多扰动对抗训练方法：给模型做一场“百变乔装”军训

可视化演示

动态演示多扰动对抗训练方法的核心机制，通过全局/局部/动态/静态四种模式展示关键概念与交互流程。

对抗样本基础

保安第一天上班，手册上写着“正常顾客 = 面带微笑、手持购物袋”。结果有人把购物袋换成双肩包就刷脸进场了。问题出在哪？保安认的是“标准答案”而非人的本质特征。深度学习模型也一样，它对输入里某些极其微小的变化异常敏感。这种“加了一点小手脚就让模型认错”的输入，就是对抗样本（Adversarial Example），它本质上是一种精心计算的欺骗。

在数学上，对抗样本是在原始样本 $x$ 上叠加一个扰动 $\delta$，扰动的大小被人为限制在很小范围内，保证人眼几乎察觉不到差异，但模型输出却被彻底带偏。这个“很小范围”叫扰动约束域，通常用 $p$-范数球刻画：扰动幅度受限，相当于规定化妆必须“看着还是本人”。这正是对抗样本与普通噪声的关键区别——它是有方向、有预谋的乔装，而不是随机的涂鸦。

$$\displaystyle \tilde{x} = x + \delta, \qquad \|\delta\|_p \le \varepsilon, \qquad f_\theta(\tilde{x}) \ne y$$

1. 对抗样本构造：原始样本 $x$ 叠加扰动 $\delta$ 得到 $\tilde{x}$，扰动就像参赛者戴上的假发和胡子

$$\tilde{x} = x + \delta$$

2. 扰动约束域：$\|\delta\|_p \le \varepsilon$ 表示扰动的 $p$-范数不能超过阈值 $\varepsilon$，化妆必须控制在“看起来还是本人”的范围内

$$\|\delta\|_p \le \varepsilon$$

3. 误导目标：模型 $f_\theta$ 在对抗样本上的输出不再等于真实标签 $y$，保安被成功骗过

$$f_\theta(\tilde{x}) \ne y$$

所以对抗样本的定义可以浓缩成一句话：“在化妆允许的范围内，让保安认错人。”而对抗训练，就是主动把这些乔装后的样本拿给模型练手，让保安从“认表面特征”进化到“认骨相”——这正是鲁棒性目标：不管怎么乔装，都能认出真实身份。

扰动生成方法

入侵者要乔装，总得知道往哪个方向化。聪明的办法是观察保安的眼神：他注意力最容易被带偏的方向，就是我的化妆方向。在模型里，这个“眼神方向”由损失函数对输入的梯度给出——梯度指向的是“让模型最大程度犯错”的变化方向。顺着这个方向制造扰动，就有两种典型走法。

FGSM（快速梯度符号法）是“一步到位”：找到方向后直接迈一个固定步长 $\varepsilon$。它快但粗糙，像一次性戴上夸张的假鼻子。PGD（投影梯度下降）则是“多次试妆”：走一小步、停下来照镜子（把越界的部分投影回约束域）、再走一小步，逐步逼近最像本人的伪装，攻击力强得多。两者共享同一个理论依据：梯度符号方向是局部最省力的欺骗路径。

$$\displaystyle \delta = \varepsilon \times \operatorname{sign}\left( \nabla_x \mathcal{L}(\theta, x, y) \right)$$

$$\displaystyle x_{t+1} = \Pi_{x+\mathcal{S}}\left( x_t + \alpha \times \operatorname{sign}\left( \nabla_x \mathcal{L}(\theta, x_t, y) \right) \right)$$

1. 损失对输入求梯度：$\nabla_x \mathcal{L}(\theta, x, y)$ 是损失对输入 $x$ 的偏导，指出“往哪个方向改输入能让模型错得最惨”，即保安最容易被骗的视线方向

$$\nabla_x \mathcal{L}(\theta, x, y)$$

2. 符号函数取方向：$\operatorname{sign}(\cdot)$ 只保留梯度的正负号、丢弃幅度，保证每次扰动方向稳定

$$\delta = \varepsilon \times \operatorname{sign}\left( \nabla_x \mathcal{L}(\theta, x, y) \right)$$

