凌晨五点的货运码头，海关查验员老王端着保温杯站在传送带前。每一位AI模型都像一座“海关总署”，每天接收无数张图片“集装箱”：路牌、人脸、货架、红绿灯。大部分集装箱顺利过关，但总有人想走歪路——在路牌上贴一张特制的贴纸，在眼镜框上印几道纹理，甚至打一束刁钻的光。这些东西在物理世界中看起来平平无奇，却能让AI把“限速60”看成“直行”，把张三看成李四。这类在现实里动手脚、悄悄骗过AI模型的手法，叫物理攻击。而对物理攻击的检测，就是给AI总署增设一条“智能查验线”：像老王扫视集装箱那样，在图像进入决策之前先排查可疑痕迹。本文将从攻击类型、检测原理、核心算法、性能评估、防御优化到工程工具，带你完整看懂这条“查验线”是怎么设计出来的。

岗位关联

掌握物理攻击检测，是AI安全工程师守卫自动驾驶、人脸闸机、智慧安防等现实系统的必修课——它决定了你的模型在真实世界里是否真的可信。

目录
  1. 可视化演示
  2. 物理攻击概览
  3. 攻击类型识别
  4. 检测原理剖析
  5. 核心检测算法
  6. 性能评估指标
  7. 防御与优化
  8. 实战与工具
  9. AI 应用场景
  10. Python 演示
  11. 常见误区
  12. 面试题

可视化演示

展示物理对抗攻击检测三大策略：对抗贴片纹理异常检测、多视角物理一致性验证、传感器融合冗余检测，支持步进切换查看不同检测阶段。

本节配有交互动效（进入视口后自动加载，约 3KB）。

对抗贴片纹理异常检测 对抗贴片呈现高频高对比度纹理异常 频域分析暴露异常能量分布 E_high / E_total > θ 扫描线检测高频能量超阈值区域标记贴片位置

物理攻击概览

老王在海关干了二十年，总结出查验工作的第一课：你得知道对手是谁。物理攻击检测也一样，先要认清“攻击”二字在现实世界的含义。所谓物理攻击，是指攻击者不直接修改图像的像素文件，而是在真实世界里制造一个物理物体——一张打印出来的贴纸、一副特殊纹理的眼镜、一束经过计算的光——再让AI的摄像头去拍它。AI看到的是“正常的照片”，但照片里的内容已经被悄悄掉了包。

这和数字攻击有本质区别。数字攻击像黑客直接改报关单电子版，在手写识别或像素层面加肉眼看不见的扰动；物理攻击则像走私犯把货真价实的箱子运到码头，只是在箱子里做了夹层。物理攻击必须经过“相机成像”这趟旅程，会受到光照、角度、打印精度、镜头模糊的影响，因此它比数字攻击更难制造，但也因此留下了更多可检测的物理痕迹。

也正因为要经过现实世界的“运输”，物理攻击对自动驾驶、人脸支付、智能安防这些系统的威胁特别大。一辆车如果认错路牌，一次闸机如果放错人，后果是实打实的。物理攻击检测的任务，就是在图像进入AI决策之前，判断眼前这张“照片”里的物体，是不是被人在物理世界动过手脚。

回到码头，老王眯起眼睛说：查验不是靠猜，是靠经验、工具和一套系统的流程。物理攻击检测要做的，就是从一张图像里找出“这箱货不对劲”的证据。

攻击类型识别

老王见过太多走私的花样：有人在行李箱夹层藏东西，有人把违禁品磨成粉末混进奶粉，还有人用特制灯光让X光机“看走眼”。物理攻击也分门别类，识别攻击类型是检测的第一步。

最常见的类型是贴纸攻击。攻击者把打印好的对抗贴纸贴在路牌、车身上，贴纸上的图案经过算法优化，让AI把“停止”看成“限速”，把“行人”看成“木桩”。这类攻击成本最低，只需要一台打印机的朋友。

