自适应攻击评估：Certified Robustness 与随机平滑

可视化演示

展示经验攻击vs认证评估、随机平滑机制及认证半径与精度权衡，支持三模式交互切换。

攻击评估困境

回到保险公司的比喻。作为首席理赔员，你面对的最大困境是：骗保者永远在暗处，而你的调查员在明处。 每一份理赔申请，你只能派有限的人力去查，而骗保手段的翻新速度永远快于你的调查流程。你查了十辆车没问题，但第十一辆呢？

AI 的对抗攻击评估面对同样的困境。你要评估一个图像分类模型是否安全，你能做的是：用现有已知的攻击算法（比如 FGSM、PGD、CW 攻击）去试探它。模型防住了，只能说明“在已知攻击面前是稳的”。可攻击者不会按你的脚本来——他们会针对模型的具体情况，“自适应地”设计全新的攻击。今天没有已发表的攻击能攻破模型，明天可能就出现一篇论文把它打穿。

这里的关键词是“自适应”。攻击者不是拿一本固定招式书来出招的，他会观察你的模型、你的防御、你的评估方法，然后专门设计突破手段。因此，评估结论要能闭环到“绝对安全”，就必须超越“我试过的攻击都失败了”这种体验式判断，进入一个更强的层面。

• 威胁模型：攻击者被假定知道模型的一切细节（包括防御策略），能针对性地设计攻击——这是最严格的“白盒”假设。

• 评估目标：模型的安全声明必须在最坏情况下也成立，而非仅在已知攻击下成立。

• 结论缺口：经验测试留下的真空，正是认证鲁棒性要填补的位置。

经验评估局限

为什么“多派几个调查员”不够？因为经验评估（empirical evaluation）从根子上有个偏见：它把“攻击者水平”当成了评估的一部分。 你用的攻击算法越强，测试越严格，但攻击算法本身在不断进化。你今天用 PGD 测出模型是安全的，明天一个更强的攻击算法诞生，结论就翻盘。

更麻烦的是，经验评估的两个推论都不严格：

• “攻击失败” ≠ “模型安全”——攻击失败只说明“这个攻击算法没找到突破口”，可能是攻击者能力不够，而不是模型真的无懈可击。

• “攻击成功” ≠ “模型危险”——在某些场景下，攻击成功的只是特定样本，或者攻击者做出的扰动已经被改变得不像原始输入了，这类攻击在真实世界中可能根本不可行。

这就好比：保险公司派了十个调查员去查一份理赔，十个都说“看起来没问题”，你就能批准理赔了吗？如果这是一笔巨额理赔，你需要的不是“十个调查员的直觉”，而是“三件套文件缺一不可”的硬性核验标准。经验评估的问题在于：它永远无法穷尽攻击者的手段。

不过，经验评估并非一无是处。它是快速发现模型弱点的“探针”，是初步筛查手段。在攻击算法不断攻破旧防御的历史中，经验评估一次次扮演了“吹哨人”的角色。只是作为“认证”而言，它的强度远远不够。

认证鲁棒核心

那么，认证鲁棒性（Certified Robustness）是怎么做到“数学看门人”的呢？它的核心思想是：不再问“我试过的攻击能不能攻破它”，而是问“在数学上，能不能证明它在一个扰动范围内绝对安全”。

认证鲁棒性给出一项保证的形式是：对于输入 \(x\)，在半径 \(r\) 的某种范数球内，无论扰动怎么加，模型的分类结果始终不变。这个保证不是靠暴力测试得出的，而是靠数学推导证明的。它的有效性不依赖攻击算法的强弱——就算攻击者手握所有计算资源，也没法在这个半径内找到突破。

