Free与FAST AT加速：对抗训练提效

可视化演示

展示多层神经网络中的前向信号传播与反向梯度回传过程，切换模式观察训练循环的不同阶段。

加速背景与动机

拳馆的账本上，最大的一行支出不是拳击手套，而是陪练的热身时间。要训练一位能扛住真实比赛的拳手，教练必须先让陪练打出足够凶狠的组合拳——这个过程每来一次都要耗掉十分钟，真正能练到的防守回合却只有一次。账房先生指着数字说：每练一个回合，成本是普通训练的十倍以上。

在对抗训练里，这套“组合拳热身”被形式化为内层最大化问题：对每个样本，在允许的扰动范围内寻找让损失最大的对抗样本。由于直接求解不可行，实践中最常用的近似手段是投影梯度下降（PGD）——从随机起点出发，沿损失上升的方向迭代 k 步。每一步都是一次完整的前向-反向传播，而模型参数更新还需要额外一次反向传播，于是每处理一个批次，就要支付 k+1 次反向传播的账单。

这 k+1 次反向传播就是拳馆的“热身税”：k 次用来制造最凶的攻击（陪练热身），1 次用来真正训练模型（正式对练）。当 k 取 10 时，对抗训练的开销就是普通训练的 11 倍。要降低成本，无外乎两条路：让热身本身变成对练（把生成扰动和更新参数合二为一），或者砍掉热身（把多步攻击换成单步攻击）。

面对这份天价账单，两位助教给出了截然不同的省钱方案：Free 让热身直接算作对练，FAST 则取消热身只留一记快拳。接下来我们逐一拆解他们的算盘。

FreeAT梯度重用

Free 助教注意到一个细节：陪练热身挥出的每一拳，拳手其实都在下意识地格挡。既然这样，为什么非要等到热身结束才开始正式对练？不如让每一次热身出拳直接计入训练量——一次挥拳，两笔收益。

放到技术里，“一次挥拳”就是一次反向传播。传统流程中，用于生成对抗样本的 k 次反向传播，和用于更新模型参数的那 1 次反向传播各算各的账。Free AT 的核心观察是：反向传播时，计算图里同时藏着两个梯度——损失对扰动 δ 的梯度，和损失对参数 θ 的梯度。前者告诉陪练“往哪打更疼”，后者告诉拳手“哪里防守稀松”，它们本就是同一次挥拳带出的两个信息。

具体流程是 Free-m 算法：取一个批次 (x, y)，重复 m 次内层循环。每次循环只做一件事——前向计算损失，反向传播拿到梯度，用梯度符号推进扰动 δ，再用同一份梯度更新参数 θ。因为扰动在 m 步内逐步变强，模型也在同一批次上连续学习 m 次，所以总训练轮数可以压缩为原来的 1/m。为防止扰动“恋战”太久，算法每隔 B 个批次（通常 B≈4）就把 δ 重置为零，重新开始累积——好比陪练每练四组就换一套打法，避免拳手背下固定套路。

就这样，陪练的每一记热身拳都变成了实战回合，拳手在同一个回合里既挨打又长进。账房先生翻开新账本：总成本没涨，训练量却翻了几倍——这正是论文标题"Adversarial Training for Free"（对抗训练免费）的由来。

FreeAT开销分析

“免费”不代表没有账。Free 助教把账本摊开：以前陪练热身十拳，拳手打一回合；现在热身一拳，拳手就打一回合。如果总训练量不变，那么陪练需要“出勤”的次数明显变少了，省下的正是陪练往返休息室的时间。

这个“出勤次数”对应训练总轮数。传统 PGD-k 要在 n 轮中每轮都做 k 步攻击；Free-m 把每轮拆成 m 个内层循环，但每一轮内拳手已经练了 m 次，因此只要 n/m 轮就能达到同样的参数更新总量。两个方案的总账一列出来，差距就清楚了。