第二类是眼镜攻击，主要针对人脸识别系统。攻击者佩戴印有特殊纹理的眼镜框，就能让摄像头把A识别成B，或者让系统根本认不出有人。这种攻击隐蔽性高，因为人眼觉得“不过是个普通眼镜”，但AI看到的却是完全不同的特征向量。

第三类是光照攻击和立体物攻击。前者用投影仪在物体表面打出经过计算的图案，后者直接3D打印一个雕塑，例如一只“乌龟”在AI眼里是“步枪”。对检测者来说，这些攻击有一个共同点：在图像里留下了“物理世界独有的痕迹”——贴纸的锋利边缘、打印喷墨的网纹、投影的光照不均。检测器要做的不是背下每种攻击的长相，而是学会嗅出这些“不自然”的味道。

就像老王从来不背走私品名录，他训练自己的眼睛去看“不该出现在这里的东西”。攻击类型的多样性，恰恰逼出了检测算法的真正核心：找异常，而不是认罪名。

检测原理剖析

老王的查验台上放着三样工具：证件比对仪、放大镜、光谱仪。对应到物理攻击检测，也有三条核心线索：图像一致性、局部噪声、重建异常。

第一条线索是图像一致性。一张自然的照片里，同一块区域的光照方向、颜色分布、边缘过渡都遵循物理规律。攻击贴纸是后贴上去的，它的边缘会在图像中形成突兀的亮度跳变，阴影方向可能与周围环境矛盾。第二条线索是局部噪声：打印机喷出的墨点会形成规则的周期性网纹，这种纹理在自然图像里几乎不会出现。第三条线索更隐蔽——把图像压缩成特征再重建回来，正常区域能很好地被重建，而被攻击的区域因为“没见过”这种物理改造，重建出来的样子会和原图差一大截。

用数学来表达“重建差”，就得到最常用的异常分数：

这个式子像查验员把“报关单描述的样子”和“扫描仪复原的样子”放在天平上称。差异越大，货物越可疑。

这条公式的本质，是让AI当一回“没见过世面的查验员”：凡是它熟悉的东西都能顺利还原，凡是它没见过的手法，都会在还原时露出破绽。

A(x)=∥x−Φ(Ψ(x))∥2\displaystyle \mathcal{A}(\mathbf{x}) = \left\| \mathbf{x} - \Phi \left( \Psi(\mathbf{x}) \right) \right\|_2
  1. 输入图像 $\mathbf{x}$待检查的图像块，可能是路牌区域或人脸区域。物理攻击的痕迹就藏在这些局部小块里。
    x∈RH×W×C\mathbf{x} \in \mathbb{R}^{H \times W \times C}
  2. 特征提取器 $\Psi$把图像压缩成低维特征，记住“这幅图大致长什么样”。
    Ψ(x)∈Rd\Psi(\mathbf{x}) \in \mathbb{R}^{d}
  3. 重建器 $\Phi$根据特征尽力还原回原始图像，还原得越像，说明越“正常”。
    x^=Φ(Ψ(x))\hat{\mathbf{x}} = \Phi(\Psi(\mathbf{x}))
  4. 二范数距离逐个像素比较原图与重建图，把差异平方求和再开根号。
    ∥x−x^∥2=∑i(xi−x^i)2\|\mathbf{x} - \hat{\mathbf{x}}\|_2 = \sqrt{\sum_{i} (x_i - \hat{x}_i)^2}
  5. 阈值判定异常分数超过预设阈值的图像块，被判为物理攻击区域。
    A(x)>τ⇒攻击\mathcal{A}(\mathbf{x}) > \tau \Rightarrow \text{攻击}

