想象一场魔术秀：舞台裁判的任务是盯紧每一件道具，判断舞台上什么是真、什么是假。魔术师拿着一块黑色天鹅绒布，轻轻一晃，硬币就在裁判眼皮底下消失了。裁判不是反应慢，而是天鹅绒布恰好落在他的“注意力盲区”里——他的视线默认那块布后面没有机关。现在，把舞台换成真实公路：裁判是自动驾驶汽车的感知系统（激光雷达与3D相机），魔术师则是恶意攻击者。攻击者把一块精心设计的泡沫板放在路边，汽车的三维感知系统就可能“看不见”板后真实的行人；攻击者把一个3D打印的“乌龟”放在路中央，汽车的分类器可能信心十足地把它识别成“步枪”。这些在物理世界中制造出来、专门欺骗3D感知系统的特殊物体，就是3D对抗样本。本文将从威胁认知、攻击原理、攻击分类、与2D攻击的区别、防御策略到演进趋势，带你完整看懂这场发生在公路上的“魔术障眼法”。

岗位关联

掌握3D对抗攻击的原理与防御思路，是进入自动驾驶、机器人与智能安防领域的必备安全意识。它帮助你从“攻击者视角”审视系统漏洞，构建更稳健、更可信的AI系统。

目录
  1. 可视化演示
  2. 威胁认知：公路上的魔术师
  3. 攻击原理：彩排过无数次的魔术道具
  4. 攻击分类：三种障眼法
  5. 2D与3D差异：从照片魔术到雕塑魔术
  6. 防御策略：给裁判戴上三副眼镜
  7. 演进趋势：永不落幕的攻防较量
  8. AI 应用场景
  9. Python 演示
  10. 常见误区
  11. 面试题

可视化演示

展示编译器从源代码到目标代码的六阶段流水线处理过程，观察每个阶段的输入输出和数据转换。

本节配有交互动效（进入视口后自动加载，约 3KB）。

编译器流水线 词法分析将源代码分解为Token序列 语法分析构建语法分析树AST 六阶段顺序执行，前阶段输出为后阶段输入

威胁认知：公路上的魔术师

想象一场魔术秀的开幕：舞台裁判带着“专业”的自信走上台，他的任务只有一个——盯紧道具，判断台上是真是假。魔术师拿出一块黑色天鹅绒布，轻轻一晃，硬币消失了。裁判不是笨，而是天鹅绒布恰好落在他的“注意力盲区”里：他的眼睛默认那块布后面没有机关，默认眼前的一切都是“正常样例”。这就是3D对抗攻击的第一个关键认知——感知系统对世界的“信任”，正是攻击者利用的切入点。

在真实世界中，魔术师就是恶意攻击者。当攻击者把一块精心设计的泡沫板放在路边，自动驾驶汽车的三维感知系统就可能“看不见”板后真实的行人；当攻击者把一个3D打印的“乌龟”放在路中央，汽车的分类器可能信心十足地把它识别成“步枪”。这类在物理世界中制造出来、能让激光雷达（LiDAR，利用激光扫描获取三维空间信息的传感器）和3D相机产生错误判断的特殊物体，就是3D对抗样本。攻击者的动机多种多样：制造交通事故、打劫无人配送车、干扰安防巡逻，或是纯粹的安全研究。

从技术视角看，3D对抗攻击的目标可以形式化为：在真实点云上施加一个尽可能小的“物理改动”，让感知模型给出与真实情况不同的判断。这里的“点云”指传感器扫描到的一组三维坐标点，每个点代表物体表面上的一个反射位置；“物理改动”则指真实世界中可以实现的形状、位置或材质变化。

