对抗Patch攻击

可视化演示

展示对抗Patch从生成到放置的完整攻击流程，以及在不同变换下的鲁棒性与攻击成功率。

认识对抗Patch：一张贴纸引发的乌龙

皮皮把那张贴纸撕下来，翻来覆去地看：上面全是歪歪扭扭的色块，像乱码又像抽象画。他不明白，自己只是往脸上贴了这么个小东西，大壮怎么就把他当成了物业经理？难道大壮近视了？其实，皮皮手中的贴纸，就是 AI 安全领域大名鼎鼎的对抗 Patch——一块经过精心设计、可以打印出来贴到真实物体上的图案，目的是让 AI 模型产生错误判断。

对抗 Patch 之所以属于“物理攻击”，因为它不再像传统对抗样本那样只存在于数字像素里，而是可以打印、贴附、拍照，在真实世界中生效。它跟数字攻击有个共同点：扰动模型的输入；也有个关键区别：数字攻击的扰动常常微弱到肉眼不可见，而 Patch 是局部区域的大幅改动，但它必须能打印、能贴附、能经受摄像头拍摄时的角度与光照变化。小区里的大壮看到的是“人+贴纸”的合成画面，这正是 Patch 攻击的数学本质。

从数学上看，贴纸附着的过程可以用一个掩码（Mask）公式描述。假设原始照片是 $x$，贴纸图案是 $P$，掩码 $M$ 的每个元素是 0 或 1，表示“这个像素被贴纸盖住没有”，那么最终输入模型的就是：

皮皮的贴纸只有硬币大小，却已经是一门正经的“物理对抗”手艺。别小看这枚小贴纸，它能在模型的世界里掀起大浪——下一节，我们就来看看，大壮究竟是怎么被它骗住的。

攻击原理：为什么一张贴纸能骗过AI

皮皮好奇地做了个实验：他把贴纸贴在额头上、下巴上、耳朵上，发现效果完全不同——贴在右脸颊时大壮认错得最干脆。这让他更困惑了：贴纸图案没变，为什么位置会影响结果？其实，大壮看人脸的方式和人类完全不同，它根本不关心“这张脸整体长什么样”，而是在找一堆统计特征。

深度学习模型像一个超高维空间里的“分拣员”，它把图片映射成成千上万个特征，再在这些特征上画出一条复杂的决策边界。人的直觉是“轮廓+五官+常识”，模型却依赖大量局部纹理和统计相关性。对抗 Patch 正是利用了这种人机感知差异：它不需要欺骗你的眼睛，只需要在模型关注的少数特征上制造强烈扰动，就能把图片推过决策边界。

从数学上看，Patch 改变了模型在不同类别上的得分（logits）。如果 $\hat{y}$ 是模型对原始图片的预测类别，贴上贴纸后得分向量发生偏移，最高分可能从“住户”变成“闯入者”：

贴纸并不是给皮皮“化妆”，而是给大壮“洗脑”——它精准激活了模型里“物业经理”这个错误类别的开关。这也解释了为什么攻击者要精心设计图案：胡乱画的小纸片，是骗不过大壮的。

生成算法：魔法贴纸的诞生

皮皮发现，随便涂鸦的贴纸成功率太低。他干脆霸占了表哥的电脑，写起小程序来：让程序盯着大壮的反应，一遍遍调整贴纸上每个色块的颜色。这台电脑就像一座“魔法工坊”——贴纸的图案不是灵感迸发画出来的，而是被“算”出来的。

制作对抗 Patch 的核心思路是梯度优化：先定义一个目标函数（比如“让模型把贴了贴纸的图认成物业经理”），然后沿着梯度的方向反复迭代图案的像素值。但物理世界有个麻烦：摄像头不会老老实实地正对着你拍，距离、角度、光照一变，贴纸在图像里的样子就全变了。如果只在理想图片上优化，出门就会失灵。

于是研究者引入了期望变换（Expectation over Transformation，EOT）：把各种可能的物理变换都纳入优化过程，让 Patch 在“平均意义”上最有效。它的目标函数可以写成：

皮皮的“魔法工坊”其实就是一个优化循环：试贴、拍照、看大壮反应、反向调整色块，再试贴……直到贴纸在千百种条件下都对大壮奏效。工坊里磨好的贴纸，终于可以走向真实世界了。

攻击流程：从实验室到现实

皮皮兴冲冲地拿着“工坊出品”的贴纸去门口实测，结果大晴天很灵，傍晚光线一暗就失灵。他这才明白：在电脑里模拟得再好，现实世界还有一堆“意外”——反光、角度、距离，甚至打印机偏色。一次完整的物理攻击，远不止“画个图打印出来”那么简单。