3. FGSM 一步成型：乘以步长 $\varepsilon$ 控制化妆夸张程度，生成对抗样本 $\tilde{x} = x + \delta$

$$\tilde{x} = x + \varepsilon \times \operatorname{sign}\left( \nabla_x \mathcal{L}(\theta, x, y) \right)$$

4. PGD 迭代小步：从 $x_t$ 出发沿符号方向迈出 $\alpha$ 的小碎步，再更新位置

$$x_{t+1} = x_t + \alpha \times \operatorname{sign}\left( \nabla_x \mathcal{L}(\theta, x_t, y) \right)$$

5. 投影回约束域：$\Pi_{x+\mathcal{S}}(\cdot)$ 把越界的化妆效果“掰回”允许范围内，保证伪装不穿帮

$$\Pi_{x+\mathcal{S}}\left( \cdot \right)$$

6. 多步优于单步：反复试妆 $T$ 次后得到的最坏扰动，远强于一步到位的 FGSM

$$x_T = \Pi_{x+\mathcal{S}}\left( x_{T-1} + \alpha \times \operatorname{sign}\left( \nabla_x \mathcal{L}(\theta, x_{T-1}, y) \right) \right)$$

单步像扑一层粉，多步像精修妆容。对抗训练里两种都要用：FGSM 便宜高效，适合大规模热身；PGD 昂贵但杀伤力大，适合检验模型真正的成色。多扰动训练正是把这两套“化妆手艺”同时纳入考核范围。

多扰动核心思想

如果你只让保安练习“识别假发”，他很快就能一眼看穿假发；可入侵者改成贴胡子，他又傻眼了。只包含单一攻击方式的对抗训练，只能防住对应的那一种攻击手法——这就是单扰动局限：防守面太窄，换个花样就穿帮。

多扰动对抗训练的思路，是同时准备 $K$ 种不同的“乔装方案”（不同攻击算法、不同范数约束、不同扰动强度甚至随机初始化），让保安在同一场军训里轮番遭遇它们。模型被迫同时对抗多个攻击域 $\Delta_1, \Delta_2, \dots, \Delta_K$，覆盖更全面的攻击面，从而练出通用的警惕性，而不是针对某一种伪装的肌肉记忆。

$$\displaystyle \min_{\theta} \sum_{k=1}^{K} w_k \, \mathbb{E}_{(x,y)\sim\mathcal{D}}\left[ \max_{\delta_k \in \Delta_k} \mathcal{L}\left( f_\theta(x+\delta_k),\, y \right) \right]$$

1. 外部期望：$\mathbb{E}_{(x,y)\sim\mathcal{D}}$ 表示对训练数据分布取平均，相当于把所有类型的访客都纳入考核

$$\mathbb{E}_{(x,y)\sim\mathcal{D}}\left[ \cdot \right]$$

2. 内部取最坏：$\max_{\delta_k \in \Delta_k}$ 表示在每种扰动域里找出对模型伤害最大的那一款乔装

$$\max_{\delta_k \in \Delta_k} \mathcal{L}\left( f_\theta(x+\delta_k),\, y \right)$$

3. K 种扰动加权求和：$\sum_{k=1}^{K} w_k$ 把多种攻击的损失按权重混合，任何一类都“不能偏科”

$$\sum_{k=1}^{K} w_k \, \mathcal{L}_k$$

4. 外层最小化参数：$\min_{\theta}$ 更新模型参数，让所有攻击下“最坏情况”的加权总和都变小

$$\min_{\theta} \sum_{k=1}^{K} w_k \, \mathcal{L}_k$$

一句话总结：多扰动训练不是让保安记住“假发长什么样”，而是让他在“任何乔装都可能出现”的世界里学会看骨相。训练信号从单一攻击变成立体覆盖，鲁棒性自然更全面。

组合训练策略

军训要排课：几种乔装方案是平均用力、随机抽查，还是按“哪种最会骗人”动态加练？这就是组合训练策略要回答的问题。不同的排课方式决定了训练成本与最终防守效果。

常见策略有三类。并行集成：每轮把 $K$ 种攻击全部生成一遍，损失加权求和后统一更新，踏踏实实但计算开销最大。随机采样：每轮只随机选一两种攻击来训练，像抽查考试，性价比高，适合攻击种类很多的情况。动态调度：根据近几轮每种攻击的实际损失（难度）动态调整它们的权重，让“弱项”获得更多训练量，相当于教练给短板加练。