具体数字上：传统 PGD-10 每批次需要 1 次参数更新 + 10 次攻击生成 = 11 次反向传播；Free-8 每批次 8 次反向传播，但训练轮数只有原来的 1/8，总计算量 = 普通训练 ×（8 × 1/8）= 普通训练。换句话说，Free-m 把对抗训练的账单降到了与普通训练同一水平，这正是“免费”二字的底气。

拳馆算完账后还留了个心眼：Free 也不是无条件的。内层步数 m 太大时，扰动一直在同一批样本上打转，多样性不足，拳手反而见不了世面；重置周期 B 也要把握好，否则扰动累积过头，跟新来的对手完全对不上号。有限的“免费”要配上恰到好处的超参数，才真能省钱。

FASTAT单步生成

另一位助教 FAST 的提议更激进：既然热身这么贵，干脆砍掉热身，陪练上场先虚晃一枪，紧接着一记直拳。成本压到最低，拳馆上下半信半疑。

技术上，这套“虚晃直拳”就是带随机起手的单步 FGSM：先从一个随机扰动 η 出发（虚晃），做一次反向传播求出让损失上升最快的方向，沿符号方向走一步（直拳），再把结果投影回允许范围。随机起手不是可有可无的花架子——研究表明，纯 FGSM（无随机起手）训练的模型会迅速陷入“灾难性过拟合”：看起来鲁棒精度很高，换一种攻击立刻崩盘。随机起手相当于给单步攻击注入了方向多样性，用广度弥补深度。

成本账同样漂亮：每个样本只需要两次反向传播——一次算扰动，一次更新参数。相比 PGD-10 的 11 次，直接省掉约八成计算，这也是论文标题"Fast is better than free"的底气：FAST AT 不仅比传统方案快，甚至比需要多轮内层循环的 Free AT 更快。

但 FAST 助教也警告拳馆：单拳练习虽然便宜，陪练却容易被拳手“读死”——一旦拳手只防这一拳，遇到真实对手就要挨揍。于是教练组总结了一套备赛技巧，把快拳稳稳变成真功夫。

工程调优技巧

拳馆教练组把 FAST 的训练手册翻出来，圈出三件套：及时叫停、负重训练、循序渐进。每一条都是在防同一个暗雷——灾难性过拟合。

灾难性过拟合是单步对抗训练特有的现象：训练过程中，模型鲁棒精度有时会突然大幅下跌，而干净精度依旧正常。原因是模型学会了“抄近道”——利用单步攻击的固定模式。应对思路有三。第一，早停：每隔两三个 epoch 用 PGD-10 在验证集上测一次鲁棒精度，一旦开始持续下滑就立即停止训练。第二，权重扰动：每步更新前给参数 θ 叠加一个微小的均匀随机噪声（幅度约 ±0.0005），让损失曲面被“打散”，模型不容易记住单步攻击的捷径。第三，课程学习：一开始用很小的扰动强度 ε，随训练进度线性增大到目标值，让模型先适应轻度攻击再迎接高强度攻击。

这三个技巧并非只属于 FAST，Free AT 同样适用。具体参数上，权重扰动幅度过大会损伤干净精度，课程学习的起始强度一般取目标值的 0.1 倍，早停的触发阈值则要看验证集规模，通常连续两到三次评估下滑就停止。学习率也值得留意：偏大的学习率配合偏小的批次，往往能让单步训练更稳定。

教练组反复叮嘱：快拳本身没有错，错的是只练快拳。早停是看表，权重扰动是负重，课程学习是加码——三件套配齐，FAST 这位急性子陪练才能既快又稳地出师。

鲁棒性与评估

训练营结束，真正的考验来了：陪练说拳手出师了，但教练要求上擂台打一场“真刀真枪”的验收赛——对手不再是熟悉的陪练，而是换着花样进攻的全新拳手。

对应到评估环节，就是不能只用训练时的攻击方式（FGSM 或短步 PGD）来验证鲁棒性。单步训练尤其容易踩中“梯度遮蔽”的坑：模型把损失曲面抹平，单步攻击找不到梯度就“看起来”攻不破，但换成更强的 PGD-20 甚至 AutoAttack，防御立刻现出原形。因此业界通行做法是：用至少 20 步的强攻击在测试集上重新攻击一遍，得到的鲁棒精度才是可信的成绩单。