标准的攻击流程可以分为四步。第一步是目标与场景选择：攻击者要明确攻击谁（人脸识别门禁、交通标志识别、目标检测器），以及想让模型输出什么错误结果（定向攻击指定目标类，非定向攻击只要错就行）。第二步是物理环境建模：把摄像头的视角、拍摄距离、光照范围和打印色彩误差都抽象成数学变换，放进优化目标里。

第三步是Patch 迭代优化：用上一节说的 EOT 方法，在模拟的物理变换集合上反复迭代图案，每轮都让模型“猜”一次，根据梯度修正色块。第四步是部署实测：把优化好的 Patch 打印出来，到真实场景拍照验证。如果失败，就把实测中收集的新照片加进训练集，重新迭代。这个过程很像软件开发的“测试-反馈-修复”循环，攻击者要反复打磨，直到成功率达标。整个过程还涉及一个关键权衡：攻击效果与隐蔽性。Patch 做得越显眼越容易扰乱模型，但也越容易被保安发现；做得太隐蔽，可能又骗不过大壮。

皮皮像个小工程师，认认真真地记录“魔法贴纸日志”：几点、什么光照、贴哪个位置、大壮是否开门。经过几轮迭代，他终于让贴纸在多种条件下都稳定奏效——而这也意味着，防御方需要认真对待这种威胁了。

防御策略：给大壮打补丁

物业经理很快发现了皮皮的把戏，他们请来一位 AI 安全工程师，给大壮“补课”。工程师的方法很朴素：既然皮皮会贴贴纸骗人，那就让大壮每天看几百张“贴了贴纸的照片”，看到熟为止。这就是对抗家族里最基础也最常用的防御手段——对抗训练。

对抗训练的思路，是在训练时主动模拟攻击者：每次喂给模型一张图片，同时让模型“见识”一个在允许范围内最坏的扰动，然后学聪明。用数学语言来说，防御方在解一个 min-max 问题：

除了对抗训练，工程师还会给大壮加装“贴纸扫描仪”：一是输入预处理，在图片进入模型前做随机裁剪、降噪、压缩，破坏贴纸的精确纹理；二是 Patch 检测，专门训练一个模块去判断“图像里有没有可疑贴纸区域”，发现就告警。防御不是一劳永逸的——大壮见多识广之后，皮皮的旧贴纸确实失效了，但皮皮又买了新打印机，准备研究更难缠的图案。这场拔河，才刚刚开始。

评估指标：战果怎么量化

皮皮在自己的“攻防日记”里写道：今天在门口试了 100 次，成功 96 次，失败 4 次。他得意地把这个数字展示给小伙伴——攻击者也需要用数据说话。这里的 96%，正是评估对抗 Patch 效果最重要的指标：攻击成功率（ASR）。

攻击成功率的定义非常直白：统计所有攻击尝试中，让模型输出我们希望它输出的那个错误类别的比例。记测试次数为 $N$，每次攻击的预测结果为 $\hat{y}_i$，真实类别（或定向攻击的目标类别）为 $y_i^{*}$，那么：

不过，攻击者不会只看一个指标。皮皮还要评估物理鲁棒性：换个距离、换个角度、换个光线，成功率会不会暴跌；迁移性：这张贴纸能不能骗过别的小区里另一台门禁；隐蔽性：贴纸贴上去会不会被保安一眼识破。指标越全面，越能说明一张 Patch 的真实威胁等级。

典型案例：现实世界的危险恶作剧

皮皮的恶作剧只发生在小区，但同样的事情，在真实世界里已经上演过很多次，而且后果一点都不好笑。2017 年，研究者直接在"STOP"停车标志上贴上几张黑白小贴纸，AI 就把停车标志识别成了限速 45 的标志——贴纸只覆盖了标志的一小块角落，人眼完全不会误读。

人脸识别也没能幸免。有团队设计了一款特制的眼镜框，打印出来后戴上，就能让人脸识别系统把自己认成指定的明星；更夸张的是，一些研究做出了“隐身 Patch”——把一块印刷图案举在胸前，目标检测器（YOLO 这类模型）就会直接把穿着这件 T 恤的人“从视野里抹掉”，检测框完全消失。这些案例的共同点，是 Patch 在物理世界具有可打印性、可迁移性和视角鲁棒性，它们攻击的从来不是人眼，而是“摄像头 + 模型”这个组合。

这些案例给 AI 从业者最重要的启示是：安全测试必须纳入模型上线的标准流程。在把模型部署到门禁、汽车、监控之前，一定要用对抗 Patch 攻击做一次“红队演练”，看看模型在物理世界会不会被一张纸骗过。皮皮的贴纸如果只是骗骗门禁，最多算调皮；可如果同样的手法被用在红绿灯、车牌识别、安检系统上，恶作剧就会升级成公共安全事件。技术本身没有善恶，但安全意识是每个 AI 从业者的底线。