回到魔术秀：魔术师要的不是把硬币真的变没，而是在裁判判断的那一瞬间，让“看不见”成为最可信的结论。3D对抗攻击同样如此——攻击者不追求物理上消灭行人，只追求在感知模型的“大脑”里完成一次漂亮的障眼法。

min⁡δ∥δ∥ps.t.f(P+δ)≠ytrue\min_{\delta} \|\delta\|_p \quad \text{s.t.} \quad f(P + \delta) \neq y_{\text{true}}
攻击者在原始点云P上寻找一个“最小的物理改动”δ，让感知模型f给出与真实标签y_true不同的判断。
  1. 最小化扰动范数我们要找的改动δ的“大小”（p范数）尽可能小。物理世界中改动越小，物体越不引人怀疑，也越容易通过3D打印等工艺实现。
    min⁡δ∥δ∥p\min_{\delta} \|\delta\|_p
  2. 模型的错误输出改动后的点云经过感知模型f后，输出不再是真实标签。模型必须“认错”，攻击才算成功。
    f(P+δ)≠ytruef(P + \delta) \neq y_{\text{true}}

攻击原理：彩排过无数次的魔术道具

为什么天鹅绒布能骗过裁判？因为魔术师研究过裁判的视线习惯——注意力总在舞台中央，总以为布后面没有机关。AI感知系统也有类似的“习惯”：它默认点云里的每个点都来自真实物体，默认传感器不会被欺骗。这种对输入的无条件信任，就是模型漏洞的成因。

3D对抗攻击的构造分三步走。第一步，找到感知模型的薄弱点——什么样的输入会让它误判；第二步，在数字世界里构造扰动——在点云坐标上微调位置、增加或删除点；第三步，也是最具挑战性的一步，把数字扰动“翻译”成可物理实现的物体。物体一旦被摆在真实环境中，就要面对不断变化的视角、距离、光照和传感器噪声。为了应对这种变化，研究者提出了期望变换（Expectation over Transformation，EOT）思路：在优化时枚举大量可能的物理变换，让扰动在“平均意义”上对所有变换都有效。

魔术师的道具不是随手抓来的，而是反复排练过的：在每个座位、每束灯光下都试一遍，确保全场观众都会被骗到。EOT就是这种“彩排”的数学形式——让魔术道具在每一种可能的观众视角下都完美表演。

δ∗=arg⁡min⁡δ  Et∼T[L(f(t(P+δ)), ytarget)]\delta^* = \arg\min_{\delta} \; \mathbb{E}_{t \sim \mathcal{T}}\left[ \mathcal{L}\big( f(t(P + \delta)),\, y_{\text{target}} \big) \right]
最优扰动δ\*要使“经过各种物理变换t之后仍被识别为目标类”的平均损失最小。
  1. 物理变换的期望枚举一系列物理变换（视角、距离、光照），把每种情况下的攻击效果做平均，这是EOT的核心。
    Et∼T\mathbb{E}_{t \sim \mathcal{T}}
  2. 攻击的损失函数模型对变换后点云的输出，与攻击者期望的目标标签之间的差距。差距越大，说明攻击效果越差。
    L(f(t(P+δ)), ytarget)\mathcal{L}\big(f(t(P + \delta)),\, y_{\text{target}}\big)
  3. 寻找最优扰动在所有候选扰动中，挑选让平均损失最小的那个——它就是在各种条件下都能成功骗过模型的“万能道具”。
    arg⁡min⁡δ\arg\min_{\delta}

攻击分类：三种障眼法

魔术师的障眼法可以归为三类：让东西“看不见”、让东西“认错人”、让东西“凭空出现”。3D对抗攻击恰好也有这三种套路，对应三种完全不同的攻击思路。

第一类是遮挡删除型攻击：让真实目标从感知中消失。最经典的实现是在行人与激光雷达之间放置一块泡沫板，激光束被挡板物理拦截，板后的点全部丢失，行人就从点云中“蒸发”了。第二类是伪装欺骗型攻击：把一个物体改造成另一个物体的样子。比如3D打印一只“乌龟”放在路上，分类器却信心十足地把它识别成“步枪”——它利用的是模型对局部几何特征的混淆。第三类是凭空捏造型攻击：在点云中伪造不存在的物体。攻击者用低成本的激光器发射伪造脉冲，让接收器记录下不存在的点——车会“看到”前方凭空出现一堵墙而急刹车，或者出现一个“幽灵行人”而误判路况。