这就像是保险公司的新规：“不看调查员报告，直接看理赔金额是否在三件套齐全的条件下才可以批准。三件套是本，调查员只是辅助。” 有了规则，就不怕骗保者换了新手法。

• 从“经验”到“认证”的转变，可以用一句话概括：从“试”到“证”。

• 认证鲁棒性不试图打败攻击者，而是直接给攻击者画了一个“活动范围”，声明范围内无效。

• 这种保证是有代价的：通常要求模型结构更简单，或者用平滑化等技术削弱单点敏感性，因此认证后的精度往往低于原始模型的常规精度。

但它的价值无可替代：对于自动驾驶、医疗诊断、金融风控这类“一旦被攻击就出大事”的场景，一个数学上可验证的安全半径，远比“我们测了一万个攻击都没破”更有说服力。

下界保证思维

认证鲁棒性最有意思的思维转变，是对“精度”的重新定义。传统评估里，我们关心的是模型在干净测试集上的准确率，这是一个“期望值”。在对抗评估中，我们需要一个更硬核的指标：在最坏情况下，模型的精度至少是多少？ 这个“至少”，就是精度下界（lower bound）。

• 认证精度下界：在所有扰动都落在允许半径 \(r\) 内的前提下，模型分类正确的比例绝对不会低于某个数。

• 上界不需要：我们不需要知道模型在扰动下最好能到多少分，只需要知道最坏不会跌破哪个底线。

从数学上看，认证鲁棒的方法通常计算某个概率下界。以随机平滑为例，对输入 \(x\) 加高斯噪声后，模型对各类别的预测概率是一个多项分布。如果类别 \(A\) 的概率最大且足够大，那么可以推出一个保证半径：在那个半径内的任意扰动，都不会改变“类别 \(A\) 是多数”这个结论。

这个思维很像保险公司计算“极端赔付率下限”：即使遇到最恶劣的环境，赔付率不会超过某个界限，因此保费怎么定都有底。认证鲁棒性的下界保证，让模型的“安全底线”变成一条有数学依据的实线，而不是经验上的虚线。

1. 最大类别概率：\(p_A\) 表示在加噪样本中，模型把结果判为“A 类”的最小概率（下界）。它是这个保证的“锚点”。

$$\displaystyle p_A = \mathbb{P}_{x'\sim\mathcal{N}(x,\sigma^2 I)}[f(x') = A]$$

2. 次大类别概率：\(p_B\) 是除 A 外所有类别中得票最多的那个类别在加噪时的最大概率（上界）。它是“竞争对手”。

$$\displaystyle p_B = \max_{c\neq A} \mathbb{P}_{x'\sim\mathcal{N}(x,\sigma^2 I)}[f(x') = c]$$

3. 概率差：\(p_A - p_B\) 是冠军与亚军之间的票差。票差越大，说明平滑后模型的判断越稳定。

$$\displaystyle p_A - p_B$$

4. 高斯因子：噪声标准差 \(\sigma\) 把概率优势转换成几何空间上的安全半径。噪声越大，单次判断越粗糙，但概率优势被“扩散”得越广，半径越大。

$$\displaystyle \frac{\sigma}{2}$$

5. 逆正态累积：\(\Phi^{-1}\) 把概率值映射到标准正态分布的“分位数”，把概率轴转换到几何距离轴上的里程表。

$$\displaystyle \Phi^{-1}(p_A) - \Phi^{-1}(p_B)$$

这个公式是随机平滑提供“认证”的引擎。它的美妙之处在于：它把“模型在噪声下的投票分布”这一统计量，转换成了“在多远的攻击半径内保证安全”这一几何量。

随机平滑机制

随机平滑（Randomized Smoothing）为什么能实现上面的保证？因为它采用了近乎民主的策略：不再是模型自己一个人做决定，而是让大量“加了噪声的副本”各自投票，最后按多数人意见来。

想象一个陪审团制度：给一张图片加不同的随机噪声，生成很多张“有点模糊但核心意思不变”的副本。让模型对每一张副本打分，最终结果由多数决定。单张副本可能因为噪声看走了眼，但整个陪审团的集体判断就稳定得多。

数学上分两步：

1. 平滑分类器构造：给定原始模型 \(f\)，构造平滑分类器 \(g\)：

\[

g(x) = \arg\max_{c} \mathbb{P}_{\delta\sim\mathcal{N}(0,\sigma^2 I)}[f(x+\delta) = c]

