2、TinyML基础回顾：端侧模型特点（资源受限、量化、剪枝、蒸馏）及其对鲁棒性的影响
TinyML 的核心挑战在于：我们必须在极度受限的硬件资源上部署神经网络模型，同时还要保证模型在真实物理世界中的可靠性。理解端侧模型的四个关键特征——资源受限、量化、剪枝、蒸馏——是评估对抗样本风险的前提。这些技术虽然解决了“模型能否跑起来”的问题，却也深刻改变了模型的决策边界，使其对微小扰动更加敏感。本章将系统梳理这些技术的内在机制，并分析它们如何放大或抑制对抗样本的威胁。
上图展示了 TinyML 模型从训练到部署再到鲁棒性评估的完整链路。原始模型经过量化、剪枝、蒸馏等压缩技术，在资源受限的硬件上形成端侧部署模型，但这一过程会引入决策边界畸变、梯度信息失真等问题，最终导致模型对对抗样本的容忍度显著下降。下面我们逐一剖析每个环节。
2.1 资源受限：端侧部署的硬约束
核心原理：端侧设备（如 Cortex-M 系列 MCU、低功耗 DSP、NPU）通常只有几十 KB 到几 MB 的 RAM，Flash 存储也极为有限，且依赖电池供电。这意味着模型必须满足三个硬指标：内存占用小（权重和中间激活值不能超出 RAM 上限）、计算量低（乘加运算次数需在实时性要求内完成）、功耗可控（峰值算力受限于散热和电池容量）。例如，在 1MB Flash、256KB RAM 的 MCU 上部署关键词唤醒模型，通常要求模型参数量不超过 500KB，单次推理时间小于 50ms。
对鲁棒性的影响：资源受限直接限制了模型的容量。一个参数量被压缩到极致的模型，其决策边界往往过于简单，无法捕捉输入空间中复杂的非线性区域。当攻击者施加精心设计的微小扰动时，这些扰动很容易将输入样本推过脆弱的决策边界，导致误判。此外，端侧设备通常缺乏足够的内存来缓存输入数据的统计特征，使得输入预处理（如去噪、归一化）难以实施，进一步降低了模型的抗干扰能力。
2.2 量化：精度换效率的双刃剑
核心原理：量化是将浮点权重和激活值映射到低比特整数（如 INT8、INT4）的过程。以 INT8 量化为例，每个权重从 32 位浮点变为 8 位整数，模型体积缩小 4 倍，推理速度提升 2-4 倍。量化分为训练后量化（PTQ）和量化感知训练（QAT）两种。PTQ 直接对预训练模型进行校准，简单快速但精度损失较大；QAT 在训练过程中模拟量化误差，让模型自适应调整权重分布，精度保持更好。
对鲁棒性的影响：量化过程引入了非线性舍入误差，这种误差在对抗扰动下会被放大。具体表现为：
- 梯度信息失真：量化后的模型梯度不再平滑，攻击者使用梯度下降法生成对抗样本时，梯度方向可能偏离真实最优点，导致生成的扰动“过拟合”到量化噪声上，反而降低了攻击的迁移性，但也可能产生“意外”的强攻击样本。
- 决策边界畸变：量化误差使得原本平滑的决策边界出现锯齿状波动，某些输入区域对扰动异常敏感。例如，一个在浮点模型上分类正确的样本，量化后可能落在边界附近，微小的扰动就能使其跨越边界。
- 极端值敏感：量化范围（如 [-128, 127]）外的权重被截断，导致模型对输入中的极端像素值（如过曝、过暗区域）反应异常，攻击者可以利用这一点构造物理世界中的光照扰动。
| 量化类型 | 精度保持 | 鲁棒性风险 | 适用场景 |
|---|---|---|---|
| PTQ（训练后量化） | 中等（通常损失 1-3%） | 高：校准集与真实分布偏差大时，边界畸变严重 | 快速原型验证、已有模型部署 |
| QAT（量化感知训练） | 高（损失 <1%） | 中：模型已适应量化噪声，但对抗扰动仍可能被放大 | 对精度和鲁棒性要求高的产品 |
| 混合精度量化 | 较高 | 低-中：关键层保留高精度，但需手动分析层敏感性 | 资源紧张且需平衡鲁棒性的场景 |
2.3 剪枝：稀疏化带来的脆弱性
核心原理：剪枝通过移除不重要的权重或神经元来减小模型规模。非结构化剪枝将单个权重置零，产生稀疏矩阵，但需要特殊硬件支持；结构化剪枝（如通道剪枝、滤波器剪枝）直接删除整个通道或滤波器，更利于在 MCU 上加速。剪枝的常见流程是：训练大模型 → 评估权重重要性（如 L1/L2 范数、泰勒展开）→ 剪除低重要性权重 → 微调恢复精度。
