想象你是一位国际厨艺大赛的裁判，舌头极其灵敏，却有一个致命习惯：一旦认定某道菜不行，就直接打出 0 分，从不给中间余地。某天，一位恶作剧选手在端上来的菜里悄悄加了一撮你几乎察觉不到的苦味粉——而这微不足道的变化，让你的评分从 10 分瞬间暴跌到 0 分。这就是“对抗扰动”对我们的 AI 模型做的事。更麻烦的是，当你为了识破这种恶作剧，专门去训练自己品尝各种被篡改的菜时，你反而变得“矫枉过正”：只要捕捉到一丝异样就斩钉截铁地打 0 分，连正确答案都救不回来。 对抗训练中的标签平滑，就是组委会教你的一招：你的评分不需要非 0 即 10，而是可以用 9.2、6.8 这种柔和分数。当打分标准不再“极端”，那些微小扰动带来的味觉波动，就很难再让你的判断瞬间翻车。这招在提升模型鲁棒性的同时，还能保住不错的泛化能力。

岗位关联

对 AI 从业者而言，掌握对抗训练中的标签平滑，等于拿到一份实用且易落地的模型防御配方：它不需要改网络结构，只需微调标签与损失函数，就能显著提升模型面对恶意输入时的稳定性，是安全风控、人脸识别、自动驾驶等项目中极具说服力的亮点。

目录
  1. 可视化演示
  2. 对抗攻击的本质
  3. 对抗训练原理
  4. 过度自信现象
  5. 标签平滑思想
  6. 平滑强度控制
  7. 鲁棒性与泛化
  8. 实用训练技巧
  9. AI 应用场景
  10. Python 演示
  11. 常见误区
  12. 面试题

可视化演示

三步展示标签平滑在对抗训练中的应用：硬标签vs软标签分布软化、min-max博弈中软标签降低梯度敏感性、鲁棒性与泛化性的平衡权衡。

本节配有交互动效（进入视口后自动加载，约 3KB）。

'+captions[0]+'

对抗攻击的本质

在一场厨艺大赛中，你作为裁判的味觉系统已经训练得高度精密，但也极其“神经质”。一位不安好心的选手并不需要倒掉整盘菜，他只需要在出锅前偷偷撒入一撮几乎感知不到的苦味粉——这撮粉末在别人嘴里完全无感，却刚好刺激到你的味觉雷达，让原本的 10 分变成 0 分。在 AI 世界里，这一撮“苦味粉”就是对抗扰动（adversarial perturbation）：一个微小的输入变化，人类完全察觉不到，模型却可能瞬间改变判断。

这种恶意修改后的样本叫对抗样本（adversarial example）。攻击者希望让模型把一个“猫”的照片识别成“狗”，甚至识别成“打印机”。核心在于：模型学到的决策边界在某些方向过于陡峭，微小偏移就能越过边界。最经典的快速生成方法是 FGSM（Fast Gradient Sign Method），它沿着损失上升最快的方向迈出一步，一步到位地制造扰动。

回到比赛现场：裁判尝了一口加了苦味粉的菜，表面上什么都没发生，但打分已经离题万里。这就是对抗攻击最可怕的地方——攻击者不是要毁掉一道菜，而是精准地触动你的脆弱味觉开关。

x′=x+ε⋅sign(∇xL(fθ(x),y))x' = x + \varepsilon \cdot \mathrm{sign}\left(\nabla_x L(f_\theta(x), y)\right)
公式含义：对抗样本 x' 等于在原图 x 上，沿损失函数对输入梯度的符号方向，叠加一个大小为 ε 的微小扰动。
  1. 原始输入 x这是模型要识别的正常样本，相当于裁判面前那道最初看起来完美无缺的菜。
    xx
  2. 损失函数 L衡量模型预测与真实标签差距的量，损失越大说明模型错得越离谱。
    L(fθ(x),y)L(f_\theta(x), y)
  3. 梯度符号损失对输入求梯度，再取符号，得到让损失增加最快的方向，也就是攻击者该往哪个方向“加料”。
    sign(∇xL(fθ(x),y))\mathrm{sign}\left(\nabla_x L(f_\theta(x), y)\right)
  4. 叠加扰动沿着这个方向前进 ε 步长，就得到加完“苦味粉”的对抗样本。
    x′=x+ε⋅sign(∇xL)x' = x + \varepsilon \cdot \mathrm{sign}(\nabla_x L)

