在数字美术馆的墙上，挂着一幅由 AI 鉴画师“小阿”负责鉴别的画。小阿从不走眼，直到捣蛋鬼小灰出现：小灰偷看了小阿的鉴别笔记，然后对着画作轻轻吹了一口气——这口气薄得像秋日清晨的霜，肉眼完全看不出变化。可小阿却突然把画上的“猫”认成了“烤面包机”。这不是魔术，而是对抗样本攻击。要理解这口气为什么能拐跑 AI，就要明白：AI 的每一个判断背后，都藏着一张“损失山坡”的地形图。山坡最陡的方向，就是小灰要吹气的方向；而吹气的力度，由一个叫 epsilon 的小旋钮控制。本文的主角 FGSM——快速梯度符号法，就是这套“轻轻一吹”的标准操作手册。它虽然简单，却是所有更强大攻击（比如 PGD）的地基，也是 AI 安全测试的第一把钥匙。

岗位关联

职业价值：掌握 FGSM，你就能理解 AI 模型为何脆弱、如何被轻易欺骗，并在模型上线前做好鲁棒性加固——这是 AI 安全工程师的核心基本功。

目录
  1. 可视化演示
  2. 1. 梯度符号原理：扰动之源
  3. 2. 攻击五步流程：从笔记到假画
  4. 3. Epsilon调优：吹多大一口气
  5. 4. FGSM与PGD：单步与迭代的较量
  6. 5. 对抗防御策略：给小阿打疫苗
  7. 6. 白盒攻击边界：看不到笔记怎么办
  8. 7. 模型安全启示：AI的脆弱与成长
  9. AI 应用场景
  10. Python 演示
  11. 常见误区
  12. 面试题

可视化演示

动态演示FGSM的核心机制，通过概览/流程/对比/趋势四种模式展示关键概念与交互流程。

本节配有交互动效（进入视口后自动加载，约 3KB）。

FGSM：FGSM FGSM作为最基础对抗攻击方法 FGSM梯度利用原理与单步扰动 核心机制可视化 FGSM整体架构与关键组件

1. 梯度符号原理：扰动之源

小灰第一次得手后兴奋不已，但它很快发现：真正难的不是“吹气”，而是确定“往哪儿吹”。小阿的鉴别笔记里，记着它对每一幅画的理解方式——哪些笔触让它相信这是猫，哪些阴影让它联想到烤面包机。这份笔记，在 AI 里就叫模型的参数和梯度。沿着梯度方向修改输入，模型犯错的概率会被最快地放大。攻击者甚至不需要知道该推多少力，只需要知道方向：拿一个符号函数把梯度变成 ±1 的方向指示牌，再统一乘上吹气力度 ε。这就构成了 FGSM 的全部秘密。

在数学上，FGSM 用一行公式描述：

其中 $x$ 是原始画作，$J$ 是让模型“脸红”的损失函数，$\nabla_x J$ 是对输入求的梯度，$\text{sign}$ 只取正负方向，$\varepsilon$ 是统一扰动幅度。

小灰后来总结：这口气不是玄学，而是梯度图上算出来的“精准风向”。它不需要吹得花里胡哨，只要知道方向、控制好力度，就能让小阿在众目睽睽之下看走眼。

xadv=x+ε×sign(∇xJ(θ,x,y))x_{\text{adv}}=x+\varepsilon\times\text{sign}\left(\nabla_x J(\theta,x,y)\right)
这个公式的意思是：先看模型在哪个方向最容易犯错，然后只按照方向、以固定力度推一下输入。
  1. 原始输入 $x$这是我们要加扰动的画作底片，比如一张猫的照片。
    原始输入 x\text{原始输入 } x
  2. 损失函数 $J(\theta,x,y)$它度量模型在真实标签下的“尴尬程度”，$J$ 越大，说明模型越容易在这种输入上犯错。
    损失 J(θ,x,y)\text{损失 } J(\theta,x,y)
  3. 梯度 $\nabla_x J$它指向让损失上升最快的方向，相当于“最容易骗倒小阿”的风向标。
    梯度 ∇xJ(θ,x,y)\text{梯度 } \nabla_x J(\theta,x,y)
  4. 符号函数 sign把每维梯度压缩成 +1 或 -1，只留方向、丢弃力度，保证每个像素被均匀对待。
    sign(g)\text{sign}(g)
  5. 扰动幅度 ε一口气的力道，控制每个像素最多被推多远。
    ε×sign(g)\varepsilon\times\text{sign}(g)
  6. 叠加生成对抗样本把方向扰动加到原图，得到肉眼无差、模型却认错的对抗样本。
    xadv=x+ε×sign(g)x_{\text{adv}}=x+\varepsilon\times\text{sign}(g)