$$\displaystyle r_k^{(t)} = \frac{\mathcal{L}_k^{(t)}}{\sum_{j=1}^{K} \mathcal{L}_j^{(t)}}, \qquad w_k^{(t)} = \frac{\exp\left( \tau \cdot r_k^{(t)} \right)}{\sum_{j=1}^{K} \exp\left( \tau \cdot r_j^{(t)} \right)}$$

1. 难度占比：$r_k^{(t)}$ 把第 $t$ 轮第 $k$ 种攻击的损失在所有攻击损失总和中的占比视为“难度分”

$$r_k^{(t)} = \frac{\mathcal{L}_k^{(t)}}{\sum_{j=1}^{K} \mathcal{L}_j^{(t)}}$$

2. 温度系数放大：$\tau$ 控制难度差异被放大的程度，难度分越高，对应权重越突出

$$\tau \cdot r_k^{(t)}$$

3. softmax 归一化：除以所有指数项之和，保证 $\sum_k w_k^{(t)} = 1$，形成合法的权重分配

$$w_k^{(t)} = \frac{\exp\left( \tau \cdot r_k^{(t)} \right)}{\sum_{j=1}^{K} \exp\left( \tau \cdot r_j^{(t)} \right)}$$

4. 每轮动态更新：权重随训练推进不断重算，谁难练谁，就像教练把体能优先喂给最短板

$$w_k^{(1)} \to w_k^{(2)} \to \cdots \to w_k^{(T)}$$

策略选择本质是算力与收益的权衡：并行集成效果稳，随机采样省开销，动态调度则像聪明的教练，把训练量精准投向当前最薄弱的攻击类型。

损失函数设计

军训结业考怎么打分？如果保安只练习“最温柔的那种乔装”，他永远防不住狠角色。所以多扰动训练对每种攻击都问同一个问题：最坏情况下你会错得多离谱？——这就是最坏情况损失（Worst-case Loss），它保证模型的下限。

但只看最坏也不行：如果保安只顾盯可疑分子，对普通顾客也大吼大叫，商场体验就毁了。因此实际损失函数会在“自然损失”（正常样本上的表现）与“对抗损失”（各种扰动下的最坏表现）之间取加权和，用系数 $\lambda$ 调节天平的倾向。

$$\displaystyle \mathcal{L}_{\text{multi}} = (1-\lambda)\, \mathcal{L}_{\text{natural}} + \lambda \sum_{k=1}^{K} w_k \, \mathcal{L}_{\text{adv},k}$$

1. 自然损失：$\mathcal{L}_{\text{natural}}$ 是模型在未扰动数据上的分类损失，衡量对普通访客的服务水平

$$\mathcal{L}_{\text{natural}} = \mathbb{E}_{(x,y)\sim\mathcal{D}}\left[ \mathcal{L}\left( f_\theta(x),\, y \right) \right]$$

2. 对抗损失：$\mathcal{L}_{\text{adv},k}$ 是第 $k$ 种扰动下的最坏情况损失，衡量保安挨打后的表现

$$\mathcal{L}_{\text{adv},k} = \max_{\delta_k \in \Delta_k} \mathcal{L}\left( f_\theta(x+\delta_k),\, y \right)$$

3. 权衡系数：$\lambda$ 在自然精度与鲁棒性之间取平衡，$\lambda$ 大则更谨慎但可能误伤好人

$$(1-\lambda)\, \mathcal{L}_{\text{natural}} + \lambda \sum_{k=1}^{K} w_k \, \mathcal{L}_{\text{adv},k}$$

4. 多扰动加权聚合：对抗部分由 $K$ 种攻击按权重 $w_k$ 混合，形成多扰动的总损失

$$\lambda \sum_{k=1}^{K} w_k \, \mathcal{L}_{\text{adv},k}$$

这只“天平”正是多扰动训练的灵魂：既要认得乔装入侵者，也不能把正常顾客当坏人。$\lambda$ 每调一格，保安的锋芒和温和就各偏移一分，工程上通常从 $\lambda = 0.5$ 起步再逐步微调。

