FGSM快速梯度：对抗样本生成

可视化演示

展示FGSM梯度符号法扰动原理、epsilon超参数权衡、targeted/non-targeted攻击变体、迁移性与迭代攻击演进，交互式理解对抗样本生成核心技术。

对抗样本概念

说回那间考场。作弊学生发现，自己只是把“熊猫”照片里某一小格像素的亮度调暗了一丝丝——就像在答卷上擦掉一点墨迹——阅卷老师就尖叫着宣布这是“长臂猿”。更气人的是，老师不是蒙对的，它信心十足地给出了 99.7% 的正确概率。学生恍然大悟：原来机器的“眼睛”和人眼完全不一样。

在深度学习里，这种“人眼看不出区别，模型却认错且自信爆棚”的输入，就叫对抗样本。它有三个标志性特征：第一，扰动小到人眼不可察觉；第二，模型以高置信度输出错误答案；第三，同一个样本常常能骗过多个不同模型，这种性质叫迁移性。

为什么模型这么好骗？因为深度模型学到的决策边界在高维空间中紧贴着训练数据——边界外一点点就是另一个类别的地盘。只要让输入朝“损失增大”的方向挪动一小步，就可能翻越边界。对抗样本不是玄学，而是一个可以精确计算出来的产物：沿着梯度方向移动输入，模型就会一步步滑向错误的深渊。

所以，作弊学生从不瞎涂——他每次都研究阅卷老师的评分标准（损失函数），顺着“扣分最狠”的方向涂改。FGSM 就是那本把“评分标准”翻译成“涂改方向”的作弊手册。

FGSM数学原理

作弊学生要涂改成功，第一步是搞清楚“往哪个方向涂”。他发现阅卷老师批改时会留下淡淡的批注痕迹——这张卷子往右下角改一点点，分数就会暴跌。这个“批注”就是损失函数对输入的梯度：它精确指出了能让模型犯错最快的那条路。

FGSM 的全称是 Fast Gradient Sign Method（快速梯度符号法），它把“批注”浓缩成一个简洁公式：对抗样本等于原始输入加上一小段“顺着批注方向”的涂改。式子里的每一项都对应着作弊流程中的一个动作。

有了这个公式，作弊学生只需两件事：读批注（算一次梯度），擦一笔（叠加 $\epsilon \cdot \mathrm{sign}$）。FGSM 之所以叫“快速”，正是因为从读懂批注到下笔，只需要一次前向和一次反向传播——快到老师都没反应过来。

梯度计算流程

学生好奇：老师是怎么算出“往右下角改会扣分”的？原来阅卷流水线先正着读一遍卷子（前向传播），得到总分（损失值），再从总分倒推回来（反向传播），看答卷上每一笔对分数的影响。这条“从分数倒推笔迹”的路径，就是梯度的来历。

在神经网络里，损失 $J$ 是输入 $x$ 和权重 $\theta$ 共同作用的结果。要想知道“输入该怎么改”，就得从输出层一路向输入层做链式求导——每一步都问同一个问题：如果这一层的小齿轮转了一点，最终损失会变多少？

实际工程中，对 softmax 分类器来说这个梯度可写成简洁的矩阵形式：$\nabla_x J = (\mathbf{p} - \mathbf{y}_{\text{onehot}}) \cdot W^{\top}$。整个攻击过程只做一次前向加一次反向，模型参数 $\theta$ 完全冻结——我们不训练模型，只“调教”输入。这个“一次到位”的特性，正是 FGSM 能大规模批量生成对抗样本的原因。

攻击类型变体

有些学生作弊只求“别及格”，涂改随意——只要老师判错就行，这叫非定向攻击。而另一些学生要求精准：必须把“熊猫”改成“长臂猿”，多改一个字都不算，这叫定向攻击。

非定向攻击直接用交叉熵损失 $J(\theta, x, y)$，让真实类别 $y$ 的损失变大，因此沿梯度的正方向加扰动，这就是我们前面看到的公式。而定向攻击要求模型把样本判成指定类别 $y_t$——此时要让“目标类别的损失”变小，方向就得反过来：

除了方向的不同，还有步数的区别。单步 FGSM 追求快，但一步走不准：走多了破坏图像，走少了翻不过边界。迭代式 FGSM（I-FGSM）把总预算 $\epsilon$ 拆成很多小步 $\alpha$，每走一步都重新看一眼批注：

无论哪种变体，本质都是“顺着评分标准下笔”：非定向随手一涂，定向照着目标答案临摹，迭代则是小步多涂、步步校准。

模型迁移性

作弊学生惊喜地发现：自己练出来的涂改手法，换到隔壁班的阅卷老师那儿也照样管用。这是因为所有老师都看同一本教材（训练数据）备课，看重的特征大差不差——这就是对抗样本的迁移性。

迁移性指：在模型 A 上生成的对抗样本，往往也能骗过模型 B。不同模型在相似数据上训练，学到的决策边界高度相似，所以对模型 A 致命的扰动方向，对模型 B 来说同样踩在痛处。这直接催生了黑盒攻击：攻击者拿不到目标模型的参数时，可以自己训练一个代理模型，在代理模型上用 FGSM 生成对抗样本，再投喂给目标模型。虽然不知道“目标老师的批注”，但参考“自己老师的批注”也能蒙对大半。

更极端的是通用对抗扰动：一张“万能涂改贴纸”加到任意图片上，都能让模型在多数类别上大面积出错。研究者甚至打印出来贴在路牌上，让自动驾驶模型把“停止”识别成“限速”，这已经不是纸面推演，而是实实在在的物理世界威胁。