未来趋势：攻防博弈的下一站

皮皮和大壮的斗智斗勇还远没有结束。大壮升级了，皮皮也在研究新招数；工程师刚补上一个漏洞，新的攻击手法又开始出现。AI 安全领域就是这样一场永不停歇的猫鼠游戏。未来的对抗 Patch 会往哪些方向发展呢？

攻击侧的趋势是“更隐蔽、更多维”。研究者正在尝试让 Patch 的图案在人类看来完全是自然纹理——比如树叶、布料花纹，肉眼几乎无法察觉，但对模型却有强烈的误导作用。同时，攻击不再局限于视觉：多模态攻击可以同时干扰摄像头画面、GPS 信号、激光雷达回波，让自动驾驶系统同时收到矛盾的感知信息。防御侧则在推动运行时检测：在模型推理的同时实时分析输入是否存在 Patch 痕迹，并结合可解释性工具定位是哪些特征让模型做出可疑判断，从“事后补丁”走向“实时免疫”。

对从业者而言，更现实的趋势是安全落地实践从“点”走向“体系”。对抗训练、输入预处理、Patch 检测、异常监控、应急响应，这些不再是可选的加分项，而是 AI 系统上线的必需品。测试环境也要从普通数据集走向“数字孪生环境”——在仿真里模拟真实世界的摄像头、光照和攻击者，训练阶段的攻防演练可能比上线后的补救省下十倍成本。

大壮会越来越强，皮皮也会越来越狡猾。但正是这种持续博弈，让整个 AI 系统在一次次对抗中变得更可靠。对 AI 安全工程师来说，这不是绝望的战争，而是一份长期有价值的事业——毕竟，每一次成功的防御，都在让技术离“可信”更近一步。

AI 应用场景

Python 演示

import numpy as np  def make_img(rng, kind, noise=0.15):    # 8x8 图像: 类0=左边亮(住户), 类1=右边亮(访客)    img = np.zeros((8, 8))    if kind == 0:        img[:, :4] = 1.0    else:        img[:, 4:] = 1.0    img += rng.normal(0.0, noise, img.shape)    return np.clip(img, 0.0, 1.0)  def main():    rng = np.random.default_rng(42)    X = np.array([make_img(rng, k).ravel() for k in (0, 1) for _ in range(40)])    y = np.array([0] * 40 + [1] * 40)     # 手工逻辑回归: 学习"左边亮=住户, 右边亮=访客"    W = np.zeros(X.shape[1])    b = 0.0    lr = 0.5    for _ in range(200):        logits = X @ W + b        p = 1.0 / (1.0 + np.exp(-logits))        grad = X.T @ (p - y) / len(y)        W -= lr * grad        b -= lr * (p - y).mean()     def predict(img):        return 1 if (img @ W + b) > 0 else 0     x0 = X[0]  # 攻击样本: 一个"访客"    print("original label:", y[0])    print("before attack:", predict(x0))     # 生成 Patch: 只覆盖右下角 4x4 区域    pmask = np.zeros(64, dtype=bool)    pmask.reshape(8, 8)[4:, 4:] = True    patch = np.zeros(64)     # 梯度下降: 降低"访客"概率, 让预测翻转为住户    for _ in range(200):        logits = (x0 + patch * pmask) @ W + b        p1 = 1.0 / (1.0 + np.exp(-logits))        grad = p1 * (1.0 - p1) * W * pmask        patch -= 0.5 * grad    patch = np.clip(patch, 0.0, 1.0)     print("patch grid (8x8):")    print((patch * pmask).reshape(8, 8))    print("after attack:", predict(x0 + patch * pmask))  if __name__ == "__main__":    main()

1. X = np.array([make_img(rng, k).ravel() ...])生成两类 8×8 合成图像并展平成一维特征，模拟门禁的“住户照片库”。
2. logits = X @ W + b线性分类器打分，对应大壮心里给每个身份打的分。
3. grad = X.T @ (p - y) / len(y)计算逻辑回归梯度，相当于让模型学会“左边亮是住户、右边亮是访客”。
4. pmask.reshape(8, 8)[4:, 4:] = True定义贴纸区域掩码：只盖住右下角 4×4 小块，体现 Patch 的“局部性”。
5. grad = p1 * (1.0 - p1) * W * pmask计算 Patch 对“访客概率”的影响梯度，越敏感的像素调整幅度越大。
6. patch -= 0.5 * grad反向更新贴纸像素，让“访客概率”不断下降。
7. patch = np.clip(patch, 0.0, 1.0)模拟打印颜色约束，把像素值限制在可打印范围。
8. predict(x0 + patch * pmask)验证攻击效果：贴纸贴上去后，模型把访客错认成了住户。

常见误区

面试题