加速训练还要面对精度与鲁棒性的经典权衡：对抗鲁棒性越强，干净样本上的精度往往越低。Free AT 和 FAST AT 通过扰动强度 ε、内层步数 m、课程计划等旋钮，在这两头之间找平衡。工程上建议同时记录两类指标——干净精度和鲁棒精度——画出它们的曲线，而不是只盯一个数字。

教练最后把一句训话贴在墙上：加速的钱可以省，验收的擂台不能省。无论 FAST 还是 Free，只有经得起多轮强攻击复查的模型，才配得上“鲁棒”二字——这也是加速方法走出实验室、进入生产环境的最后一道关口。

AI 应用场景

Python 演示

import torchimport torch.nn as nnimport torch.optim as optim torch.manual_seed(0)  class TinyNet(nn.Module):    def __init__(self, dim=16, num_classes=2):        super().__init__()        self.net = nn.Sequential(            nn.Linear(dim, 32), nn.ReLU(), nn.Linear(32, num_classes)        )     def forward(self, x):        return self.net(x)  def fgsm_rs(model, x, y, eps, alpha, criterion):    # FAST AT 攻击: 随机起手 + 单步 FGSM    delta = torch.empty_like(x).uniform_(-eps, eps)    delta.requires_grad_(True)    loss = criterion(model(x + delta), y)    grad = torch.autograd.grad(loss, delta)[0]    delta = torch.clamp(delta + alpha * grad.sign(), -eps, eps)    return delta.detach()  def free_inner_loop(model, x, y, delta, inner_steps, alpha, eps, criterion, optimizer):    # Free AT 内层循环: 一次反向传播同时更新扰动与模型参数    for _ in range(inner_steps):        delta.requires_grad_(True)        loss = criterion(model(x + delta), y)        optimizer.zero_grad()        loss.backward()        delta = torch.clamp(delta + alpha * delta.grad.sign(), -eps, eps)        delta = delta.detach()        optimizer.step()    return delta  def main():    x = torch.randn(64, 16)    y = torch.randint(0, 2, (64,))    eps, alpha = 0.3, 0.3    criterion = nn.CrossEntropyLoss()     print('--- FAST AT: 每批次 2 次反向传播 ---')    model_fast = TinyNet()    opt_fast = optim.SGD(model_fast.parameters(), lr=0.1)    for epoch in range(3):        delta = fgsm_rs(model_fast, x, y, eps, alpha, criterion)        loss = criterion(model_fast(x + delta), y)        opt_fast.zero_grad()        loss.backward()        opt_fast.step()        print('epoch', epoch, 'loss', round(loss.item(), 4))     print('--- Free AT: 内层 4 步, 轮数压缩为 1/4 ---')    model_free = TinyNet()    opt_free = optim.SGD(model_free.parameters(), lr=0.1)    delta = torch.zeros_like(x)    for outer in range(2):        delta = free_inner_loop(model_free, x, y, delta, 4, alpha, eps, criterion, opt_free)        print('outer', outer, 'done')  if __name__ == '__main__':    main()

1. delta = torch.empty_like(x).uniform_(-eps, eps)随机起手：在 [-ε, ε] 内均匀采样初始扰动，模拟“虚晃一枪”。
2. grad = torch.autograd.grad(loss, delta)[0]只求损失对扰动的梯度，得到“最疼的进攻方向”，不触碰模型参数。
3. delta = torch.clamp(delta + alpha * grad.sign(), -eps, eps)沿梯度符号走一步并投影回界，得到最终对抗样本。
4. delta.requires_grad_(True)让扰动重新成为计算图的叶子节点，准备下一轮梯度计算。
5. loss.backward()这一次反向传播同时算出扰动梯度和参数梯度，是梯度重用的核心。
6. optimizer.step()用同一个计算图产出的参数梯度更新模型，实现“一鱼两吃”。

常见误区

面试题