3. 对抗样本核心概念
对抗样本并不是“随便加噪声让模型出错”，它是一类在约束条件下求解最小扰动的问题。理解对抗样本，必须同时掌握五个核心概念：扰动、范数约束、白盒与黑盒攻击、目标与非目标攻击、迁移性。它们共同决定了一次攻击是否“有效、隐蔽、可复现、可迁移”。
一、扰动：对抗样本的“最小代价”
扰动 δ 是叠加在原始输入上的微小修改。在图像任务中，它表现为像素值的细微变化；在语音任务中，它可能是人耳几乎听不见的波形叠加；在文本任务中，它可能是同义词替换或字符扰动。扰动的核心矛盾在于：扰动越小，人越难察觉；扰动越大，攻击越容易成功。因此，攻击算法本质上是在“最小扰动”和“最大破坏”之间寻找平衡。
常见扰动类型包括：
- 加性扰动：x' = x + δ，最常见，适用于连续输入。
- 乘性扰动：x' = x · (1 + δ)，常用于光照、增益类场景。
- 结构化扰动：如 patch、贴纸、遮挡，扰动集中在局部区域。
- 语义扰动：文本同义替换、图像风格迁移，保持语义但改变模型判断。
二、范数约束：定义“多大算小”
范数约束是对抗样本的“度量尺”。没有范数约束，攻击就退化为无意义的随机破坏。最常用的是 L∞、L2 和 L0 范数：
| 范数 | 含义 | 典型场景 | 特点 |
|---|---|---|---|
| L∞ | 所有像素最大修改量的上界 | FGSM、PGD、BIM | 每个像素改动均匀，视觉上像均匀噪声 |
| L2 | 扰动向量欧氏距离 | C&W、DeepFool | 整体能量小，但个别像素可能改动较大 |
| L0 | 被修改的像素个数 | 稀疏攻击、单像素攻击 | 改动点极少，但单点幅度可能很大 |
在工程实践中，L∞ 最常用，因为它容易控制、便于批量评估。例如 ε=8/255 表示每个像素最多改变 8 个灰度级，通常肉眼难以察觉。L2 更适合衡量整体扰动能量，L0 则用于研究稀疏攻击和物理贴纸攻击。
三、白盒与黑盒攻击：知道多少，决定怎么打
白盒攻击假设攻击者完全掌握模型结构、参数和梯度，可以直接利用反向传播计算扰动方向。典型方法包括 FGSM、PGD、C&W。白盒攻击成功率高、扰动小，但现实场景中往往拿不到模型内部信息。
黑盒攻击只允许查询模型输入输出，不知道梯度。它又分为：
- 基于查询的攻击：通过大量查询估计梯度或边界，如 ZOO、NES。
- 基于迁移的攻击：在本地替代模型上生成对抗样本，再迁移到目标模型。
- 基于分数的攻击：只利用置信度分数，不依赖硬标签。
四、目标与非目标攻击：让模型“错”还是“错成指定类”
非目标攻击只要求模型预测错误，即 F(x') ≠ y。目标攻击则要求模型将 x' 误判为指定类别 t，即 F(x') = t。目标攻击难度更高，因为需要同时“远离真实类”和“靠近目标类”。
在损失函数上，非目标攻击通常最大化真实类损失；目标攻击则最小化目标类损失。例如：
# 非目标攻击：最大化真实标签损失
loss = -CrossEntropy(F(x'), y)
# 目标攻击：最小化目标标签损失
loss = CrossEntropy(F(x'), t)
目标攻击在安全敏感场景中更危险，例如将“停止”路牌识别为“限速”，或将“人脸 A”识别为“人脸 B”。非目标攻击则更多用于鲁棒性评估和拒绝服务式干扰。
五、迁移性：黑盒攻击的“桥梁”
迁移性是指在一个模型上生成的对抗样本，能够以一定概率欺骗另一个结构不同、参数不同的模型。迁移性是黑盒攻击的核心假设，也是对抗样本工程中最具实用价值的概念之一。
影响迁移性的因素包括：模型相似度、训练数据重叠度、扰动强度、攻击算法、是否使用集成模型等。提高迁移性的常见策略有：
- 集成攻击：在多个替代模型上同时优化扰动。
- 输入多样性：对输入做随机缩放、填充、翻转，避免过拟合单一模型。
- 动量迭代：如 MI-FGSM，稳定梯度方向，提升跨模型迁移。
- 特征层攻击：攻击中间特征而非仅输出层，增强泛化性。
六、案例与场景：从概念到工程
假设我们要评估一个自动驾驶感知模型。首先用白盒 PGD 在本地模型上生成 L∞ ε=8/255 的非目标对抗样本，观察模型误检率。然后训练一个替代模型，用 MI-FGSM 生成对抗样本，测试其迁移到目标模型上的成功率。最后，针对“将停止标志识别为限速标志”这一目标攻击场景，评估目标攻击的可行性与所需扰动预算。
1. 只关注攻击成功率，忽略扰动范数，导致对抗样本肉眼可见，失去研究意义。
2. 把白盒攻击结果直接当作真实风险，忽略黑盒迁移性通常更低。
3. 认为目标攻击一定比非目标攻击难，实际上在部分模型中目标攻击可通过定向优化高效实现。
4. 忽略迁移性评估，导致防御方案在真实黑盒场景下失效。
七、复盘：五个概念如何协同
扰动是“手段”，范数约束是“边界”，白盒与黑盒是“信息条件”，目标与非目标是“攻击意图”，迁移性是“现实桥梁”。在对抗样本生成工程中，任何一次攻击实验都应明确这五个维度：扰动类型、范数预算、攻击者知识、攻击目标、迁移评估方式。只有把这五个概念统一到实验设计中，才能生成可复现、可比较、可部署的对抗样本，并为后续的 Corner Case 挖掘与鲁棒性防御提供可靠基础。