2. 攻击五步流程：从笔记到假画

小灰的行动清单非常清晰：先偷笔记（白盒假设），再让小阿看画（前向传播算出损失），随后翻开笔记找错误方向（反向传播求梯度），接着按方向吹一口气（符号化与缩放），最后把扰动加到原画上，一幅“假画”就诞生了。这五步，正是几乎所有对抗攻击的共同骨架。

这一步一步地看，攻击流程并不神秘：它只是把模型训练时的反向传播反过来用——训练中我们修改参数让损失下降，攻击中我们修改输入让损失上升。

小灰发现，这套流程最大的优点是快：不用反复试探，一次前向、一次反向就完成了攻击。就像在美术馆闭馆前，它总能在 10 秒内伪造出一幅小阿认不出的画。

g=∇xJ(θ,x,y),δ=ε⋅sign(g),xadv=x+δg=\nabla_x J(\theta,x,y),\qquad \delta=\varepsilon\cdot\text{sign}(g),\qquad x_{\text{adv}}=x+\delta
三个等式的组合可以概括为：先求梯度方向，再决定扰动形状，最后加到输入上。
  1. 求梯度 $g$通过反向传播得到损失对输入每个像素的偏导数，它告诉攻击者“哪个方向改动会最疼”。
    g=∇xJ(θ,x,y)g=\nabla_x J(\theta,x,y)
  2. 符号化缩放 $\delta$把梯度中每个分量变成 ±1，统一乘以 ε，得到最终扰动增量。
    δ=ε⋅sign(g)\delta=\varepsilon\cdot\text{sign}(g)
  3. 合成对抗样本 $x_{\text{adv}}$把增量与原始样本逐元素相加，得到新的输入。
    xadv=x+δx_{\text{adv}}=x+\delta

3. Epsilon调优：吹多大一口气

吹气太轻，小阿连眼皮都不抬；吹气太重，画布上的颜料会被吹花，连游客都能发现。小灰的教训表明：ε 是 FGSM 中最重要的旋钮，它同时控制着攻击的“杀伤力”和“隐蔽性”。一个常用约束是扰动大小被限制在无穷范数 ε 以内——意思是每个像素的改动都不能超过 ε。

当 ε 很小时，扰动嵌入在高维空间中，人眼几乎无法察觉，但可能不足以跨过决策边界；当 ε 偏大，攻击成功率通常更高，但画作的边角和纹理会出现肉眼可见的“薄雾”，暴露攻击痕迹。实际工程中，ε 往往通过小步试探确定：先取一个安全的较小值，再逐步增大，直到模型误判率与隐蔽性达到平衡。

小灰后来把 ε 取名为“隐形眼镜的度数”：度数太低看不清，度数太高全世界都看出你戴了眼镜。真正的高手，只取刚刚好能骗过小阿的那一档。

∥xadv−x∥∞=max⁡i∣δi∣≤ε\|x_{\text{adv}}-x\|_\infty = \max_i |\delta_i| \le \varepsilon
这个公式说明：FGSM 的扰动被限制在一个“最大改动量为 ε”的小盒子里，盒子太大容易暴露，太小则骗不过模型。
  1. 逐元素扰动 $\delta_i$对抗样本与原图在每个像素位置的差值，代表这一口气在画布上留下的痕迹。
    δi=(xadv)i−xi\delta_i=(x_{\text{adv}})_i-x_i
  2. 无穷范数 $\|\cdot\|_\infty$取所有像素改动幅度中的最大值，衡量“最显眼的那一笔”有多大。
    max⁡i∣δi∣\max_i |\delta_i|
  3. 上限约束FGSM 保证每处改动都不超过 ε，也就是把吹气力度装进一个统一的笼子里。
    ∥δ∥∞≤ε\|\delta\|_\infty\le\varepsilon

4. FGSM与PGD：单步与迭代的较量

小灰发现，有时候一口气只能让小阿犹豫，却不足以让它彻底说错。于是它开始连续吹气：吹一口，看风向，再吹一口，再看风向……每次迈一小步，走几步之后，小阿终于把猫认成了烤面包机。这种“连吹多口气”的升级版，就是 PGD（投影梯度下降）。PGD 可以看作 FGSM 的迭代版本：每一步都沿当前梯度符号方向走一小步 α，并在每步之后把样本投影回 ε 邻域内。