对鲁棒性的影响：剪枝改变了模型的表征能力，其影响比量化更为隐蔽：
- 特征冗余度降低：剪枝后的模型缺乏冗余特征来“对冲”输入扰动。例如，一个用于图像分类的模型，原本有多个滤波器检测边缘特征，剪枝后可能只剩下一个，当攻击者在该边缘区域添加噪声时，模型无法通过其他特征进行交叉验证，误判率显著上升。
- 梯度稀疏化：非结构化剪枝导致大量权重为零，这些位置的梯度也为零，攻击者无法利用这些位置生成扰动，但剩余非零权重的梯度方向可能被放大，使得攻击更加“精准”。
- 微调过程中的遗忘：剪枝后的微调阶段，模型可能过度拟合训练集，而忽略了对扰动鲁棒性的保持。如果微调时未加入对抗样本，模型对扰动的抵抗力可能比剪枝前更差。
2.4 蒸馏：知识迁移中的信息损失
核心原理：知识蒸馏（Knowledge Distillation）通过让一个小模型（学生）学习大模型（教师）的输出分布来压缩模型。学生模型不仅学习硬标签（正确类别），还学习教师模型的软标签（各类别概率分布），从而获得更丰富的“暗知识”。蒸馏温度 T 控制软标签的平滑程度，T 越高，分布越平滑，学生模型能学到更多类间相似性信息。
对鲁棒性的影响：蒸馏对鲁棒性的影响具有两面性：
- 正面效应：如果教师模型本身具有较好的鲁棒性（如经过对抗训练），学生模型通过模仿教师的软标签，可以继承部分鲁棒性。这是因为软标签包含了教师对扰动的“反应模式”，学生模型学会了更平滑的决策边界。
- 负面效应：蒸馏过程中的信息瓶颈（学生模型容量有限）会导致部分关键特征丢失。特别是当蒸馏温度设置不当时，学生模型可能过度平滑决策边界，导致对某些正常样本也产生误判，同时对抗样本更容易利用这种过度平滑区域。
- 梯度传递问题：学生模型的梯度与教师模型的梯度存在偏差，攻击者针对学生模型生成的对抗样本，可能无法有效迁移到教师模型，但反过来，针对教师模型的攻击却可能轻易击穿学生模型。
2.5 综合影响与鲁棒性测试要点
上述四种技术往往组合使用，其叠加效应可能产生“鲁棒性雪崩”。例如，一个模型先经过剪枝（移除 50% 通道），再量化为 INT8，最后通过蒸馏压缩到 1/10 大小，其对抗鲁棒性可能比原始模型下降 60% 以上。因此，在 TinyML 对抗样本风险测试中，必须考虑以下要点：
| 测试阶段 | 关键操作 | 关注指标 |
|---|---|---|
| 压缩前基线 | 在原始浮点模型上测试对抗样本攻击成功率 | 干净样本准确率、攻击成功率（ASR） |
| 单技术压缩后 | 分别测试量化、剪枝、蒸馏后的模型 | ASR 变化率、决策边界偏移量 |
| 组合压缩后 | 按实际部署流程组合所有压缩技术 | 端到端 ASR、误判类别分布 |
| 物理环境测试 | 在真实硬件上施加光照、遮挡、噪声扰动 | 物理攻击成功率、时延变化 |
案例拆解：某智能门锁项目使用关键词唤醒模型（KWS），部署在 Cortex-M4 上。原始模型为 2.3MB 浮点模型，准确率 97%。经过 INT8 量化（体积降至 580KB）和 60% 通道剪枝（体积降至 230KB）后，干净样本准确率仅下降 1.2%，看似正常。但在鲁棒性测试中，使用 FGSM 攻击（扰动强度 ε=0.05）时，攻击成功率从原始模型的 12% 飙升至 47%。进一步分析发现，剪枝移除了大量用于检测环境噪声的滤波器，导致模型对背景噪声中的微小扰动异常敏感。解决方案是：在剪枝微调阶段加入 15% 的对抗样本，并将量化改为 QAT 方式，最终攻击成功率降至 21%，同时准确率保持在 95.5% 以上。
总结复盘：TinyML 端侧模型的四个核心特征——资源受限、量化、剪枝、蒸馏——在解决部署问题的同时，也引入了新的鲁棒性风险。资源受限决定了模型容量上限，量化带来梯度失真和边界畸变，剪枝降低特征冗余度，蒸馏可能丢失关键信息。在实际项目中，建议采用“鲁棒性优先”的压缩策略：先确定目标硬件的资源预算，再选择压缩技术组合，并在每个压缩步骤后立即进行对抗样本测试。只有将鲁棒性测试嵌入到模型压缩的全流程中，才能确保端侧模型在真实物理世界中既高效又可靠。