核心检测算法

有了原理，还得有能落地的探针。老王的智能查验机里装着三套设备：X光机看密度、光谱仪看材质、高速相机看连贯动作。物理攻击检测的三大算法，正好对应这三种“看”法。

第一套是光度比对法。它利用物理世界的一个重要性质：同一块表面，在不同角度、不同相机拍到的图像里，亮度应当遵循一致的光照模型。攻击贴纸是打印出来的，它的反光特性和真实路牌完全不同，把这些对应像素的亮度放在一起对比，就能算出“可疑度”。第二套是频域分析法，它把图像从“明暗世界”变换到“频率世界”。自然图像的频率分布平滑，而打印网纹会产生尖锐的周期性峰值，就像走私品在X光机里总有一团形状规则的阴影。第三套是多帧时序法，利用视频流中同一物体被多帧拍摄的特点：真正的路牌每帧都长得一致，贴纸却会随着视角变化出现闪烁和畸变。

光度比对法有一个很直观的公式：

分数越高，说明两个视角下的亮度越一致；分数一旦跌破阈值，就说明这块表面“表里不一”。

老王常说，一套查验机不够，要三套配合着看。实际系统里也是把光度、频域、时序几个探针的输出汇总，再交给一个判断模块做综合决策。

s=1N∑i=1N(1−∣pi−qi∣max⁡(pi,qi)+ϵ)\displaystyle s = \frac{1}{N} \sum_{i=1}^{N} \left( 1 - \frac{|p_i - q_i|}{\max(p_i, q_i) + \epsilon} \right)
  1. 像素对 $p_i, q_i$同一物体表面在两个视角图像中对应的第 $i$ 个像素点。
    (pi,qi),i=1,2,…,N(p_i, q_i), \quad i = 1, 2, \ldots, N
  2. 归一化差异用亮度最大值加一个极小量 $\epsilon$ 做分母，把差异压缩到 0 到 1 之间，同时避免除以零。
    ∣pi−qi∣max⁡(pi,qi)+ϵ\frac{|p_i - q_i|}{\max(p_i, q_i) + \epsilon}
  3. 相似度转换用 1 减去差异，得到“这一对像素有多像”。
    1−∣pi−qi∣max⁡(pi,qi)+ϵ1 - \frac{|p_i - q_i|}{\max(p_i, q_i) + \epsilon}
  4. 平均聚合对整块表面所有像素对的相似度取平均，得到综合得分。
    s=1N∑i=1N(1−∣pi−qi∣max⁡(pi,qi)+ϵ)s = \frac{1}{N} \sum_{i=1}^{N} \left( 1 - \frac{|p_i - q_i|}{\max(p_i, q_i) + \epsilon} \right)
  5. 阈值判定得分低于阈值 $\tau$ 的区域，被标记为疑似物理攻击。
    s<τ⇒攻击s < \tau \Rightarrow \text{攻击}

性能评估指标

老王每个月都要被领导考核：查得准不准，漏得多不多。查得太严，一天扣下三百个无辜集装箱，码头怨声载道；查得太松，走私货大摇大摆过关。物理攻击检测器同样面临这场“绩效考核”。

最核心的两个指标是精确率（Precision）和召回率（Recall）。精确率回答“你报警说攻击，到底多少是真攻击”；召回率回答“真正发生攻击时，你到底能抓出多少”。两者往往此消彼长：阈值调严，报警少了，精确率升了，但召回率掉下去；阈值调松，攻击都抓到了，误报也铺天盖地。为了用一个数字评价检测器，工程师常把两者合并成F1分数：

F1的巧妙之处在于它惩罚“偏科”：精确率和召回率中任何一个太低，F1都会被拉下来，只有两者都好，分数才高。

除了这些数，检测器还要接受“鲁棒性测试”：换一个光照、换一个拍摄角度、换一台不同型号的相机，检测率还能不能稳住？在自动驾驶场景，系统还要额外控制误报率——把正常路牌误判成攻击，可能让车莫名其妙急刹车。这就像老王的绩效考核表背面，密密麻麻写满了“特殊天气”“高峰期货量”这些附加项目。