这也解释了为什么学校要严格保密“评分标准”——可老师们的阅卷习惯早就被摸透了。对防御者来说，迁移性意味着：即使模型参数没泄露，也不能心存侥幸。

防御策略

学校开始反作弊，从三方面下手：第一，把历年作弊卷当练习题让学生反复做（对抗训练）；第二，改进答题卡扫描仪，让涂改痕迹“洗”不进去（输入预处理）；第三，定期组织模拟涂改考试（鲁棒性评估）。

对抗训练是目前最有效的防线：在训练时把 FGSM 生成的对抗样本混进训练集，让模型见过“挨了涂改”的样本，学会忽略这类扰动。它相当于给阅卷老师做“脱敏训练”，但代价是干净样本上的准确率往往小幅下降——这就是鲁棒性与准确率之间的权衡。

输入预处理则是在推理前对输入做平滑、压缩、随机重采样等操作，试图把扰动“洗掉”。这类方法实现简单、成本低，但攻击者一旦知道预处理的细节，可以用自适应攻击绕过它。还有一种思路叫防御蒸馏：用“软标签”训练一个更平滑的模型，让梯度的可用信息变模糊，相当于把批注写得歪歪扭扭——可惜 2017 年后已被证明可以绕过。

所以模型鲁棒性没有银弹。就像学校每年都要更新防作弊手段，AI 安全也是“道高一尺，魔高一丈”的军备竞赛，唯一可靠的姿态是持续攻防评估。

鲁棒性测试实战

学校雇了一位“白帽作弊专家”：定期用 FGSM 模拟涂改，检验阅卷老师有没有漏洞。这正是 AI 安全工程师的日常工作——鲁棒性测试，也叫给模型做“体检”。

具体操作分三步：选 ε、批量生成、看指标。ε 是攻击强度的旋钮，从 0 开始慢慢拧大，观察模型准确率的“滑坡曲线”——曲线掉得越早、越陡，模型越脆弱。工程上通常对验证集全量批量生成对抗样本，统计攻击前后的准确率对比：干净准确率（clean accuracy）与对抗准确率（adversarial accuracy）。两者差距越大，说明模型“外强中干”。

实战中有几条经验：不要只看单一 ε，要扫描一个范围（如 0.01、0.05、0.1、0.3、0.5）；除了非定向攻击，还要搭配定向攻击测最坏情况；报告里注明模型结构、数据集、ε 和攻击变体，保证可复现。用 FGSM 批量测试的成本很低——一次前向加一次反向就能生成一批样本，非常适合做 CI 流水线里的“鲁棒性门禁”。

一场模拟涂改考试下来，哪个老师（模型）容易被骗一目了然。测试报告就是模型的体检单：上了线，也要定期复查。

AI 应用场景

Python 演示

import numpy as np def make_data(n=800, seed=0):    """生成两类高斯分布数据，模拟二分类任务。"""    rng = np.random.default_rng(seed)    x0 = rng.normal([1.0, 1.0], 0.9, size=(n // 2, 2))    x1 = rng.normal([4.0, 4.0], 1.1, size=(n - n // 2, 2))    X = np.vstack([x0, x1])    y = np.array([0] * (n // 2) + [1] * (n - n // 2))    return X, y def softmax(z):    e = np.exp(z - z.max(axis=1, keepdims=True))    return e / e.sum(axis=1, keepdims=True) def train(X, y, steps=500, lr=0.2):    """训练一个 softmax 线性分类器，返回权重 W 和偏置 b。"""    n, d = X.shape    W = np.zeros((d, 2))    b = np.zeros(2)    for _ in range(steps):        p = softmax(X @ W + b)        t = np.zeros((n, 2))        t[np.arange(n), y] = 1.0        W -= lr * (X.T @ (p - t)) / n        b -= lr * (p - t).mean(axis=0)    return W, b def fgsm_grad(W, b, X, y):    """计算交叉熵损失对输入 X 的梯度。"""    p = softmax(X @ W + b)    t = np.zeros((len(X), 2))    t[np.arange(len(X)), y] = 1.0    return (p - t) @ W.T def fgsm_attack(W, b, X, y, eps=0.3):    """FGSM 批量生成对抗样本：x_adv = x + eps * sign(grad)。"""    grad = fgsm_grad(W, b, X, y)    return X + eps * np.sign(grad) def accuracy(W, b, X, y):    pred = softmax(X @ W + b).argmax(axis=1)    return float((pred == y).mean()) def main():    X, y = make_data()    W, b = train(X, y)    print("clean acc: %.4f" % accuracy(W, b, X, y))    for eps in [0.05, 0.1, 0.2, 0.4, 0.8]:        X_adv = fgsm_attack(W, b, X, y, eps)        print("eps=%.2f  adv acc: %.4f" % (eps, accuracy(W, b, X_adv, y))) if __name__ == "__main__":    main()

1. t[np.arange(n), y] = 1.0把整数标签转成“独热编码”：只有真实类别那一列为 1，其余为 0。
2. W -= lr * (X.T @ (p - t)) / n梯度下降训练：让模型先学会“正常阅卷”，这是后面攻击的靶子。
3. return (p - t) @ W.T核心中的核心：交叉熵损失对输入 X 的梯度，即“老师的批注方向”。
4. return X + eps * np.sign(grad)FGSM 公式落地：原样本沿梯度符号方向挪动 ε，生成对抗样本。
5. (pred == y).mean()计算准确率，用来评估“涂改前后”模型判断的差距。

常见误区

面试题