\]

也就是：对 \(x\) 加高斯噪声多次抽样，统计模型判给每个类别的频率，取频率最高者为最终输出。

2. 半径计算：利用上节的公式，由抽样得到的两个最高频类别的概率估计，算出认证半径。

这个机制有两个独特优势：

• 不修改模型内部结构：不管你的模型是 CNN、Transformer 还是集成模型，随机平滑都可以直接包一层使用，像给任何保险套餐外层套上“全民公投”制度。

• 可扩展性：只要抽样足够多，概率估计就足够准，认证半径的可靠性就越高——代价是推理时的计算开销变成原来的 \(n\) 倍（需要 \(n\) 次前向推理）。

随机平滑在实践中的一个常见问题是“概率估计误差”：抽样数有限，算出来的 \(p_A\)、\(p_B\) 和真实值有偏差，因此工业实现会用二项分布置信区间来给出保守的下界/上界。这也是实现上比公式多出来的关键细节。

自适应性考量

现在回到本篇文章的标题：“自适应攻击评估”。攻击者知道模型用了随机平滑之后，能不能针对性地做攻击？他可能会想：既然模型输出是加噪投票的结果，那我能不能构造一个在多数噪点上都“漂移”的对抗样本？

答案藏在随机平滑的一个关键属性里：它的认证保证面对的是所有扰动，而不是某一些攻击方式。 认证半径的计算不依赖任何攻击算法，它直接刻画了在数学上“任何扰动都改变不了多数票”的边界。因此，就算攻击者拥有完全的自适应能力、知道平滑分类器的全部细节（这正是强白盒假设），他依然不可能在认证半径内找到能够让模型误分类的扰动。

这不是因为随机平滑特别难攻破，而是因为认证方法改变了游戏规则：攻击者不是要“骗过调查员”，而是要“推翻数学证明”——这等于要挑战概率论本身。

需要澄清的一点：随机平滑的“随机”不是一种防御机制，它并不试图给攻击者制造不确定性。恰恰相反，它把随机性当作一个可以被积分掉的东西——最终给出的是一个确定性的、无随机性的保证半径。即使攻击者拿到随机种子，依然无法改变结论。

因此，在评估一个使用了随机平滑的模型时，自适应攻击评估的正确姿势是：不依赖“生成攻击样本然后看是否成功”，而是直接验证认证半径和认证精度下界是否满足应用需求。 这也是为什么认证鲁棒性被视为“严格评估”的基石。

评估方法对比

经验评估和认证评估各有适用场景，它们是互补的，而非互斥的。

| 维度 | 经验评估（Empirical） | 认证评估（Certified） |

|---|---|---|

| 评估方式 | 运行攻击算法找对抗样本 | 数学推导安全半径 |

| 保证强度 | 仅在已知攻击下成立 | 对所有扰动成立 |

| 计算成本 | 较低，可大规模测试 | 较高，需采样/改写模型 |

| 结论可靠性 | 依赖攻击算法水平 | 不依赖攻击算法 |

| 适用场景 | 快速筛查、比较不同模型 | 高风险安全关键场景 |

• 经验评估适用：模型研发初期，快速定位薄弱环节，或者在模型对比时作为第一轮筛选。

• 认证评估适用：模型上线前的安全审计，尤其是自动驾驶、医疗、金融等“出事就完蛋”的领域。

• 结合使用时：先用经验评估找出明显弱点，改进模型后，再用认证评估给出可发布的保证半径。

就像保险公司不会只用调查员直觉，也不会只靠规则手册而完全忽略现场信息，两者的协同才是完整的风控体系。对 AI 安全评估来说，经验评估是“调查员”，认证评估是“制度”，两者合并才构成完整的评估链条。