对抗训练原理

为了保护这位容易激动但业务能力强的裁判，组委会决定换一种培训思路：与其让裁判只在正常菜品上打分数，不如在训练阶段就主动让裁判品尝大量被恶意篡改的菜。见多了花招，裁判自然不再轻易被一撮苦味粉带偏。这种“喂毒练功”的思路，就是对抗训练。

对抗训练在数学上是一个攻防博弈：攻击方（内层）在输入上找到一个让损失最大的扰动；防守方（外层）希望模型在面对这种最坏扰动时，整体的损失依然能降到最低。两者交替进行，模型被迫学会在“被攻击”的状态下仍然保持正确判断。这被称为 min-max 优化问题。

当裁判在培训中见过各种刁钻的“苦味粉”“酸味剂”“口感陷阱”后，再遇到恶作剧时，他的味觉系统已学会忽略那些微小异常，沉稳地给出接近真实水平的评分。这就是对抗训练赋予模型的免疫力。

min⁡θ  max⁡∥δ∥∞≤ε  E(x,y)∼D[L(fθ(x+δ),y)]\min_{\theta} \; \max_{\|\delta\|_\infty \le \varepsilon} \; \mathbb{E}_{(x,y) \sim \mathcal{D}} \left[ L\left(f_\theta(x + \delta), y\right) \right]
公式含义：找一个最坏情况下的扰动 δ 让模型损失最大，然后调整模型参数 θ 让这个最坏损失最小。
  1. 扰动约束限制扰动的大小在 ε 以内，确保“苦味粉”的分量真的不会被人类察觉。
    ∥δ∥∞≤ε\|\delta\|_\infty \le \varepsilon
  2. 内层最大化攻击者想办法在约束范围内找到让模型错得最离谱的扰动。
    max⁡δL(fθ(x+δ),y)\max_{\delta} L(f_\theta(x + \delta), y)
  3. 外层最小化防守方调整模型权重，使对手找到的最坏扰动也骗不过模型。
    min⁡θ  max⁡δ  L(fθ(x+δ),y)\min_{\theta} \; \max_{\delta} \; L(f_\theta(x + \delta), y)
  4. 数据分布期望对所有训练样本求平均，保证模型在整个数据集上都具备抗干扰能力，而不只是针对某一盘菜。
    E(x,y)∼D[⋅]\mathbb{E}_{(x,y) \sim \mathcal{D}}[\cdot]

过度自信现象

裁判经过一段时间的对抗训练后，出现了一个新问题：他变得异常“果断”。哪怕只尝到一丝丝异样的味道，也会立刻打出 0 分，而且完全相信自己是对的。在 AI 模型上，这种表现就是过度自信（overconfidence）：模型对输入给出非常高的置信度（比如 99%），然而这个高置信度对应的却是错误答案。

为什么对抗训练反而会加剧过度自信？因为对抗训练的优化目标迫使模型在扰动下也强有力地输出“正确答案”，模型的决策边界会变得非常陡峭。为了在攻击下存活，模型把正确类别的输出概率推向极致，仿佛在说：“我不仅要答对，还要用最大的嗓门喊出答案。”但这种极端自信是脆弱的：当模型预测出错时，它同样用 99% 的置信度喊出错误答案，完全没有自我怀疑的空间。

裁判的极端评分习惯，让他在面对真正复杂的菜品时失去了回旋余地。他自信满满地给出 0 分，但也许那道菜只是有一点不寻常的烟熏味，根本不至于全盘否定。这种“过度自信的错判”，恰恰是标签平滑要解决的问题。

LCE=−log⁡pθ(y∣x)L_{\text{CE}} = -\log p_\theta(y \mid x)
公式含义：标准交叉熵损失用负对数概率衡量错误，它强烈鼓励模型把正确类别的概率推向 1，这就是极端自信的来源。
  1. 正确类概率模型给真实类别 y 分配的概率，理想情况下应为 1。
    pθ(y∣x)p_\theta(y \mid x)
  2. 取负对数概率越接近 1，-log 值越接近 0；概率一旦变小，损失飙升，逼迫模型不断推高置信度。
    −log⁡pθ(y∣x)-\log p_\theta(y \mid x)
  3. 梯度信号该损失对模型输出的梯度，会推动 logits 中正确类不断变大，最终输出概率饱和到接近 1。
    ∂LCE∂zy=pθ(y∣x)−1\frac{\partial L_{\text{CE}}}{\partial z_y} = p_\theta(y \mid x) - 1