FGSM 适合快速评估，因为它只算一次梯度；PGD 则更接近“最坏情况”，它反复矫正方向，往往能攻破 FGSM 攻不破的防线。缺陷也很明显：多步迭代让计算开销成倍上涨，而且每一步都需要完整白盒梯度。

小灰把 FGSM 和 PGD 记在了同一页笔记上：前者是它赶时间用的单发快枪，后者是碰上硬骨头时的连发重炮。两者同根同源，唯一的区别，是愿不愿意多花时间多吹几口气。

x(t+1)=clipx,ε(x(t)+α×sign(∇xJ(θ,x(t),y)))x^{(t+1)}=\text{clip}_{x,\varepsilon}\left(x^{(t)}+\alpha\times\text{sign}\left(\nabla_x J(\theta,x^{(t)},y)\right)\right)
如果把 FGSM 比作一记直拳，PGD 就是一套组合拳：直拳快但容易被防住，组合拳慢却更有破坏力。
  1. 当前攻击位置 $x^{(t)}$第 t 轮迭代时对抗样本所在的位置，可以看作小灰已经吹了几口气后的画布状态。
    x(t)x^{(t)}
  2. 单步步长 $\alpha$每口气的力度，通常比 ε 更小，保证攻击是“小步快走”而不是“一步跨过”。
    α×sign(∇xJ)\alpha\times\text{sign}(\nabla_x J)
  3. 投影裁剪 $\text{clip}_{x,\varepsilon}$每一步都检查扰动是否超出 ε 盒子，一旦超出就拉回边界内，保持“隐形”。
    clipx,ε(⋅)\text{clip}_{x,\varepsilon}(\cdot)

5. 对抗防御策略：给小阿打疫苗

老馆长听说小阿被骗后痛定思痛，想出了一个老办法：既然小灰会在画上吹气，那就把被吹过气的画也放进小阿的教材里，让它从小见怪不怪。这就是对抗训练的思想——把攻击生成的最坏样本纳入训练集，让模型在“被攻击”中学会抵抗。更高级的写法是一个 min-max 问题：

内层的 max 模拟攻击者：在 ε 范围内寻找最能骗过模型的扰动；外层的 min 让模型在这些困难样本上把损失压到最低。除了对抗训练，数据增强（给输入加噪声）、防御蒸馏（把模型的“敏感度”打薄）也是常见手段。

老馆长后来明白了：防御不是让模型变得更聪明，而是让它变得更“钝”——对小到人类不在意的变化不再大惊小怪。疫苗的原理，从来不是消灭病毒，而是让身体不再害怕。

min⁡θ E(x,y)∼D[ max⁡∥δ∥∞≤εJ(θ,x+δ,y) ]\min_{\theta}\ \mathbb{E}_{(x,y)\sim\mathcal{D}}\left[\ \max_{\|\delta\|_\infty\le\varepsilon} J(\theta,x+\delta,y)\ \right]
对抗训练像给模型打疫苗：先故意让模型感染一点“轻微的攻击病毒”，从而产生对更猛攻击的抵抗力。
  1. 内层 max 攻击模拟攻击者在小范围 ε 内挑扰动 δ，让损失最大，代表小灰在画布上到处找最疼的下手点。
    max⁡∥δ∥∞≤εJ(θ,x+δ,y)\max_{\|\delta\|_\infty\le\varepsilon} J(\theta,x+\delta,y)
  2. 外层 min 模型防御模型在见过最坏扰动后调整参数，让这些坏样本不再能造成大损失。
    min⁡θ[⋅]\min_{\theta}\left[\cdot\right]
  3. 期望 $\mathbb{E}$对所有训练样本的数据分布求平均，不能只防住一幅画，要防住整座美术馆。
    E(x,y)∼D[⋅]\mathbb{E}_{(x,y)\sim\mathcal{D}}[\cdot]
  4. ε 约束扰动被限制在无穷范数球内，保证防御训练针对的是“轻轻吹气”级别的隐形攻击。
    ∥δ∥∞≤ε\|\delta\|_\infty\le\varepsilon

6. 白盒攻击边界：看不到笔记怎么办

小灰之所以百发百中，是因为它能偷到小阿的完整鉴别笔记——模型结构和所有参数。这种“看得见内部”的攻击，叫白盒攻击。但现实中的系统往往把模型藏在保险柜里，只开放一个查询接口，小灰只能投喂图片、拿到标签，却拿不到梯度。这时 FGSM 就失效了，因为符号方向依赖于精确的梯度计算。