从技术上看，三类攻击利用的漏洞各不相同。遮挡删除利用的是激光雷达的视线遮挡物理特性——激光束是直线传播的，遇到不透明物体会被拦下；伪装欺骗利用的是分类模型的特征混淆——物体的局部轮廓与模型记忆中的某个类别过于相似；凭空捏造利用的是传感协议的信任缺陷——接收器默认每个到达的脉冲都属于真实反射。已有研究证明：在人车混行的场景中，只要放一个20厘米左右的泡沫板，就能稳定删掉行人点云，让车辆的决策系统对行人“视而不见”。

三类障眼法对应三种“魔术道具”：隐身布、易容面具、投影幻灯。作为安全设计者，你必须同时提防这三种套路——只防其中一种，就会在另外两种面前栽跟头。

Rdet=∣Ddetected∣∣Dground truth∣R_{\text{det}} = \frac{|D_{\text{detected}}|}{|D_{\text{ground truth}}|}
感知系统对真实目标的“检出率”等于检测到的点数除以真实点数，遮挡删除攻击的目标就是把这个比值压到极低。
  1. 检测到的点数传感器实际扫描并识别到的目标点数。挡板会拦截射线，让分子骤减。
    ∣Ddetected∣|D_{\text{detected}}|
  2. 真实应有的点数参考标准中目标真实应产生的点数，由目标几何尺寸与传感器分辨率共同决定。
    ∣Dground truth∣|D_{\text{ground truth}}|
  3. 比值决定生死当检出率低于检测算法的阈值时，目标就被判定为“不存在”。
    RdetR_{\text{det}}

2D与3D差异：从照片魔术到雕塑魔术

如果说2D对抗攻击是“给照片里的苹果偷偷画上一笔阴影”，那么3D对抗攻击就是“把一个真实的苹果雕刻成香蕉的形状”。魔术师在二维照片上动手脚很容易，但在三维舞台上，道具必须经得起观众从各个角度反复打量。这个比喻点出了两者的本质区别：数字域与物理域的差异。

2D对抗攻击作用于图像的像素空间，扰动只在一张图里成立——光线、视角、传感器型号都固定不变。3D对抗攻击作用于物理空间，扰动必须刻在实体上，并经受任意视角、距离、光照、遮挡的考验。因此，2D扰动通常“细碎、轻量”，改动几个像素就够了；3D扰动则必须“整体、粗壮”——物体的几何形状改动要以毫米级工艺实现，并且在大范围视角内持续有效。

技术上的另一个关键差异是鲁棒性要求。2D对抗样本只需要在单一视点下骗过模型；3D对抗样本要在连续环境中被多次、多角度扫描，任何视角的失败都可能导致攻击被识破。这解释了为什么3D攻击的构造成本和难度显著更高——反过来，一旦成功，它的威胁也更致命，因为它直接作用于物理结果（如刹车、转向、避障决策）。此外，3D扰动还受物理可制造性约束：材质、打印精度、表面反射率都会影响攻击是否在真实世界中“水土不服”。