F1=2×Precision×RecallPrecision+Recall\displaystyle F_1 = \frac{2 \times \mathrm{Precision} \times \mathrm{Recall}}{\mathrm{Precision} + \mathrm{Recall}}
  1. 精确率 Precision检测器报出的“攻击”里，真攻击所占的比例。
    Precision=TPTP+FP\mathrm{Precision} = \frac{TP}{TP + FP}
  2. 召回率 Recall所有真实攻击里，被检测器找回来的比例。
    Recall=TPTP+FN\mathrm{Recall} = \frac{TP}{TP + FN}
  3. 调和平均用 $F_1$ 综合两者，防止一个指标虚高掩盖另一个指标崩坏。
    2×Precision×RecallPrecision+Recall\frac{2 \times \mathrm{Precision} \times \mathrm{Recall}}{\mathrm{Precision} + \mathrm{Recall}}

防御与优化

老王深知一个道理：查验方法不能吃老本。走私者会研究他的流程，他也要反过来研究走私者。物理攻击检测的防御与优化，本质上是一场持续对抗的“红队演练”。

第一招是对抗训练。检测器在训练时，就主动把物理攻击样本喂进去：用仿真器生成各种贴纸、眼镜、光效攻击，加进训练集，让模型反复“见过世面”。练得多了，检测器对攻击的敏感度自然提升。第二招是输入预处理。图像在进检测器之前，先做一遍去噪、亮度均衡、压缩重采样。这些操作看似简单，却能破坏打印贴纸的周期性网纹，让攻击痕迹在源头就被抹掉一层。第三招是多模态融合。单一摄像头容易被一张贴纸骗过，那就让深度相机、红外相机一起看：贴纸骗得了RGB颜色，却骗不了深度图上的几何形状。

这里面最关键的思路是把“攻击生成”和“检测训练”放进同一个循环：生成新攻击测一遍检测器，检测器变强后逼攻击者换新花样，新花样再进入训练集。如此反复，检测器像老王的查验手册一样不断增厚。

老王翻着手册说：最好的查验员不是记住所有走私手法的人，而是懂得不断更新自己判断标准的人。物理攻击检测的优化，也没有一劳永逸的终点，只有一轮又一轮的迭代加固。

实战与工具

实验室里演练得再好，真到了码头还是要看工具顺不顺手。物理攻击检测的工程化，早已不是一张白纸，社区里有大量现成的“查验装备”可以上手。

数据方面，有专门收集物理攻击样本的公开数据集，包括打印路标、对抗眼镜、对抗贴纸的实物照片，每张图都标注了攻击区域和攻击类型，用来训练和评估检测器。工具方面，IBM的Adversarial Robustness Toolbox、Armory等开源对抗安全工具箱，内置了攻击生成、检测评估、防御训练的完整管线，工程师不用从零写起。更完整一点的落地流程通常是这样：摄像头采集图像，先经过目标检测框出感兴趣区域，再送入攻击检测模块打“可疑分”，最后才交给识别模型做决策——把查验线放在识别线之前。

工程部署中最难的不是算法本身，而是“现实世界的脏乱差”。同一个检测器，在实验室的均匀灯光下F1能到95%，到了雨天、逆光、镜头沾灰的现场可能跌到80%。不同厂商的车载相机传感器差异也会让检测性能漂移。因此成熟的方案都会在部署后进行持续的数据回流，把现场拍到的误报、漏报样本汇入训练集，做定期微调。

老王抬头看了看码头上的监控杆：查验机装好了，还得有人天天维护它。物理攻击检测也一样，算法只是起点，部署、监测、迭代才是让它真正守卫现实世界的关键。

AI 应用场景

自动驾驶路牌识别防护

阶段：感知前的安全过滤

解决的问题：传统感知系统直接信任摄像头图像，攻击者只需在路牌上贴一张对抗贴纸，就能让车辆把“限速60”识别成“解除限速”，引发超速或违章。加入物理攻击检测模块后，图像在进入识别模型前先被“查验”一遍，贴纸区域会因局部异常和高频网纹被拦截，并触发告警让系统降低置信度或切换传感器。