黑盒场景下有两条出路：一是训练一个替身模型，在小灰自己的实验室里复刻一个近似的小阿，在替身身上算 FGSM 扰动，再拿扰动去打真模型；二是利用对抗样本的迁移性——在替身上有效的扰动，有很大概率对结构相似的真模型也有效。这也解释了为什么开源模型更容易被攻击：保险柜的门，往往是开源社区无意中打开的。

这一节没有复杂的公式，却藏着攻击能力的天花板。信息越透明，攻击越精准；信息越封闭，攻击者只能靠猜。小灰感叹：笔记锁进保险柜之后，它从“神枪手”退化成了“猜拳选手”。

7. 模型安全启示：AI的脆弱与成长

小阿的故事传开后，人们开始反思：一个能精准识别名画的 AI，为什么会被看不见的薄雾骗倒？根本原因在于，深度学习模型在高维空间里的行为与人类直觉完全不同。人类看到的是“猫”的整体形态，而模型看到的是成千上万个数值的组合。只要这些数值被轻微推向错误方向，模型的判断就可能从“猫”跳到“烤面包机”。这种脆弱性无法靠换一个更大的模型消除，只能通过系统的安全评测来度量。

专家们定义了一个指标叫鲁棒性误差，用来衡量模型在扰动下的真实水平：

它统计的是：在数据分布中，有多大比例的样本存在一个 ε 内的扰动能让模型判断出错。这个指标不是打击 AI 的信心，而是提醒我们：任何模型上线前，都应该做一次对抗压力测试；每一次 FGSM 攻击，都是推动模型变强的一块磨刀石。

老馆长把小阿的鲁棒性误差当作体检报告。一年后，经过对抗训练的小阿依然会被更厉害的 PGD 骗到，但至少 FGSM 的“一口气”已经很难撼动它。安全是一场永不停歇的猫鼠游戏：攻击者不断吹出新花样，防御者不断加固玻璃罩，而 AI 就在这样的攻防交替中慢慢长大。

RobustErr=P(x,y)∼D[ ∃ δ, ∥δ∥∞≤ε: f(x+δ)≠y ]\text{RobustErr}=\mathbb{P}_{(x,y)\sim\mathcal{D}}\left[\ \exists\,\delta,\ \|\delta\|_\infty\le\varepsilon:\ f(x+\delta)\neq y\ \right]
鲁棒性误差回答的问题是：在攻击者 allowed 的最大扰动范围内，模型到底有多容易被骗？这个值越低，模型越抗揍。
  1. 扰动存在 $\exists\,\delta$表示“存在一种吹气方式”，只要存在，模型就有被攻破的风险。
    ∃ δ, ∥δ∥∞≤ε\exists\,\delta,\ \|\delta\|_\infty\le\varepsilon
  2. 预测失败 $f(x+\delta)\neq y$指被扰动后的样本让模型给出错误判断，也就是小阿认错了画。
    f(x+δ)≠yf(x+\delta)\neq y
  3. 概率统计 $\mathbb{P}_{(x,y)\sim\mathcal{D}}$把所有“存在漏洞”的样本汇总起来，计算它们在真实数据里占多大比例。
    P(x,y)∼D[⋅]\mathbb{P}_{(x,y)\sim\mathcal{D}}[\cdot]

AI 应用场景

场景一：模型上线前的对抗体检

阶段：安全评测与鲁棒性测试

解决的问题：传统测试只喂正常样本，发现不了模型对微小扰动的“过敏反应”。FGSM 可以在几分钟内生成海量对抗样本，给模型做一次低成本压力测试。

具体案例：某银行部署人脸识别系统，安全团队用 FGSM 在测试者照片上叠加肉眼不可见的扰动，系统把普通用户误识别为 VIP，从而提前发现了活体检测模块的漏洞，避免上线后遭遇批量攻击。

场景二：用对抗训练给模型“打疫苗”

阶段：数据增强与模型训练

解决的问题：训练集里都是“乖巧”的干净样本，一旦遇到被吹过气的输入，模型就原形毕露。把 FGSM 生成的对抗样本混入训练集，模型被迫学会忽略微小扰动。

具体案例：自动驾驶公司对交通标志识别模型做对抗训练，让车辆在贴满小贴纸的“禁止通行”指示牌前依然能正确刹停，实测事故率下降约三成。

场景三：攻击算法的“标准尺”

