对抗样本的数学定义与可解释性边界

可视化演示

展示对抗样本三维度：扰动范数约束（L2球vs Linf方框几何对比）、决策边界距离（原始样本跨越决策边界变为对抗样本）、威胁模型分类（白盒-灰盒-黑盒攻击范式），理解对抗鲁棒性研究理论基础。

模型脆弱背景

门卫老张的故事传开后，大家都说他“认眼镜不认人”。老张委屈地辩解：“老王那副老花镜太有辨识度，我一眼就锁定了它，其他地方根本没细看。”这句话恰好道出了深度模型的通病——AI 也爱走“统计捷径”：只要某个特征对分类足够“好用”，它就会死死抓住，哪怕这个特征在人类看来莫名其妙。

2013 年，Szegedy 等人发现了一个反直觉的现象：给一张被模型正确识别为“猫”的图片，叠加一层几乎看不见的细微噪声，模型就以超高置信度把它认成“狗”，而人类根本看不出两图有别。这种被精心调制、能稳定骗过模型的输入，就是对抗样本。随着 AI 进入门禁、自动驾驶、内容审核等关键场景，这种欺骗从学术趣味迅速升级为真实的安全威胁。

为什么模型如此脆弱？关键原因之一是高维空间的“叠加效应”。模型的内部判定可以近似看作海量微弱信号的合力：

老张被骗不是因为眼神差，而是因为他把决策押在一条“特征捷径”上；模型同样如此。理解了脆弱性的来源，我们才能给对抗样本下一个严格的数学定义——这正是下一节的主题。

对抗样本的数学定义

把“骗过门卫”翻译成数学语言：小陈的任务是找到一副眼镜 $\boldsymbol{\delta}$，使得老张的输出从“陌生人”变成“老王”。在 AI 的世界里，输入是一个向量 $\boldsymbol{x}$，扰动是一个向量 $\boldsymbol{\delta}$，模型是一个函数 $f$。输入与扰动逐元素相加，就得到新的输入 $\boldsymbol{x}' = \boldsymbol{x} + \boldsymbol{\delta}$。

给定一个能被模型正确分类的输入 $\boldsymbol{x}$（标签为 $y$），如果存在扰动 $\boldsymbol{\delta}$ 使得 $f(\boldsymbol{x} + \boldsymbol{\delta}) = y' \neq y$，那么 $\boldsymbol{x} + \boldsymbol{\delta}$ 就是 $\boldsymbol{x}$ 的一个对抗样本。但“能骗过”的扰动有无数种，最危险的是“最省力”的那一种——这催生了对抗样本最经典的数学定义：

这个定义像一把游标卡尺，把“骗人难度”量化了：扰动越小，说明模型的决策边界离样本越近，漏洞越深。小陈只戴一副眼镜就能进门，说明老张的防线“贴脸”到了什么程度——数学定义让这种直觉变得可以计算。

扰动范数约束

小陈的眼镜不能太夸张，否则门卫一眼识破。那么“微小”到底如何度量？日常生活中我们用量尺量长度，在向量世界里，这把尺子叫范数（norm）。

对抗样本研究中最常用的是 Lp 范数族：$p=1$ 时把每个维度的改动绝对值加起来，$p=2$ 时是欧氏距离，$p=\infty$ 时只看改动最大的那个维度。范数的作用，是给“扰动的大小”一个统一的刻度，让攻击者和防御者在同一套单位下对话：

范数约束里的 $\varepsilon$ 是“允许改动的预算”：预算内的小动作应当不被人眼察觉。但要警惕，范数是数学上的“小”，不是感知上的“小”——就像老花镜尺寸不大，在老张眼里却存在感极强。这恰好引出后面“可解释性边界”的讨论。

决策边界距离

老张心里有一条看不见的分界线：一边是“老王”，一边是“陌生人”。小陈的每一次化妆，都在缩短自己到这条线的距离。在模型的世界里，这条线叫决策边界（decision boundary）。

对于二分类问题，决策边界是两类得分相等的点的集合。样本离边界越近，越容易被微小扰动翻越；离边界越远，越“安全”。对抗攻击的本质，就是找到从样本到边界的最短路径并推它一把：

回到门卫故事：小陈找到的那副眼镜，本质上就是特征空间里“把老王拽向陌生人”的最短路径。一个样本的对抗脆弱性，可以用它到决策边界的距离来预先计算——距离越小，越容易被“一副眼镜”放倒。这就是威胁建模最重要的一张地图。