如果说2D攻击是“一张照片的魔术”，3D攻击就是“一尊雕塑的魔术”。观众绕雕塑走一圈，无论从哪个角度都要被骗到——这正是物理世界攻击最难、也最可怕的地方。

max⁡δ  Ev∼V[1{f(v⋅(P+δ))=yadv}]\max_{\delta} \; \mathbb{E}_{v \sim \mathcal{V}} \left[ \mathbf{1}\left\{ f(v \cdot (P + \delta)) = y_{\text{adv}} \right\} \right]
攻击者希望扰动在“所有可能视角v”下都被模型判定为对抗目标类y_adv——这是3D攻击独有的多视角要求。
  1. 视角的分布物理世界中传感器会从各个角度观察物体，用分布V描述所有可能视角。
    v∼Vv \sim \mathcal{V}
  2. 指示函数大括号内条件成立取1、否则取0，用来统计“这个视角下是否成功骗过模型”。
    1{f(v⋅(P+δ))=yadv}\mathbf{1}\{ f(v \cdot (P + \delta)) = y_{\text{adv}} \}
  3. 成功率的期望把所有视角下的成功率平均。攻击者追求这个平均值接近1，因为哪怕一个视角失败都可能暴露。
    Ev∼V[⋯ ]\mathbb{E}_{v \sim \mathcal{V}}[\cdots]

防御策略：给裁判戴上三副眼镜

魔术再高明也有破解之道：让裁判多带几双眼睛、训练裁判识别惯用手法、设立“第二意见”复核机制。3D对抗防御也是同样的思路，分为三层，层层递进。

第一层是输入侧防御：对点云做预处理，过滤异常点、检测“过于完美”的几何形状、统计局部点密度突变。就像一个验钞员先用手摸一摸纸币的纹理。第二层是模型侧防御：用对抗训练（adversarial training）让模型在训练阶段就“见过”攻击样本，学会不被骗。第三层是系统侧防御：多传感器融合——激光雷达、摄像头、毫米波雷达交叉验证，同时做时序一致性检测：上一帧明明看到的物体，这一帧不该突然凭空消失。这相当于给裁判配了三副不同原理的眼镜，一副被骗了，另外两副还能发现异常。

对抗训练是目前最主流的研究方向。它把攻击与防御建模成一个“最小-最大”博弈：内层最大化损失，模拟最强攻击；外层最小化损失，训练模型抵抗。除了对抗训练，工业界还部署了异常检测器：专门识别“刚好挡住一个目标的板子”“形状过于规整的物体”这类可疑模式，一旦发现就触发降级策略。

让裁判也学会变魔术——他要知道魔术师的套路，才能看穿魔术。对抗训练就是让AI“在脑内排练”攻击者的每一个动作。当然，魔术师也在更新套路，所以防御注定是一场无限博弈。

min⁡θ  max⁡∥δ∥p≤ϵ  L(fθ(P+δ), y)\min_{\theta} \; \max_{\|\delta\|_p \leq \epsilon} \; \mathcal{L}\big( f_\theta(P + \delta),\, y \big)
对抗训练在“攻击者制造最强扰动”的前提下，寻找让模型损失最小的参数θ。
  1. 内层最大化在扰动允许范围（范数≤ε）内，找出让模型犯最大错误的扰动——这模拟的是攻击者。
    max⁡∥δ∥p≤ϵ\max_{\|\delta\|_p \leq \epsilon}
  2. 外层最小化在最强攻击下调整模型参数θ，使损失最小——这训练的是防御者。
    min⁡θ\min_{\theta}
  3. 两层交替博弈内外两层循环交替进行，模型在“被攻击—修复”的循环中越来越难被骗。
    L(fθ(P+δ), y)\mathcal{L}\big(f_\theta(P + \delta),\, y\big)

演进趋势：永不落幕的攻防较量

魔术师与裁判的较量永远不会落幕。攻击者会开发更隐蔽的道具，裁判会戴上更精明的眼睛。3D对抗攻防正在从“实验室玩具”走向“真实威胁”，并呈现出三个明显趋势。

趋势一是攻防对抗升级：攻击从“静态摆放”走向“动态部署”（移动机器人携带攻击板跟随遮挡目标），从“单一传感器欺骗”走向“多传感器联合欺骗”（同时骗过摄像头与激光雷达的跨模态对抗物体）。趋势二是标准与法规起步：自动驾驶安全标准（如ISO 21448预期功能安全）开始将“对抗性环境”纳入考量，行业要求系统对“感知不确定”必须有降级策略——检测到感知冲突时主动降速或停车。趋势三是开源工具涌现：对抗鲁棒性工具库（如IBM的Adversarial Robustness Toolbox）已包含3D攻击模块，安全团队得以在仿真中批量执行自动化红队测试。