训练流程实现

军训基地的时间表是固定的：先出题（生成各种乔装的对抗样本），再答题（在混合样本上训练模型），然后复盘（计算内外层损失），最后调整训练计划（更新权重与超参数）。这套流程对应一个经典的 min-max 双层优化结构。

内层 max 是“出题人”的角色：在扰动约束域内搜索最刁钻的乔装；外层 min 是“教官”的角色：更新模型参数，让最坏情况下的损失也被压下去。多扰动训练相当于同时请了 $K$ 位出题人，每人带一套专属题库，每轮分别出题、联合结算。

$$\displaystyle \min_{\theta} \max_{\delta \in \Delta} \mathcal{L}\left( f_\theta(x+\delta),\, y \right)$$

1. 内层最大化（出题）：$\max_{\delta \in \Delta}$ 在约束域内搜索最坏扰动，相当于出题人不断给保安加码

\delta^{\*} = \arg\max_{\delta \in \Delta} \mathcal{L}\left( f_\theta(x+\delta),\, y \right)

2. 外层最小化（更新）：$\min_{\theta}$ 用最坏扰动对应的损失更新参数，相当于教官针对弱点补课

\theta^{\*} = \arg\min_{\theta} \mathcal{L}\left( f_\theta(x+\delta^{\*}),\, y \right)

3. 双层交替迭代：内层跑若干步（如 PGD 的多次试妆），外层更新一次参数，循环往复

$$t = 1 \to 2 \to \cdots \to T$$

4. 多扰动扩展：把单题库扩展为 $K$ 套题库，每轮分别出题、联合结算损失

$$\min_{\theta} \sum_{k=1}^{K} w_k \max_{\delta_k \in \Delta_k} \mathcal{L}\left( f_\theta(x+\delta_k),\, y \right)$$

实际工程里，外循环对应训练迭代轮数，内循环对应攻击步数；关键超参包括扰动强度 $\varepsilon$、内层步长 $\alpha$、内层迭代步数 $T$ 和批大小。调参节奏像军训计划：先短训热身（PGD 少步数、小 $\varepsilon$），再逐步加大强度，最后用小步长精调收敛。

效果工程挑战

军训结束，怎么判断保安合不合格？不能只问他认不认识普通顾客，还要用没练过的乔装方案突击检查。鲁棒性评估的核心，就是在多种攻击下分别统计准确率，并与自然精度对照——这决定了多扰动训练的投入产出比。

多扰动训练的效果与代价是并存的。收益方面：攻击面覆盖广，模型对未见过的攻击具有更强的迁移鲁棒性。代价方面：每轮要生成 $K$ 种扰动，计算开销成倍增长；更棘手的是“鲁棒性困境”——过度追求鲁棒往往伴随自然精度的小幅下滑，保安太警惕就会误伤好人。

$$\displaystyle \text{RobustAcc} = \frac{1}{N} \sum_{i=1}^{N} \mathbb{I}\left( f_\theta(\tilde{x}_i) = y_i \right)$$

1. 指示函数：$\mathbb{I}(\cdot)$ 当预测结果等于真实标签时记 1，否则记 0

$$\mathbb{I}\left( f_\theta(\tilde{x}_i) = y_i \right)$$

2. 对抗样本集：$\tilde{x}_i$ 由指定的攻击方法（如 PGD）对测试样本生成，相当于突击检查用的新乔装

$$\tilde{x}_i = x_i + \delta_i$$

3. 取平均：$\frac{1}{N}\sum_{i=1}^{N}$ 得到该攻击下的鲁棒准确率

$$\text{RobustAcc} = \frac{1}{N} \sum_{i=1}^{N} \mathbb{I}\left( f_\theta(\tilde{x}_i) = y_i \right)$$