实战应用价值

最后，这套“认证思维”在真实 AI 安全工作中的价值是什么？它最大的贡献是：把 AI 安全从“玄学”变成“工程”。

在认证鲁棒性出现之前，你向客户汇报“这个模型是安全的”，依据是“我们试了五种攻击都没攻破”。客户多半会追问：那第六种呢？现在，你可以这样汇报：“在半径 \(0.5\) 的 \(L2\) 扰动范围内，模型的认证精度下界是 \(85\%\)。任何攻击者，无论用什么方法，都无法让精度低于这个值。” 这是一句可以被审计、被验证、被写进合同的安全声明。

• 高风险场景部署：在自动驾驶的图像识别前加一层随机平滑，获得可证明的扰动安全半径，再决定是否采信模型的判断。

• 安全审计合规：金融机构部署 AI 风控模型时，监管方会要求“模型在对抗环境下的安全声明有数学保证”，认证评估输出正好符合此项要求。

• 可信 AI 生态基石：当模型的安全声明可以被数学验证，多方协作（开源、第三方审计、监管）才真正成为可能。这会沉淀为 AI 基础设施的一部分。

回到开头的保险故事：真正让保险公司基业长青的，不是某个神勇的调查员，而是一套“即使遇到神仙级骗保者，也能守住底线”的制度。认证鲁棒性和随机平滑，正是给 AI 安全装的这套制度。

AI 应用场景

Python 演示

import numpy as npfrom scipy.stats import norm, binomimport ast  def smooth_predict(model, x, num_samples=1000, sigma=0.25):    """用高斯噪声采样多次，对模型输出做多数投票"""    preds = []    for _ in range(num_samples):        noise = np.random.normal(0, sigma, x.shape)        pred = model(x + noise)        preds.append(pred)    counts = np.bincount(preds, minlength=10)    return counts  def lower_confidence_bound(count, n, alpha=0.001):    """用二项分布置信区间计算概率下界"""    if count == 0:        return 0.0    p_hat = count / n    return binom.ppf(alpha, n, p_hat) / n  def upper_confidence_bound(count, n, alpha=0.001):    """计算概率上界"""    if count == n:        return 1.0    p_hat = count / n    return binom.ppf(1 - alpha, n, p_hat) / n  def certified_radius(counts, sigma=0.25, alpha=0.001):    """根据得票分布计算认证半径"""    n = counts.sum()    top2 = counts.argsort()[-2:][::-1]    top_c, second_c = top2    pA = lower_confidence_bound(counts[top_c], n, alpha)    pB = upper_confidence_bound(counts[second_c], n, alpha)    if pA <= 0.5:        return 0.0    radius = sigma * (norm.ppf(pA) - norm.ppf(pB)) / 2    return max(0.0, radius)  def signed_probe_model(x):    """模拟一个二分类模型：按符号判断类别"""    if hasattr(x, "__iter__"):        return np.where(x > 0, 1, 0)    return 1 if x > 0 else 0  def main():    np.random.seed(42)    x = np.array([0.5, -0.3, 0.2])    counts = smooth_predict(signed_probe_model, x, num_samples=500, sigma=0.2)    radius = certified_radius(counts, sigma=0.2)    print("得票分布:", counts[:3])    print("认证半径:", radius)  if __name__ == "__main__":    main()

1. noise = np.random.normal(0, sigma, x.shape)生成高斯噪声，模拟给输入加扰动副本；sigma 越大概率分布越宽。
2. counts = np.bincount(preds, minlength=10)统计每个类别的得票数，这是整个投票机制的核心指标。
3. binom.ppf(alpha, n, p_hat) / n计算得票率的保守下界（或上界），避免抽样不足导致乐观估计。
4. if pA <= 0.5: return 0.0如果最大类别的下界概率不超 50%，说明投票不够压倒性，拒绝给出正半径。
5. radius = sigma * (norm.ppf(pA) - norm.ppf(pB)) / 2核心公式，把概率优势换算成几何上的安全距离。
6. np.where(x > 0, 1, 0)用符号判断模拟模型输出；真实场景中替换成任意待评估模型的预测函数即可。

常见误区

面试题