标签平滑思想

组委会终于意识到：裁判的问题不是品味不够，而是评分标准太极端。于是他们修改了培训规则：训练时不再要求裁判必须给出“10 分”或“0 分”的非黑即白判断，而是允许他给出 9.2、6.8 这样的中间分数。这样即使菜里有一点点意外变化，他的评分也只会从 9.2 滑到 8.8，而不是从 10 直接崩到 0。这就是标签平滑的核心思想：软化目标标签。

在技术实现上，原始标签是 one-hot 向量（只有正确类为 1，其他全为 0），标签平滑把它调整为：正确类保留大部分权重，其余类别也分到一点微小概率。这相当于告诉模型：“正确答案基本是它，但其他类别也不是完全不可能，请别那么武断。”一个小常数 α 控制了软化的比例。

裁判学会了用中间分评价菜品后，评分不再因微小刺激而剧烈跳变。模型的输出概率也不再被逼到 99%，而是落在温和区间——当攻击者想用微扰把判断推下悬崖时，光滑的评分曲线让这一步迈不出那么大的落差。

ysmooth=(1−α)⋅yone-hot+αKy_{\text{smooth}} = (1 - \alpha) \cdot y_{\text{one-hot}} + \frac{\alpha}{K}
公式含义：把 one-hot 标签与均匀分布按比例混合，α 越大，标签分布越平滑、越温和。
  1. 原始独热标签正确类为 1，其余为 0，是一份“非赢即输”的判分表。
    yone-hoty_{\text{one-hot}}
  2. 均匀分布份额把 α 均匀分给 K 个类别，每个类别都获得一点概率空间。
    αK\frac{\alpha}{K}
  3. 混合标签正确类保留 1−α 的大头，其余类别分享 α 的份额，形成“十分制里的 9.2 分”。
    ysmooth=(1−α)⋅yone-hot+αKy_{\text{smooth}} = (1 - \alpha) \cdot y_{\text{one-hot}} + \frac{\alpha}{K}

平滑强度控制

既然标签平滑的实质是“允许中间分”，那一个自然的问题就是：中间分该保留多少？这个比例就是平滑系数 α。它像一个“宽容度旋钮”：旋到最左（α=0）等于没有平滑，回归严格的 one-hot；旋到最右（α=1）则标签几乎变成均匀分布，裁判完全失去辨别力。好的裁判培训师不会把旋钮拧到极端，而是在中间找一个甜点位置。

在损失函数的层面，标签平滑后的交叉熵可以展开成两项：一部分是原始的交叉熵，另一部分是模型输出与均匀分布的 KL 散度。后者相当于一个正则项，它温和地把模型输出往回拉，阻止概率饱和到极端值。这正是标签平滑能降低梯度过激反应的本质原因。

实践经验建议 α 取 0.05～0.15：保留 85%～95% 的原始标签信息，同时给其他类别留下足够小的概率余量。如果旋钮拧得过大，比如 α=0.5，裁判眼里所有菜都“差不多”，模型连正常样本都分不清，更别提抵御攻击了。

Lsmooth=−(1−α)log⁡pθ(y∣x)−αK∑i=1Klog⁡pθ(i∣x)L_{\text{smooth}} = -(1 - \alpha) \log p_\theta(y \mid x) - \frac{\alpha}{K} \sum_{i=1}^{K} \log p_\theta(i \mid x)
公式含义：平滑损失 = 原始交叉熵惩罚（保住主要学习信号） + 对所有类别的概率惩罚（防止过度自信）。
  1. 主项保留-log p(y|x) 乘上 1-α，模型仍然主要学习正确类，信息没有丢失。
    −(1−α)log⁡pθ(y∣x)-(1 - \alpha) \log p_\theta(y \mid x)
  2. 惩罚项展开对每个类别概率的对数求和并取平均，只要任何一个类别概率太低，都会受到惩罚。
    −αK∑i=1Klog⁡pθ(i∣x)-\frac{\alpha}{K} \sum_{i=1}^{K} \log p_\theta(i \mid x)
  3. 整体效果模型不能完全忽略任何类别，梯度也因此变得温和，输出不会因为微小扰动而剧烈变化。
    Lsmooth=(1−α)⋅LCE+α⋅KL(u∥p)+αlog⁡KL_{\text{smooth}} = (1 - \alpha) \cdot L_{\text{CE}} + \alpha \cdot \text{KL}(u \| p) + \alpha \log K