具体案例：某自动驾驶测试车队在开放道路部署了攻击检测管线。测试人员在真实路牌上粘贴了算法生成的对抗贴纸，车辆在50米外即发出“感知异常”提示，系统自动调取激光雷达数据进行交叉验证，未发生误判行为。

人脸识别门禁反欺骗

阶段：活体检测与图像校验

解决的问题：人脸门禁传统上只做活体检测（眨眼、转头），但攻击者佩戴对抗眼镜框就能在镜头前冒充他人。物理攻击检测模块通过分析镜框区域的打印纹理和光度一致性，识别出“这不是真实玻璃镜片，而是打印贴片”，从而拒绝放行。

具体案例：某写字楼安防系统升级后，安全团队用三副不同纹理的对抗眼镜进行渗透测试，系统均在人脸比对前拦截，并记录攻击影像供安保人员复核。误报率控制在每千次刷脸0.5次以内。

智慧安防摄像头画面校验

阶段：视频流预处理

解决的问题：监控摄像头拍摄的画面可能被物理手段干扰，例如用投影仪在墙上投射假图案、给行人贴上对抗贴纸。多帧时序检测法利用视频流中物体应连续一致的特性，发现攻击目标在相邻帧中存在的闪烁或纹理突变，触发人工复核。

具体案例：某园区安防系统接入检测模块后，成功识别出一次利用投影干扰周界摄像头的模拟入侵演练。系统在3秒内锁定异常区域，并将告警推送至控制中心，安防人员到场时攻击者尚未完成伪装。

Python 演示

python51 行
import numpy as np  def generate_patches(n=100, seed=42):    """Generate simulated image patches; 10% with physical attack marks."""    rng = np.random.default_rng(seed)    patches = []    labels = []    for i in range(n):        patch = rng.normal(128, 20, (16, 16))        if i < n // 10:            patch[6:10, 6:10] += 60   # bright block simulates sticker            labels.append(1)          # 1 = attack        else:            labels.append(0)          # 0 = normal        patches.append(patch)    return np.array(patches), np.array(labels)  def anomaly_score(patch, reference):    """L2 distance between image and reconstructed reference."""    diff = patch - reference    return float(np.sqrt(np.sum(diff * diff)))  def detect(patch, reference, threshold):    return anomaly_score(patch, reference) > threshold  def main():    patches, labels = generate_patches()    reference = patches.mean(axis=0)  # average image as normal template    threshold = 450.0    tp = fp = fn = 0    for patch, label in zip(patches, labels):        pred = detect(patch, reference, threshold)        if pred and label == 1:            tp += 1        elif pred and label == 0:            fp += 1        elif not pred and label == 1:            fn += 1    precision = tp / (tp + fp)    recall = tp / (tp + fn)    f1 = 2 * precision * recall / (precision + recall)    print("precision=%.3f recall=%.3f f1=%.3f" % (precision, recall, f1))    print("attacks=%d missed=%d false_alarm=%d" % (tp + fn, fn, fp))  if __name__ == "__main__":    main()
目的：用重建差异分数模拟一套极简物理攻击检测器——把一批图像的平均当作“正常模板”，逐张比对亮度分布，分数超阈值的图像块被判为攻击。
  1. patch[6:10, 6:10] += 60 # bright block simulates sticker在图像中心叠一块亮斑，模拟物理攻击在真实物体上留下的痕迹
  2. labels.append(1) # 1 = attack给攻击样本打上标签，供后续评估
  3. reference = patches.mean(axis=0)用正常图像的平均亮度作为“标准件”，这是查验员脑子里的“正常长什么样”
  4. diff = patch - reference逐像素找出目标与标准件的亮度差异
  5. pred = detect(patch, reference, threshold)每个样本都过一遍查验线
  6. precision = tp / (tp + fp)算一算报警的样本中有多少是真正攻击
  7. f1 = 2 * precision * recall / (precision + recall)精确率与召回率的调和平均，衡量整体表现