可解释性边界

老张为什么会被眼镜骗，却不会被一粒雀斑骗？因为眼镜“可解释”：它和记忆中老王的形象对得上。人类的感知存在一条可解释性边界：改动小到一定程度，人既看不见、也说不清；一旦超过阈值，改动开始呈现“语义”——眼镜、口罩、背景里的告示牌。

经典对抗攻击的扰动通常被限制在这条边界之下，所以人眼毫无察觉。用数学语言表达，就是“攻击扰动”严格小于“人类感知阈值”：

可解释性边界的价值，在于把“数学上小”与“感知上小”区分开。小陈的眼镜在数学上只是几个像素的改动，在感知上却“意义重大”；反过来，纯噪声扰动虽然数学上更小，却容易被人察觉。研究者用注意力热力图、t-SNE 投影把这类边界画出来，看看模型眼中的“眼镜”到底长什么样——这能帮我们定位脆弱性是源于特征偏差，还是源于感知错位。

威胁建模视角

小区决定升级安保，第一步不是买设备，而是开会讨论：小偷是谁？他能做到什么程度？想偷什么？这套“先假设、后防御”的思路，就是威胁建模（threat modeling）。

攻击者能力是第一个假设：白盒攻击能拿到模型参数和梯度，直接计算最强扰动；黑盒攻击只能查询模型输出，通常借助代理模型发起迁移攻击。第二个假设是扰动预算 $\varepsilon$：攻击者被允许的最大改动，直接决定威胁等级。第三个假设是威胁目标：非定向攻击只求分类出错，定向攻击要把结果精确地认成某一类，比如让小陈被识别成老王：

有了鲁棒精度这把尺子，防御就有了目标：对抗训练把对抗样本混进训练集，相当于给老张看更多“小陈戴眼镜”的作案照片，让他对这类扰动脱敏。威胁建模不是纸上谈兵，它决定了我们在哪个 $\varepsilon$ 上防守、用什么指标验收——这正是当前对抗鲁棒性研究的主线。

AI 应用场景

Python 演示

import numpy as np  def make_data(n=200, seed=42):    rng = np.random.default_rng(seed)    x = rng.uniform(-1.0, 1.0, size=(n, 2))    y = (x[:, 1] > 0.5 * x[:, 0] + 0.1).astype(int)    return x, y  def train_logistic(x, y, lr=0.5, epochs=200):    w = np.zeros(2)    b = 0.0    for _ in range(epochs):        p = 1.0 / (1.0 + np.exp(-(x @ w + b)))        w -= lr * (x.T @ (p - y)) / len(y)        b -= lr * np.mean(p - y)    return w, b  def predict(x, w, b):    return (1.0 / (1.0 + np.exp(-(x @ w + b))) > 0.5).astype(int)  def fgsm_attack(x, y, w, b, eps=0.25):    p = 1.0 / (1.0 + np.exp(-(x @ w + b)))    grad = (p - y).reshape(-1, 1) * w   # 损失对输入的梯度    return x + eps * np.sign(grad)  def main():    x, y = make_data()    w, b = train_logistic(x, y)    acc = float(np.mean(predict(x, w, b) == y))    print("clean acc: %.3f" % acc)    x_adv = fgsm_attack(x, y, w, b, eps=0.25)    adv_acc = float(np.mean(predict(x_adv, w, b) == y))    print("adv acc:   %.3f" % adv_acc)    delta = x_adv - x    l2 = np.mean(np.linalg.norm(delta, axis=1))    linf = np.mean(np.max(np.abs(delta), axis=1))    print("mean L2:   %.3f" % l2)    print("mean Linf: %.3f" % linf)  if __name__ == "__main__":    main()

1. y = (x[:, 1] > 0.5 * x[:, 0] + 0.1).astype(int)构造线性可分的两类数据，模拟“猫狗”分类的决策边界。
2. p = 1.0 / (1.0 + np.exp(-(x @ w + b)))逻辑回归输出“是猫”的概率，类比老张的熟悉度打分。
3. grad = (p - y).reshape(-1, 1) * w # 损失对输入的梯度求出每个输入维度的敏感度，即“哪副眼镜最容易被抓住”。
4. return x + eps * np.sign(grad)FGSM 核心：沿梯度符号方向叠加扰动，让损失变大、分类翻转。
5. adv_acc = float(np.mean(predict(x_adv, w, b) == y))攻击后的准确率断崖式下降，直观看到模型脆弱性。
6. delta = x_adv - x取出扰动向量，为下一步范数量化做准备。
7. l2 = np.mean(np.linalg.norm(delta, axis=1))用 L2 范数计算平均扰动大小，呼应“范数约束”的概念。

常见误区

面试题