鲁棒性与泛化

一位好裁判要同时应对两种比赛：日常赛上他能公正评价正常菜品，恶作剧赛中他面对花招也能保持稳定。对抗训练常常只顾着“恶作剧赛”，导致裁判在正常赛上变得过于挑剔；而标签平滑能让两种能力更均衡。这背后是“鲁棒准确率”和“自然准确率”这组对偶指标：前者衡量模型抵御对抗样本的能力，后者衡量模型在干净数据上的表现。

对抗训练天然会牺牲一部分自然准确率换取鲁棒性，而标签平滑恰好能缓解这种牺牲。当模型不再把置信度推到极端，它的决策边界会变得柔和，泛化能力也得到保护。研究表明，在对抗训练中引入标签平滑，可以在几乎不损失鲁棒准确率的情况下，明显改善自然准确率，让两个指标达到更优的平衡点。

裁判的培训手册最终会写上：既要保持严谨的味觉标准，又要给自己留出怀疑空间——这样他在日常赛和恶作剧赛中都能沉着应对。标签平滑正是这个“怀疑空间”的数学表达。

Lsmooth=(1−α)⋅LCE⏟守住泛化信号+α⋅KL(u∥p)⏟抑制过度自信+αlog⁡KL_{\text{smooth}} = (1 - \alpha) \cdot \underbrace{L_{\text{CE}}}_{\text{守住泛化信号}} + \alpha \cdot \underbrace{\mathrm{KL}(u \| p)}_{\text{抑制过度自信}} + \alpha \log K
公式含义：平滑损失可以拆成“守泛化”的主项和“压自信”的正则项，两者通过 α 调节比例，就是鲁棒与泛化的平衡开关。
  1. 泛化信号项原始交叉熵主导训练信号，保证模型在干净数据上依然学到正确模式，相当于裁判坚持正常的评分体系。
    (1−α)⋅LCE(1 - \alpha) \cdot L_{\text{CE}}
  2. 鲁棒正则项KL 散度鼓励模型输出接近均匀分布，阻止极端自信，相当于提醒裁判“不要一竿子打死”。
    α⋅KL(u∥p)\alpha \cdot \mathrm{KL}(u \| p)
  3. 常数项α log K 只与类别数 K 和 α 相关，不参与梯度更新，是一个可忽略的偏移量。
    αlog⁡K\alpha \log K

实用训练技巧

掌握了原理，最后还要知道怎么在厨房里实操。对抗训练 + 标签平滑的实现并不复杂，它不改变网络结构，只需要调整训练流程和数据标签。最典型的流程是：先用 FGSM 或 PGD 生成对抗样本，再对对抗样本使用平滑标签计算损失并回传梯度。另一个重要细节是推理时的校准——训练时的标签被软化了，推理时输出概率普遍偏低，需要做一个修正。

实操中还有几个经验：α 从 0.1 起步并观察验证集表现；训练早期扰动幅度 ε 可以稍大，让模型先“见过世面”，后期逐渐减小；同时监控对抗准确率和自然准确率两个指标，避免单看一个而失衡。推理时，如果你希望恢复“校准过的置信度”，可以使用下面的修正公式：

这些细节就像大厨的火候控制：同样的食材，火候不同，成菜天差地别。掌握了“先生成对抗样本、再平滑标签、后修正置信度”这套流程，你就能在真实项目中稳稳复现这份鲁棒性配方。

p~i=pi1−α然后归一化到和为 1\tilde{p}_i = \frac{p_i}{1 - \alpha} \quad \text{然后归一化到和为 1}
公式含义：训练时概率被软化压缩过，推理时把压缩的部分放大回去，让置信度重新回到合理尺度。
  1. 训练软化概率标签平滑让模型学到的概率分布整体偏保守，正确类概率被压缩了大约 1-α 倍。
    pip_i
  2. 还原压缩把每个类别概率除以 1-α，相当于把软化的部分推回原处。
    pi1−α\frac{p_i}{1 - \alpha}
  3. 重新归一化修正后所有类别的概率和恢复为 1，保证输出仍是一个合法的概率分布。
    ∑i=1Kp~i=1\sum_{i=1}^{K} \tilde{p}_i = 1