阶段：学术研究与算法评估

解决的问题：新提出的防御方法到底有没有用，需要一把统一刻度的尺子。FGSM 因简单、可复现，成为论文里最常出现的基线攻击。

具体案例：研究者在 CIFAR-10 数据集上验证新防御模型时，团队使用 FGSM 和 PGD 同时攻击该模型，并报告两种攻击下的准确率，以此证明防御手段的有效性。审稿人一看数据，就能判断方法成色。

Python 演示

python41 行
import numpy as np  class LogisticModel:    def __init__(self, w, b):        self.model_w = np.array(w, dtype=float)        self.model_b = float(b)     def predict_proba(self, x):        z = np.dot(self.model_w, x) + self.model_b        return 1.0 / (1.0 + np.exp(-z))     def predict_label(self, x):        return 1 if self.predict_proba(x) > 0.5 else 0  class FGSMAttacker:    def __init__(self, model, eps=0.3):        self.model = model        self.eps = eps     def attack(self, x, y_true):        x = np.array(x, dtype=float)        p = self.model.predict_proba(x)        grad = (p - y_true) * self.model.model_w        delta = self.eps * np.sign(grad)        x_adv = x + delta        label_before = self.model.predict_label(x)        label_after = self.model.predict_label(x_adv)        return x_adv, delta, label_before, label_after  if __name__ == "__main__":    model = LogisticModel(w=[3.0, 3.0], b=-3.0)    attacker = FGSMAttacker(model, eps=0.3)    x_org = np.array([0.4, 0.4])    x_adv, delta, label_before, label_after = attacker.attack(x_org, y_true=0)    print("原始样本:", x_org, "-> 类别", label_before)    print("扰动增量:", delta)    print("对抗样本:", x_adv, "-> 类别", label_after)    print("攻击是否成功:", label_before != label_after)
目的：用一个二维逻辑回归模型模拟“AI 鉴画师”，再用 FGSM 生成扰动，演示单步攻击如何让类别从 0 翻转为 1。
  1. p = self.model.predict_proba(x)先让小阿看一眼画，给出“当前是猫”的信心分数。
  2. grad = (p - y_true) * self.model.model_w反向推导出损失对输入的梯度方向，相当于找到最容易犯错的风向。
  3. delta = self.eps * np.sign(grad)只取梯度符号并乘以 ε，得到每一笔均匀的“吹气力度”。
  4. x_adv = x + delta将扰动叠加到原始样本上，生成对抗样本。
  5. if __name__ == "__main__":程序入口，直接运行即可看到类别从 0 变成 1，见证攻击成功。

常见误区

误区我觉得只要 ε 调得足够大，模型一定被骗，攻击成功率肯定一直往上涨，所以 ε 越大越好。

正解实际中，ε 一旦让样本跨过决策边界，再继续增大只会让扰动肉眼可见，甚至会让画作被明显破坏。攻击成功率和隐蔽性是一对跷跷板，真正的对手不是模型，而是“画作是否露馅”。

为何常见：人本能地觉得“用力越大效果越好”，但对抗样本不是砸墙，而是精准暗算，力度刚好即可。

误区攻击不是黑盒吗？我拿着图片直接找模型拿预测结果就行，为什么还需要白盒梯度？

正解FGSM 是典型的白盒攻击，必须拿到模型结构、参数，并完成一次反向传播。没有梯度，就计算不出符号方向。真正只知道输入输出的黑盒攻击，只能靠替身模型或迁移性来完成，难度和不确定性都高得多。

为何常见：媒体常把对抗攻击渲染成“随便改几个像素”，让读者误以为攻击者不需要任何内部信息。

误区既然 FGSM 的扰动肉眼几乎看不见，那小阿在人眼里还是那幅画，系统应该很安全？

正解人眼看不见不代表模型安全。模型在高维空间中会对微小的数值变化极度敏感，这正是 AI 与人类视觉的差异。对抗训练、输入检测等防御必须专门设计，而不是寄希望于“隐蔽性”本身。