4. 对照自然精度：鲁棒准确率与自然准确率的差值即鲁棒性代价，工程上要盯住这个差值别失控

$$\Delta = \text{Acc}_{\text{natural}} - \text{RobustAcc}$$

结业考核表上，自然精度、各攻击鲁棒精度、训练开销三栏要一起看。多扰动对抗训练不是“买保险没有成本”，而是一场讲究性价比的长期安保投资。

AI 应用场景

Python 演示

# -*- coding: utf-8 -*-"""多扰动对抗训练迷你演示: 线性模型上联合 FGSM 与 PGD 两种扰动训练."""import numpy as np  def make_data(n=120, seed=42):    rng = np.random.default_rng(seed)    x0 = rng.normal([-0.8, 0.2], 0.35, (n // 2, 2))    x1 = rng.normal([0.8, -0.2], 0.35, (n // 2, 2))    x = np.vstack([x0, x1])    y = np.array([0] * (n // 2) + [1] * (n // 2))    return x, y  class LinearModel:    def __init__(self, dim=2):        self.w = np.random.default_rng(0).normal(0, 0.3, dim)        self.b = 0.0     def sigmoid(self, z):        return 1.0 / (1.0 + np.exp(-np.clip(z, -30, 30)))     def prob(self, x):        return self.sigmoid(x @ self.w + self.b)     def grad_params(self, x, y):        d = (self.prob(x) - y) / len(y)        return x.T @ d, np.sum(d)     def grad_x(self, x, y):        # 损失对输入的梯度: dL/dx = (p - y) * w        d = (self.prob(x) - y) / len(y)        return np.outer(d, self.w)  def fgsm_perturb(model, x, y, eps=0.2):    sign = np.sign(model.grad_x(x, y))    return x + eps * sign  def pgd_perturb(model, x, y, eps=0.2, steps=3, alpha=0.05):    delta = np.zeros_like(x)    for _ in range(steps):        sign = np.sign(model.grad_x(x + delta, y))        delta = delta + alpha * sign        delta = np.clip(delta, -eps, eps)    return x + delta  def accuracy(model, x, y):    return np.mean((model.prob(x) > 0.5).astype(int) == y)  def train_multi(model, x, y, epochs=30, eps=0.2, lr=0.3):    for epoch in range(epochs):        x_fgsm = fgsm_perturb(model, x, y, eps)        x_pgd = pgd_perturb(model, x, y, eps)        gw = 0.5 * model.grad_params(x_fgsm, y)[0] + 0.5 * model.grad_params(x_pgd, y)[0]        gb = 0.5 * model.grad_params(x_fgsm, y)[1] + 0.5 * model.grad_params(x_pgd, y)[1]        model.w -= lr * gw        model.b -= lr * gb        print("epoch %2d | natural %.3f | fgsm %.3f | pgd %.3f" % (            epoch,            accuracy(model, x, y),            accuracy(model, fgsm_perturb(model, x, y, eps), y),            accuracy(model, pgd_perturb(model, x, y, eps), y)        ))  def main():    x, y = make_data()    model = LinearModel()    train_multi(model, x, y)    print("final: fgsm=%.3f pgd=%.3f" % (        accuracy(model, fgsm_perturb(model, x, y, 0.2), y),        accuracy(model, pgd_perturb(model, x, y, 0.2), y)    ))  if __name__ == "__main__":    main()

1. rng = np.random.default_rng(seed)用固定种子生成两簇高斯分布样本，保证实验可复现
2. d = (self.prob(x) - y) / len(y)计算每个样本的预测误差，这是逻辑回归梯度的核心
3. return np.outer(d, self.w)把误差向量与权重外积，得到损失对每个输入的梯度
4. sign = np.sign(model.grad_x(x, y))取梯度符号方向，对应 FGSM 的“化妆方向”
5. return x + eps * sign沿符号方向迈出固定步长，FGSM 一步生成对抗样本
6. delta = delta + alpha * signPGD 每次只走 $\alpha$ 小碎步，模拟“多次试妆”
7. delta = np.clip(delta, -eps, eps)投影回约束域，保证扰动不穿帮
8. gw = 0.5 * model.grad_params(x_fgsm, y)[0] + 0.5 * model.grad_params(x_pgd, y)[0]两种扰动的梯度等权混合，体现多扰动联合更新
9. model.w -= lr * gw用混合梯度更新权重，让模型同时适应两种攻击

常见误区

面试题