AI 应用场景

鲁棒人脸识别门禁

阶段：鲁棒模型训练（防御侧）

解决的问题：人脸识别系统容易被微小扰动欺骗——攻击者在摄像头画面中加入肉眼看不见的噪声，就能让系统把 A 识别成 B。传统对抗训练虽然提高了鲁棒性，但模型变得过度自信，正常光线变化也会触发高置信误判。引入标签平滑后，模型对扰动不那么敏感，误判率显著下降。

具体案例：某园区门禁系统在部署对抗训练后，对抗攻击成功率从 62% 降到 19%，但自然光线变化下的误拒率上升了 4%。加入标签平滑（α=0.1）后，对抗攻击成功率维持 21%，误拒率回落 1.5%，系统稳定性明显改善。

金融风控反欺诈

阶段：特征防御与模型训练

解决的问题：欺诈分子会针对风控模型的薄弱点，对申请特征做精细“篡改”来绕过规则。模型对这些微小改动往往给出极端的风险评分，导致误杀或漏杀。标签平滑让风险评分不再“一惊一乍”，配合对抗训练让模型对恶意特征扰动保持稳定。

具体案例：某消费金融公司用对抗训练 + 标签平滑训练反欺诈模型，针对黑产常用的“特征抖动”攻击，模型 AUC 保持 0.88 不变，而误伤率从 5.2% 降低到 3.8%，坏账率下降约 1.2 个百分点。

自动驾驶感知防御

阶段：鲁棒性验证与模型迭代

解决的问题：自动驾驶感知模型对传感器噪声、光照突变、天气干扰很敏感，这些都可理解为“自然扰动”。对抗训练 + 标签平滑能让目标检测模型在恶劣条件下保持置信度平稳，避免高速行驶中出现“突然误判”。

具体案例：某自动驾驶团队在雨雾天气数据集上对比发现，标签平滑后的对抗训练模型，在添加对抗贴纸攻击下，车辆检测 mAP 保持 0.76，正常天气 mAP 下降不到 1%，而基线对抗训练模型 mAP 下降 8%，验证通过率显著提升。

Python 演示

python56 行
import torchimport torch.nn as nnimport torch.nn.functional as F NUM_CLASSES = 10ALPHA = 0.1EPS = 0.03  def smooth_labels(labels, num_classes, alpha=0.1):    """把 one-hot 标签软化为平滑分布"""    one_hot = F.one_hot(labels, num_classes).float()    return (1 - alpha) * one_hot + alpha / num_classes  def fgsm_attack(model, x, y, eps=0.03):    """FGSM 生成对抗样本：沿梯度方向加微小扰动"""    x.requires_grad_(True)    logits = model(x)    loss = F.cross_entropy(logits, y)    grad = torch.autograd.grad(loss, x)[0]    x_adv = x + eps * grad.sign()    return x_adv.detach()  def adversarial_train_step(model, x, y, optimizer, alpha=0.1, eps=0.03):    """单步对抗训练：先生成对抗样本，再用平滑标签计算损失"""    model.train()    x_adv = fgsm_attack(model, x, y, eps)    logits = model(x_adv)    y_smooth = smooth_labels(y, NUM_CLASSES, alpha)    log_probs = F.log_softmax(logits, dim=1)    loss = -(log_probs * y_smooth).sum(dim=1).mean()    optimizer.zero_grad()    loss.backward()    optimizer.step()    return loss.item()  def main():    torch.manual_seed(42)    model = nn.Sequential(        nn.Flatten(),        nn.Linear(784, 256),        nn.ReLU(),        nn.Linear(256, NUM_CLASSES)    )    optimizer = torch.optim.SGD(model.parameters(), lr=0.01)    x = torch.randn(32, 1, 28, 28)    y = torch.randint(0, NUM_CLASSES, (32,))    loss = adversarial_train_step(model, x, y, optimizer, ALPHA, EPS)    print(f"对抗训练(标签平滑)损失: {loss:.4f}")  if __name__ == "__main__":    main()
目的：演示对抗训练 + 标签平滑的最小实现——先用 FGSM 生成对抗样本，再用平滑标签计算损失并更新模型。
  1. one_hot = F.one_hot(labels, num_classes).float()将整数标签转成 one-hot 向量，作为平滑的原料。
  2. return (1 - alpha) * one_hot + alpha / num_classes核心的标签平滑公式：保留 1-α 的正确类信息，把 α 均匀分给所有类别。
  3. x.requires_grad_(True)开启输入 x 的梯度跟踪，让攻击者能找到“该往哪里加料”的方向。
  4. grad = torch.autograd.grad(loss, x)[0]计算损失对输入的梯度，这是 FGSM 的攻击地图。
  5. x_adv = x + eps * grad.sign()沿梯度符号方向走一步，得到对抗样本，相当于那撮“苦味粉”。
  6. log_probs = F.log_softmax(logits, dim=1)把输出转成对数概率，方便计算平滑交叉熵。
  7. loss = -(log_probs * y_smooth).sum(dim=1).mean()平滑标签的交叉熵损失，让模型不仅盯住正确类，也对所有类别保持温和。