从风险评估的角度看，安全性不能只看攻击是否“可能”，而要看“概率 × 后果”。3D对抗攻击之所以被高度重视，是因为它既能在真实道路低成本部署——概率不可忽略，又直接威胁人身安全——后果极其严重。因此产业界达成的共识是：目标不是让系统“永不被骗”，而是让系统在被骗时仍能保持安全。

魔术秀的结局从来不是“世界上没有魔术师”，而是“裁判越来越专业”。3D对抗攻击的演进趋势告诉我们：AI安全的本质不是找到一把一劳永逸的锁，而是建立一个不断进化的“辩护体系”。

Risk=P(attack)×Impact(attack)\text{Risk} = P(\text{attack}) \times \text{Impact}(\text{attack})
风险等于攻击发生概率乘以攻击造成的后果，这是安全优先级排序的基本盘。
  1. 攻击概率攻击发生的可能性。物理攻击成本低、部署隐蔽，概率因此被显著抬高。
    P(attack)P(\text{attack})
  2. 攻击后果攻击成功后的严重程度。自动驾驶误判行人会直接导致碰撞伤亡。
    Impact(attack)\text{Impact}(\text{attack})
  3. 乘积的指导意义用乘积评估不同防御方案的优先级，优先处理“高概率×高后果”的攻击面。
    Risk=P(attack)×Impact(attack)\text{Risk} = P(\text{attack}) \times \text{Impact}(\text{attack})

AI 应用场景

自动驾驶感知系统的红队测试

阶段：安全评测 / 对抗性测试

解决的问题：传统回归测试只覆盖常规路况，难以发现物理世界恶意输入导致的感知盲区。利用3D对抗攻击自动生成“挡板摆放位置”“打印物体形状”，在仿真与封闭场地中批量测试感知模型，能把“看不见的风险”变成“看得见的测试用例”。

具体案例：某Robotaxi团队用算法在混合现实环境中枚举泡沫板摆放位置，发现主干道右转场景存在约12%的删除攻击成功率。随后他们在感知后处理中增加“遮挡区域不确定性标记”——当点云出现异常缺失时，系统不再盲目自信，而是主动降速并发出告警。

安防巡检机器人的防欺骗加固

阶段：部署防护 / 运行时监控

解决的问题：仓库安防机器人靠3D相机识别入侵者，攻击者可用伪装物体骗过识别。通过多传感器融合与异常检测提升鲁棒性，让“魔术道具”在第二双眼睛下现出原形。

具体案例：某园区巡检机器人部署了跨模态校验机制：3D相机点云与视觉轮廓检测交叉确认，当发现“点云正常但视觉形状异常”的可疑物体时，触发二次近距扫描。一次内部演练中，该系统成功拦截了用纸板伪装成货箱的“入侵者”。