常见误区

误区很多人以为只要收集一些正常图片和攻击图片，喂给CNN训练一个二分类模型，检测就完成了。这样做在实验室数据集上效果还不错，可一到真实场景就失灵。

正解物理攻击检测的核心不是“认出攻击”，而是“发现异常”。攻击者会不断生成新样本，训练集中永远覆盖不全。真正稳妥的做法是借助物理规律——比如重建差异、光度一致性、频域网纹——去捕捉“不自然感”，而不是记住攻击的具体长相。就像老王不背走私品名录，而是练出“这箱子不对劲”的直觉，二分类器更像背名录，换个新花样就抓瞎。

为何常见：图像分类是AI从业者最先接触的任务，做检测时大家习惯性地往分类上靠，忽视了物理攻击检测本质上是“分布外异常检测”，而非“闭集分类”。

误区不少人认为对抗样本检测器都是通用的，数字攻击能防，物理攻击自然也能防，没必要单独研究物理域的特征。

正解物理攻击必须先被打印、放置、再经相机成像，这个过程会留下物理世界独有的痕迹：打印网纹、边缘裁切、光照反射异常。而数字攻击直接修改像素，没有这些物理痕迹。若只用数字攻击检测方法（如输入去噪、梯度分析），很难发现打印贴纸造成的频域峰值。反过来，物理攻击检测方法也常依赖成像特性，直接检测像素级扰动未必有效。两类方法应当各司其职、相互补充。

为何常见：对抗样本的学术框架常把数字扰动和物理扰动放在同一条研究脉络里，初学者容易忽略物理成像这个关键中间环节。

误区刚接触检测任务的工程师会认为，只要把阈值调低，宁可错杀一千也不放过一个，把所有可疑样本都标成攻击，准确率肯定高。

正解检测器的目标取决于场景。在自动驾驶里，误报一个正常路牌为攻击，可能导致车辆急刹或降级，这本身就是安全事故。物理攻击检测要在“抓得准”和“抓得全”之间取平衡，用F1、误报率、鲁棒性多个维度共同评估。实操中会先定业务容忍阈值：宁可接受少量漏报换低误报，或反过来，按场景定取舍。

为何常见：比赛排行榜上大家习惯比较准确率，让人误以为“越高越好”，忽略了真实系统里误报和漏报是两种成本完全不同的错误。

误区有些团队把检测器当作一个独立插件，配上就上线，不再维护。结果运行几个月后，攻击者换了一批新算法，检测器性能急剧下滑。

正解物理攻击检测和攻击生成是一场军备竞赛。检测器上线只是起点，工程上需要持续回流现场误报、漏报样本，定期用新攻击算法做红队测试，再迭代训练。就像老王的查验手册要不断更新，否则只能防住旧时代的走私手法。

为何常见：传统软件上线后可以做静态维护，而对抗攻防是动态博弈，从业者容易沿用传统思维忽略“持续运营”的重要性。

面试题

Q1. 物理攻击与数字攻击的核心区别是什么？

单选题 · easy

  • A.攻击者需要更高的黑客权限
  • B.攻击要经过物理世界和成像← 正确答案
  • C.攻击完全无法被检测到
  • D.攻击只能针对人脸识别

答案：B。物理攻击必须在现实世界留下痕迹，再经相机成像进入模型；数字攻击直接修改像素文件。选项B准确描述了这一关键差异。A、C、D均不符合物理攻击的定义或实际能力边界。

Q2. 下列哪项属于典型的物理攻击载体？

单选题 · easy

  • A.直接修改图片的像素值
  • B.打印贴纸贴在路牌表面← 正确答案
  • C.篡改模型训练数据集
  • D.替换部署服务器程序

答案：B。打印贴纸属于现实世界的物理改造，经相机拍摄后影响模型识别，是物理攻击的典型载体。A是数字攻击，C是数据投毒，D是供应链攻击，都不属于物理攻击。

Q3. 重建差异检测法的基本假设是什么？

单选题 · mid

  • A.攻击区域亮度总是偏低
  • B.正常区域能被特征重建还原← 正确答案
  • C.攻击者必须使用高分辨率打印
  • D.相机一定存在镜头畸变

答案：B。重建法假设模型见过的正常图像能被很好地压缩并还原，而攻击区域因“没见过”会产生较大重建误差。B正确。A与物理事实不符，C不是假设前提，D与重建差异无关。