常见误区

误区我本来以为把 one-hot 标签改成一个“模糊版本”，模型就学不到准确分类了，准确率肯定会大幅下降，所以一直不敢用。

正解标签平滑只把正确类概率从 1.0 降到 0.9～0.95，同时给每个错误类分配约 0.005～0.01 的小概率。这相当于裁判仍然以正确口味为准，只是不再打“非 0 即 10”的绝对分。信息的主体被完整保留，模型的判别能力不会受损，反而因为少了极端自信而更稳健。

为何常见：看到 one-hot 被“混合”了，就直观地以为标签的确定性被破坏了，忽略了 α 取值很小这一关键细节。

误区我觉得平滑系数越大，模型就越温和，对抗攻击就越难生效，所以直接把 α 调到 0.5，结果准确率崩了。

正解α 过大会让所有类别的目标概率趋同，模型逐渐难以区分不同类别，连正常样本都识别不好。鲁棒性不等于“越不自信越好”，而是要在信息保留和抑制自信之间找平衡。经验上 α 取 0.05～0.15 即可，超出这个区间会适得其反。

为何常见：把“缓解过度自信”误解为“信心越低越好”，忽略了标签平滑的本质是保留类别区分度。

误区我以为标签平滑让模型变温和了，攻击者就骗不了它了，所以只加标签平滑不搞对抗训练也没关系。

正解标签平滑只作用于“目标标签”和“损失函数”，它并不改变训练样本本身。对抗训练的核心是让模型在训练时见过真实的对抗样本，二者的作用维度完全不同。标签平滑是“软化学评分标准”，对抗训练是“见多识广”，两者是互补关系，缺一不可。

为何常见：没有分清标签平滑作用于输出层和目标分布，而对抗训练作用于输入端的数据分布。

误区我是照着代码用的，训练时加了标签平滑，推理时直接把模型输出拿来用，发现置信度普遍偏低，还以为是模型没训练好。

正解训练时标签被软化，模型学到的概率分布整体被压缩，推理时的概率自然会偏低。标准做法是把输出除以 1-α 再做归一化，或者直接使用温度校准，让置信度恢复到合理尺度。忽略这一步，模型的表现会像一个“不敢打分”的裁判。

为何常见：把训练技巧和推理流程当作互不影响的两件事，忽略了标签平滑对输出分布的系统性偏移。

误区我跑了一次对比实验，发现加标签平滑后自然准确率低了 0.5%，就觉得这方法不好，直接否定了。

正解在对抗训练的语境下，真正的目标是综合鲁棒性。标签平滑往往以极小的自然准确率代价，换取显著的对抗鲁棒性提升和更好的置信度校准。如果只盯着自然准确率一个指标，就像只考核裁判在正常菜系上的表现，却无视他在恶作剧赛中是否被带偏。

为何常见：习惯了把“准确率”当作唯一 KPI，忽略了对抗训练场景下鲁棒准确率这个决定性指标。

面试题

Q1. 标签平滑公式 y_smooth = (1-α)·y_onehot + α/K 中，K 代表什么？

单选题 · easy

  • A.训练样本总数
  • B.数据集类别数← 正确答案
  • C.模型网络层数
  • D.迭代训练轮数

答案：B。K 是分类任务的类别总数，α/K 表示把平滑系数均匀分配到每个类别上。选项 A、C、D 分别涉及样本数、网络结构和训练轮数，与类别空间无关，因此都不正确。

Q2. 在对抗训练中，FGSM 生成对抗样本的核心操作是什么？

单选题 · mid

  • A.随机注入高斯噪声
  • B.沿梯度符号加扰动← 正确答案
  • C.直接把输入翻转取值
  • D.用生成器换新样本

答案：B。FGSM 的基本思想是计算损失对输入的梯度，取符号后乘上 ε 再加到原图上，让损失变大。随机噪声（A）没有针对性，翻转输入（C）会破坏语义，生成器（D）生成的是全新样本而非扰动，所以 B 正确。