为何常见：我们习惯用“人眼是否看得出区别”来定义相似，却不知道模型在成千上万个维度上的判据与人类完全不同。

误区只要用 FGSM 生成一个对抗样本，随便扔到哪个模型上都能攻击成功。

正解对抗样本具有迁移性，但非常有限。白盒攻击在同一个模型上效果最好；换一个结构差异很大的模型，成功率可能大幅下降。这也是黑盒攻击困难的原因。

为何常见：许多论文会展示“一张图骗过多个模型”的实验截图，让人误以为对抗样本天生通用。

面试题

Q1. FGSM 中“符号”指的是什么？

单选题 · easy

  • A.梯度的正负方向← 正确答案
  • B.梯度的绝对数值
  • C.模型的层数大小
  • D.数据集的分布形状

答案：A。FGSM 的核心是取梯度的正负号来指示扰动方向，而忽略梯度幅值。就像小灰只关心“往左吹还是往右吹”，不关心风本身有多大。

Q2. FGSM 属于以下哪种攻击类型？

单选题 · easy

  • A.白盒攻击方法← 正确答案
  • B.黑盒攻击方法
  • C.灰盒攻击方法
  • D.物理攻击方法

答案：A。FGSM 需要完整模型信息和梯度，是经典白盒攻击。它必须“偷看到小阿的笔记”才能计算符号方向，黑盒场景下无法直接使用。

Q3. FGSM 的扰动是几次完成的？

单选题 · easy

  • A.单次迭代完成← 正确答案
  • B.多次迭代完成
  • C.随机搜索完成
  • D.无限循环完成

答案：A。FGSM 中的 F 就是“快速”，它只用一次梯度计算、一次符号化、一次叠加就生成对抗样本，像对着画只吹一口气。

Q4. 在 FGSM 中，epsilon 的作用是什么？

单选题 · mid

  • A.控制扰动幅度← 正确答案
  • B.控制模型深度
  • C.控制训练轮数
  • D.控制批次大小

答案：A。ε 决定每个像素上允许的最大改动量，也就是小灰吹气的力度。它直接影响攻击成功率与扰动可见性。

Q5. epsilon 过大时，对抗样本最可能出现什么情况？

单选题 · mid

  • A.肉眼容易察觉← 正确答案
  • B.模型完全不变
  • C.攻击成功率为零
  • D.训练更加稳定

答案：A。ε 过大会让扰动在画布上留下明显痕迹，人一眼就能看出画被动过手脚。攻击成功率并不随 ε 无限增长，因为一旦跨过决策边界，再大也只是浪费。

Q6. FGSM 攻击效果可能受限的原因有哪些？

多选题 · mid

  • A.需要完整梯度← 正确答案
  • B.单步优化有限← 正确答案
  • C.扰动可能被察觉← 正确答案
  • D.不需要模型信息

答案：ABC。FGSM 是白盒攻击，缺少梯度就无法实施；单步更新缺少迭代矫正，容易在复杂决策边界面前失效；ε 偏大还会让扰动暴露。D 选项与白盒前提矛盾，是错误项。

Q7. 与 FGSM 相比，PGD 的主要区别是什么？

单选题 · mid

  • A.迭代多次攻击← 正确答案
  • B.完全不需要梯度
  • C.不使用 epsilon
  • D.只适用于文本

答案：A。PGD 可以看作 FGSM 的迭代版，每步走一小段并重新投影到 ε 邻域，因此攻击力更强但计算开销更大。它依然需要梯度，依然使用 ε 约束，也不仅限于文本。

Q8. 对抗训练的核心思想是什么？

单选题 · hard

  • A.训练中加入对抗样本← 正确答案
  • B.降低模型参数量
  • C.提高输入图片分辨率
  • D.删除难分类的样本

答案：A。对抗训练把攻击生成的坏样本混入训练集，让模型在“被吹过气”的数据上学习。它不回避攻击，而是用攻击本身锻炼模型，像疫苗一样以毒攻毒。

Q9. 下列哪些是 FGSM 的有效防御？

多选题 · hard

  • A.对抗样本训练← 正确答案
  • B.图像平滑预处理← 正确答案
  • C.防御蒸馏策略← 正确答案
  • D.epsilon 调大

答案：ABC。对抗训练让模型见过坏样本；输入平滑预处理可以擦除部分扰动痕迹；防御蒸馏让模型梯度更平滑、更难利用。调大 ε 只会让攻击更猛烈，不是防御手段。

Q10. 关于 FGSM 与 PGD 的对比，下列说法正确的有哪些？

多选题 · extreme

  • A.PGD 是 FGSM 的迭代版← 正确答案
  • B.PGD 的攻击强度更高← 正确答案
  • C.FGSM 更省计算开销← 正确答案
  • D.FGSM 必然更隐蔽

答案：ABC。PGD 在 FGSM 基础上迭代多次并投影，攻击强度通常更高，但多步梯度计算也带来更大开销。隐蔽性取决于 ε 而非攻击方法本身，因此 D 的“必然”表述错误。