Python 演示

python52 行
# -*- coding: utf-8 -*-"""遮挡删除型3D对抗攻击的简易演示：一块小挡板如何让行人从激光雷达视野中消失。"""import math EGO = (0.0, 0.0)                       # 自车位置BOARD = 5.0                            # 挡板距离自车的米数BOARD_HALF_W = 0.45                    # 挡板半宽(米)THRESHOLD = 4                          # 感知算法判定"有行人"的最少点数 # 真实行人的点云(每项为相对自车的坐标)PEDESTRIAN_POINTS = [    (9.6, 0.8), (9.8, -0.2), (9.2, 0.4),    (9.0, -0.5), (9.4, -0.8), (8.8, 0.6),    (9.3, 1.2)] def lidar_scan(ego):    """把真实物体坐标转换成激光雷达扫描点"""    scan = []    for px, py in PEDESTRIAN_POINTS:        dist = math.hypot(px - ego[0], py - ego[1])        ang = math.atan2(py - ego[1], px - ego[0])        scan.append((px, py, dist, ang))    return scan def blocked_by_board(px, py):    """判断一个点是否被挡板挡住: 角度在张角内且距离更远"""    ang = math.atan2(py, px)    ang_l = math.atan2(-BOARD_HALF_W, BOARD)    ang_r = math.atan2(BOARD_HALF_W, BOARD)    if not (ang_l <= ang <= ang_r):        return False    d_board = BOARD / math.cos(ang)    # 射线与挡板的交点距离    d_point = math.hypot(px, py)    return d_point > d_board def detect_pedestrian(scan):    """简易感知器: 剩余点数达到阈值则判定发现行人"""    return len(scan) >= THRESHOLD, len(scan) def main():    normal = lidar_scan(EGO)    ok, n = detect_pedestrian(normal)    print("无攻击: 行人点 %d 个, 感知结果 = %s" % (n, "发现行人" if ok else "未发现"))    remaining = [p for p in normal if not blocked_by_board(p[0], p[1])]    ok2, n2 = detect_pedestrian(remaining)    print("有攻击: 剩余点 %d 个, 感知结果 = %s" % (n2, "发现行人" if ok2 else "未发现"))    print("结论: " + ("攻击成功, 行人在激光雷达眼中消失了!" if not ok2 else "攻击失败")) if __name__ == "__main__":    main()
目的：用纯Python模拟“遮挡删除型”3D对抗攻击——在自车与行人之间放置一块泡沫挡板，观察激光雷达点云中被遮挡的行人点如何消失，最终导致感知系统判定“无行人”。
  1. dist = math.hypot(px - ego[0], py - ego[1])计算每个点与自车的直线距离，模拟激光雷达的测距结果。
  2. ang_l = math.atan2(-BOARD_HALF_W, BOARD)计算挡板左端相对自车的角度，用于划定“被遮挡角度区间”。
  3. if not (ang_l <= ang <= ang_r):只处理角度落在挡板张角内的点；张角之外的点不受挡板影响。
  4. d_board = BOARD / math.cos(ang)用三角函数求出射线沿该角度打到挡板平面的距离。
  5. return d_point > d_board被挡板挡住的条件：这个点比挡板更远，光线先被挡板拦截。
  6. ok, n = detect_pedestrian(normal)先对无攻击的完整点云做一次感知，确认行人本应被正常发现。
  7. remaining = [p for p in normal if not blocked_by_board(p[0], p[1])]模拟攻击后过滤掉所有被遮挡的点，剩下的点数量直接决定感知结果。

常见误区

误区我以为3D对抗攻击就是把图片分类里的对抗噪声打印在纸上，贴在物体表面就完事了。毕竟都是“加扰动骗AI”，换个载体而已。

正解2D扰动只在一张固定图像里成立，而3D对抗样本必须放在真实空间中，经受任意视角、距离、光照和传感器噪声的考验。打印一张带噪点的图片，换一个角度可能就失效了；而3D打印的“乌龟”在多个视角下都能骗过分类器。物理可制造性与多视角鲁棒性，才是3D攻击真正困难的地方——它是“雕塑的魔术”，不是“照片的魔术”。

为何常见：大众接触到的对抗样本科普几乎全是图像分类的例子，“给图片加噪点”成了默认的心智模型，忽略了物理域的约束。

误区我认为激光雷达扫描的是真实三维几何，点云比图像“真实”得多，物理攻击根本拿它没办法，自动驾驶靠激光雷达就够了。

正解激光雷达恰恰有它自己的弱点：点云稀疏、存在遮挡盲区，而且依赖“每个点都真实”的隐性假设。研究已经证明，20厘米左右的泡沫板就能稳定挡住行人点云；更激进的攻击还能注入伪造的激光脉冲，凭空制造“幽灵墙”。激光雷达不是“金刚不坏”，而是“看起来金刚不坏”——它的信任模型一样可以被物理世界攻破。