Q4. 在物理攻击检测中，频域分析法主要捕捉什么？

单选题 · mid

  • A.图像中物体的边缘数量
  • B.打印网纹的周期性峰值← 正确答案
  • C.图像文件的大小变化
  • D.模型输出的置信度数值

答案：B。打印喷墨形成的网纹在频域中表现为尖锐的周期性峰值，自然图像在频域中分布平滑。频域分析法正是利用这一差异揪出打印攻击痕迹，因此选B。

Q5. 以下哪种做法符合“误报控制”的目标？

单选题 · hard

  • A.把检测阈值调低，保证更多攻击被拦截
  • B.在自动驾驶中尽量减少正常路牌被判攻击← 正确答案
  • C.将所有低置信度识别结果直接丢弃
  • D.删除检测器输出中的全部告警记录

答案：B。误报控制指降低正常样本被错误判为攻击的概率。在自动驾驶中，误报会让车辆误刹车或降级，因此要专门优化这一指标。A会增加误报，C与误报无关，D直接取消告警不可行。

Q6. 对抗训练在物理攻击防御中的作用是什么？

单选题 · mid

  • A.彻底消除所有物理攻击
  • B.让检测器提前“见过”攻击样本← 正确答案
  • C.降低模型的参数量
  • D.跳过相机成像预处理

答案：B。对抗训练把物理攻击样本放入训练集，让检测器学习这类攻击的痕迹，从而提升鲁棒性。它不能彻底消除攻击，也不改变推理速度或参数量，更不可能跳过成像流程。

Q7. 检测物理攻击最重要的切入点是什么？

单选题 · easy

  • A.提高网络层的宽度
  • B.寻找图像中的异常物理痕迹← 正确答案
  • C.更换更昂贵的推理显卡
  • D.增加训练数据的数量

答案：B。物理攻击经打印、放置、成像后会在图像中留下异常痕迹，如边缘突变、频域网纹、光度不一致。检测的核心就是找出这些“不自然”之处。其他选项都不直接作用于攻击痕迹本身。

Q8. 以下哪些特征可用于物理攻击检测？

多选题 · mid

  • A.图像频域分布← 正确答案
  • B.局部像素统计← 正确答案
  • C.打印噪点纹理← 正确答案
  • D.模型权重数值

答案：ABC。频域分布能暴露打印网纹，局部像素统计能发现亮度突变，打印噪点纹理是打印攻击的直接指纹，三者都是检测的有效特征。模型权重是网络参数，与图像内容特征无关。

Q9. 评估物理攻击检测器通常关注哪些维度？

多选题 · hard

  • A.精确率与召回率← 正确答案
  • B.不同光照下的鲁棒性← 正确答案
  • C.不同拍摄角度的稳定性← 正确答案
  • D.模型参数量大小

答案：ABC。检测器性能既要看精确率和召回率，也要看面对光照、视角等真实环境变化时是否稳定。模型参数量只影响计算资源，不是检测性能的评估维度。

Q10. 提升物理攻击检测鲁棒性的方法有哪些？

多选题 · mid

  • A.多视角图像融合分析← 正确答案
  • B.输入预处理破坏网纹← 正确答案
  • C.对抗训练引入攻击样本← 正确答案
  • D.删除全部训练样本

答案：ABC。多视角融合能互相印证排除误判，预处理可削弱打印网纹，对抗训练让模型见过更多攻击变体，三者都能提升鲁棒性。删除训练样本会让检测器失效，是错误做法。