正常/轴承磨损/转子不平衡）。系统已运行3个月，准确率在正常工况下达到97%。

初始现象：维护团队发现，在某个特定时间段（每天下午3点-4点），系统频繁将“正常”状态误判为“轴承磨损”，导致不必要的停机检查。初步排查排除了传感器硬件故障和通信干扰。

分析过程：通过串口日志分析，发现误判时段恰好与工厂附近一条铁路的货运列车经过时间吻合。进一步采集该时段的原始振动数据，与正常数据对比，发现存在一个频率约为23Hz的周期性振动叠加在设备振动信号上。该频率与列车经过时地面传导的振动频率一致。

关键数据：

• 正常振动信号：主频50Hz（电机旋转频率），幅值0.8g
• 受干扰信号：叠加23Hz分量，幅值0.15g，信噪比约14.5dB
• 模型输出：正常样本置信度0.92，受干扰样本置信度0.61（误判为轴承磨损）

对抗样本判定：虽然这不是恶意攻击，但本质上是一种“自然对抗样本”——环境中的物理扰动导致模型误判。这暴露了模型对非目标频率成分的敏感性。使用FGSM算法在原始正常样本上添加一个幅值为0.1g的23Hz正弦扰动，模型误判率从3%上升到41%，验证了模型对该频率的脆弱性。

实际操作步骤：

1. 使用Python脚本从串口捕获1000个正常振动样本和1000个受干扰样本。
2. 对样本进行FFT分析，提取频谱特征，确认23Hz干扰分量。
3. 在PC上加载原始FP32模型，使用ART库的FastGradientMethod生成对抗样本。
4. 将对抗样本通过串口回放至ESP32-S3，观察实时推理结果。
5. 对比FP32模型与INT8量化模型的误判率差异。

结果对比：

模型版本	正常样本准确率	受干扰样本准确率	FGSM对抗样本准确率
FP32模型	98.2%	72.5%	55.3%
INT8量化模型	97.1%	61.0%	38.7%

风险与代价：量化模型在对抗样本下的准确率比FP32模型低约17个百分点，说明量化过程进一步削弱了模型的鲁棒性。如果该误判导致不必要的停机，每次停机损失约2万元人民币。而如果攻击者恶意利用该漏洞，可能造成更严重的安全事故。

复盘经验：

• TinyML模型部署前必须进行对抗鲁棒性评估，不能仅以标准测试集准确率为唯一指标。
• 物理环境中的“自然扰动”是发现模型脆弱性的重要线索，应建立持续监控机制。
• 量化感知训练（QAT）比训练后量化（PTQ）能保留更好的鲁棒性，后续章节将详细展开。
• 简单的输入预处理（如带通滤波去除23Hz分量）即可大幅提升鲁棒性，但需注意不要滤除有效信号。

1.5 常见误区与总结复盘

误区一：认为TinyML模型太小，攻击者不值得攻击。实际上，TinyML设备往往控制着物理执行器（如阀门、电机、报警器），攻击者可能通过制造误判来造成物理破坏或规避安全检测。例如，攻击者可以干扰烟雾探测器模型，使其无法识别真实火情。

误区二：对抗样本只存在于图像识别。事实上，音频、振动、温度、磁场等所有传感器数据都可能被构造对抗扰动。在TinyML场景中，物理传感器攻击往往比数字图像攻击更容易实现，因为攻击者只需在物理环境中施加扰动即可。

误区三：量化模型对对抗扰动有天然免疫力。实验表明，量化模型虽然会“抹平”部分微小扰动，但同时也改变了决策边界的形状，可能产生新的脆弱点。在某些情况下，量化模型的对抗鲁棒性反而更差（如上述案例所示）。

误区四：对抗训练会显著降低模型准确率。现代对抗训练方法（如TRADES、Madry）在保持标准准确率的同时，能显著提升鲁棒性。对于TinyML场景，轻量级对抗训练（如仅对最后几层进行对抗微调）可以在计算资源受限的情况下取得良好效果。