为何常见：人们把“3D几何信息”等同于“完全可信的物理信息”，忽略了传感器本身的物理限制（遮挡、伪影、协议可伪造）。

误区我听说自动驾驶有摄像头加激光雷达加毫米波雷达，这么多传感器互相印证，怎么可能同时被骗？融合之后应该就安全了。

正解融合确实抬高了攻击门槛，但没有消除攻击面。攻击者可以制作“跨模态一致”的对抗物体——在摄像头下像纸箱、在激光雷达点云里像墙体——让融合算法也“同意”这个错误结论。此外，融合逻辑本身也可能成为攻击目标，比如制造点云与图像之间的时间差或空间错位，让融合模块产生误判。双保险不等于绝对保险，只是让魔术师多费些心思。

为何常见：直觉上“多传感器=多双眼睛”让人安心，但融合不是简单加法，反而引入了新的校验盲区。

误区我觉得只要把攻击样本加进训练集，让模型“见过”这些套路，以后就不会被骗了。对抗训练就是最终的补丁。

正解对抗训练只能提升针对已知攻击手法的鲁棒性，但物理世界的攻击空间近乎无限——角度、材质、距离、光照的组合无法枚举。实证研究表明：针对遮挡攻击训练的模型，面对伪造点攻击时依然脆弱。防御是一场持续的军备竞赛：魔术师更新套路，裁判就得更新眼光，没有一劳永逸的补丁。

为何常见：机器学习从业者习惯了“数据越多越好”的直觉，把对抗训练误解为“见过就不会被骗”，忽略了分布外泛化的根本困难。

面试题

Q1. 3D对抗攻击和2D对抗攻击最本质的区别是什么？

单选题 · easy

  • A.3D攻击只能攻击自动驾驶汽车
  • B.3D攻击发生在物理三维空间← 正确答案
  • C.2D攻击不需要任何扰动样本
  • D.3D攻击必须改动训练数据集

答案：B。B正确，3D对抗攻击的载体是物理世界中的真实物体，需要经受视角、光照等物理约束；A错误，3D攻击也能针对机器人、安防等系统；C错误，2D攻击同样需要扰动；D错误，3D攻击改动的是输入物体而非训练数据。

Q2. “遮挡删除型”攻击的典型实现方式是？

单选题 · easy

  • A.在图片像素上叠加随机噪声
  • B.在目标前方放置阻挡物体← 正确答案
  • C.提高激光雷达扫描频率
  • D.修改车载系统的配置文件

答案：B。B正确，遮挡删除型攻击的核心就是在传感器与目标之间放置挡板等物体，让激光束被拦截、目标点云丢失；A是2D攻击思路；C是改进传感器而非攻击；D属于软件攻击，与物理世界3D对抗无关。

Q3. 攻击者将3D打印的“乌龟”放上路面，使分类器将其识别为“步枪”。这只乌龟属于哪一类对抗样本？

单选题 · mid

  • A.遮挡删除型对抗样本
  • B.伪装欺骗型对抗样本← 正确答案
  • C.后门投毒型对抗样本
  • D.模型窃取型对抗样本

答案：B。B正确，乌龟被识别成步枪是“把一个物体伪装成另一个物体”的典型伪装欺骗；A是让目标消失；C是污染训练数据；D是窃取模型参数，均与本题场景不符。

Q4. 3D对抗样本在物理世界构造比2D困难，最主要的原因是什么？

单选题 · hard

  • A.物理世界缺少强大计算设备
  • B.需在多视角多光照下依然有效← 正确答案
  • C.3D打印成本永远无法降低
  • D.传感器只能输出模拟信号

答案：B。B正确，物理世界中传感器会从各种角度、在各种光照下观察物体，对抗扰动必须在所有情况下都有效，这是3D攻击独有的鲁棒性难题；A错误，构造计算可以在数字世界完成；C错误，3D打印成本在持续下降；D错误，传感器输出数字信号与否与攻击难度无关。