Q3. 对抗训练引起的“过度自信”有哪些典型表现？

多选题 · mid

  • A.干净样本置信度虚高← 正确答案
  • B.对抗样本自信错判← 正确答案
  • C.训练损失曲线震荡
  • D.模型参数持续膨胀

答案：AB。过度自信指模型对所有输入都给出极高置信度，包括干净样本上的虚高（A）和对抗样本上的自信错判（B）。损失震荡（C）和参数膨胀（D）是训练动态的其他现象，与“自信”这一输出特性没有直接因果关系。

Q4. 当平滑系数 α=0 时，标签平滑会退化成什么形式？

单选题 · easy

  • A.均匀分布标签
  • B.原始独热标签← 正确答案
  • C.高斯分布标签
  • D.二项分布标签

答案：B。α=0 时 y_smooth = (1-0)·y_onehot + 0/K = y_onehot，完全退回 one-hot。α=1 时才退化成均匀分布（A），高斯分布和二项分布与标签平滑公式无关。

Q5. 为什么对抗训练后的模型容易出现过度自信？

单选题 · hard

  • A.对抗训练强化决策边界← 正确答案
  • B.学习率设置偏大
  • C.数据增强幅度过激
  • D.网络参数数量偏少

答案：A。对抗训练为了在扰动下也能输出正确答案，会把决策边界训练得极陡，输出概率趋向饱和，从而表现出过度自信。学习率（B）、增强幅度（C）和参数量（D）是训练配置因素，并非过度自信的根本原因。

Q6. 标签平滑可以带来哪些积极效果？

多选题 · mid

  • A.降低对扰动的梯度敏感性← 正确答案
  • B.阻止输出概率饱和到 1← 正确答案
  • C.直接消除所有对抗样本
  • D.提升预测置信度的校准← 正确答案

答案：ABD。标签平滑通过软化目标分布，使损失对输入的梯度更平缓（A），并能防止正确类概率被推到 1（B），同时让置信度更接近真实正确率（D）。它并不能“消除”对抗样本（C），只是让模型对扰动不那么敏感。

Q7. 鲁棒准确率与自然准确率的关系通常是怎样的？

单选题 · mid

  • A.总是同步上升保持一致
  • B.通常此消彼长需要权衡← 正确答案
  • C.两者没有任何关联
  • D.前者永远高于后者

答案：B。对抗训练常以提高鲁棒准确率为目标，但会牺牲一部分自然准确率，两者构成权衡关系。同步上升（A）和永远一方更高（D）都不符合实际，完全没有关联（C）也与大量实验结果相悖。

Q8. 标签平滑系数 α 的典型建议取值范围是多少？

单选题 · easy

  • A.0.05 到 0.15 左右← 正确答案
  • B.0.5 到 0.8 之间
  • C.0.9 到 1.0 区间
  • D.1.5 到 2.0 区间

答案：A。实践经验表明 α 在 0.05～0.15 时既能保留 85%～95% 的标签信息，又能有效抑制过度自信。0.5 以上标签信息被严重稀释，超过 1.0 甚至不构成合法的概率混合，因此 B、C、D 都不对。

Q9. 在对抗训练中正确实现标签平滑的做法包括哪些？

多选题 · hard

  • A.对对抗样本用平滑标签损失← 正确答案
  • B.推理时按系数修正置信度← 正确答案
  • C.把平滑系数调到最大
  • D.同时观察两套准确率指标← 正确答案

答案：ABD。标准流程是对攻击生成的对抗样本计算平滑标签损失（A），推理时用 1/(1-α) 修正概率（B），并同时监控自然准确率和对抗准确率（D）。平滑系数不是越大越好（C），过大会丢失类别信息。

Q10. 标签平滑公式中的 α/K 这一项在损失函数中起什么作用？

单选题 · mid

  • A.给每个类别分配均匀小概率← 正确答案
  • B.放大损失梯度的运算幅度
  • C.缩小优化器的学习率数值
  • D.扩大训练批次的样本数量

答案：A。α/K 把平滑系数均匀分给每个类别，让非正确类也获得一小部分概率质量，从而阻止模型把正确类概率推向 1。它不直接作用于梯度幅度（B）、学习率（C）或批次大小（D），只改变标签分布本身。