Q5. 在公式 min‖δ‖p 且 f(P+δ)≠y_true 中，P代表什么？

单选题 · hard

  • A.模型的全部训练参数
  • B.原始的三维点云数据← 正确答案
  • C.对抗样本的扰动大小
  • D.感知模型的输出标签

答案：B。B正确，公式描述的是“在原始点云P上施加扰动δ使模型误判”，P是被攻击的输入数据；A是模型权重；C是δ的含义而非P；D是模型的输出，都不是P。

Q6. 下列哪些属于针对激光雷达的3D对抗攻击方式？

多选题 · mid

  • A.用挡板遮挡目标点云← 正确答案
  • B.注入伪造的激光脉冲← 正确答案
  • C.对图片像素添加噪点
  • D.在路侧放置对抗物体← 正确答案

答案：ABD。A是遮挡删除型攻击；B是凭空捏造型攻击（伪造点云）；D是物理世界放置对抗物体的常见部署方式；C是2D图像攻击，不针对激光雷达。三种攻击分类对应三种不同的激光雷达欺骗路径。

Q7. EOT（期望变换）方法的核心思想是什么？

单选题 · mid

  • A.对所有视角效果做平均优化← 正确答案
  • B.对模型权重做随机初始化
  • C.对损失函数添加正则项
  • D.对训练数据做重采样增强

答案：A。A正确，期望变换在优化时枚举大量物理变换（视角、距离、光照），让扰动在所有变换下都有平均最佳的攻击效果；B是模型训练技巧；C是防过拟合手段；D是数据增强，都与3D攻击的物理鲁棒性无关。

Q8. 面对3D对抗攻击，下列哪些是合理的防御方向？

多选题 · hard

  • A.多传感器交叉验证检测← 正确答案
  • B.对抗训练提升模型鲁棒性← 正确答案
  • C.关闭所有外部环境感知
  • D.对点云做异常模式检测← 正确答案

答案：ABD。A是系统侧防御，利用多传感器交叉验证识破跨模态攻击；B是模型侧防御，通过对抗训练让模型见过攻击套路；D是输入侧防御，识别“刚好挡住目标的板子”等可疑模式；C完全不可行——自动驾驶不能关闭感知，属于因噎废食。

Q9. “封闭世界假设”在自动驾驶感知中指什么？

单选题 · easy

  • A.车辆只能在封闭园区行驶
  • B.默认路测物体皆为正常样例← 正确答案
  • C.攻击者无法获取任何模型
  • D.激光雷达点云全部公开

答案：B。B正确，封闭世界假设指感知系统默认路上物体都是正常样例、传感器不会被欺骗——这正是3D对抗攻击利用的信任盲区；A是运营场景限制；C是攻击者能力假设；D是数据开放问题，均与“封闭世界”概念无关。

Q10. 3D对抗攻击对自动驾驶威胁显著的原因包括哪些？

多选题 · mid

  • A.自动驾驶依赖三维感知决策← 正确答案
  • B.攻击可在真实道路低代价部署← 正确答案
  • C.感知误判会直接导致碰撞后果← 正确答案
  • D.激光雷达能免疫所有物理攻击

答案：ABC。A正确，自动驾驶的规划决策直接建立在3D感知结果之上；B正确，一块泡沫板、一个3D打印物体就能部署攻击；C正确，感知误判的物理后果是碰撞等安全事故；D错误，激光雷达恰恰存在遮挡盲区与协议伪造漏洞，并非免疫。