对抗样本基础与威胁建模：随机化、预处理、特征压缩等被动防御策略

可视化演示

威胁模型概述

在机场安检的故事里，威胁模型就是我们首先要回答的问题：敌人是谁？他们能做什么？他们想干什么？ 如果你不知道走私犯会用什么样的“伪装手段”，那再多的安检设备也是白搭。对抗样本的威胁建模，就是系统性地描述攻击者的能力与目标，帮助我们针对性地设计防御措施。

在AI安全领域，威胁模型（Threat Model）通常包括四个要素：攻击者的目标（想要模型产生什么错误）、攻击者的能力（能修改多少输入数据）、攻击者掌握的信息（是否知道模型的结构和参数）、以及攻击发生的场景（是线上实时攻击还是线下伪造）。被动防御策略的定位是：不修改模型内部结构，而是在输入进入模型之前增加“安检环节”。它假设模型本身是“无辜的”，问题出在输入上。

从技术上看，威胁模型可以用一个简洁的数学形式来表达。假设原始样本为 $x$，攻击者构造的对抗样本为 $x'$，其中扰动 $\delta = x' - x$。攻击者的目标是找到一个极小的扰动 $\delta$，使得模型 $f$ 产生错误预测，同时保证扰动不被人类察觉：

回到机场的比喻：威胁模型告诉我们，走私犯手里的“毛绒玩具”（对抗样本）从外观上看与普通玩具几乎无差异（$\|\delta\|_p$ 极小），但一旦通过安检（模型预测），就会被判定为“安全物品”（$f(x')=f(x)$），从而顺利过关。被动防御的任务，就是让这种“几乎无差异”的伪装变得无效——既然你太擅长伪装，那我就多几个检查环节，让你的伪装失去作用。

随机化防御策略

假设机场安检主任想出了一个新招：安检机的扫描角度和参数每次都随机变化。走私犯就算知道了安检机的型号和参数，也没法提前设计出“恰好不被发现”的伪装，因为每次的检查标准都不一样。这就是随机化防御的核心思想——在推理过程中引入不可预测的随机性，让攻击者无法精确构造对抗样本。

随机化防御的具体实现方式有多种：第一种是随机缩放与填充，在图像输入模型前，先随机地调整图像的大小、在四周填充随机像素；第二种是随机化推理层，在模型的隐藏层中注入随机噪声，让梯度信息变得“不稳定”；第三种是随机噪声注入，直接向输入图像添加微小的随机噪声。这些方法有一个共同点：它们都在攻击者“计算梯度”和“实际推理”之间制造了不一致。

以随机缩放为例，其数学过程可以描述为：设原始输入为 $x$，随机变换函数为 $g_\theta(\cdot)$（$\theta$ 是随机参数，如缩放比例、填充大小），则实际输入模型的是：

其中 $P(\theta)$ 是随机参数的分布。攻击者想构造对抗样本 $x'$，但他们并不知道本次推理会采样到哪个 $\theta$，因此攻击的成功率大大降低。

让我们回到安检场景：在引入随机化之前，走私犯可以精确计算“什么样的伪装不会被发现”；引入随机化之后，每次扫描的参数都在变，他们计算出的“最优伪装”可能在这次检查中失效。当然，随机化并非万能——如果攻击者能收集到足够多的“检查结果”来估计随机分布，他们依然可能构造出成功概率较高的对抗样本。正如再好的安检策略，若被内鬼泄露了随机化算法，也会失去效果。

预处理防御策略

机场安检还有一种常见的做法：在扫描之前，先对行李做“除尘”和“清洁”。为什么？因为有些伪装手法依赖微小的灰尘颗粒或纤维——把这些“杂质”清掉，伪装自然就暴露了。预处理防御策略就是这个思路：在输入进入模型之前，先对数据进行“清洗”，把对抗扰动当作噪声消除掉。

预处理防御的典型方法包括：输入去噪（使用去噪自编码器或滤波器消除输入中的异常模式）、图像压缩与重采样（通过JPEG压缩或缩小图像尺寸来破坏对抗扰动）、以及防御蒸馏（用一种“知识蒸馏”的方法训练一个更平滑的模型，让模型对微小变化不敏感）。这些方法的核心思想都是：对抗扰动通常表现为高频、局部的异常特征，通过“平滑”操作可以削弱它们。

以JPEG压缩为例，其原理可以理解为一种有损压缩变换。设原始输入为 $x$，JPEG压缩为 $C(\cdot)$，则预处理后的输入为：

JPEG压缩通过离散余弦变换（DCT） 将图像从空间域变换到频域，然后丢弃高频分量（对抗扰动通常集中在高频部分）：

预处理策略就像在安检流程中增加了一道“清洁工序”：行李上的灰尘（对抗扰动）被吹掉后，藏在灰尘下的“伪装痕迹”就暴露出来了。但这种策略也有局限：如果攻击者知道你的预处理方法，他们可以在设计对抗样本时就考虑“如何让扰动在去噪后仍然有效”——这就像走私犯在灰尘里掺上粘合剂，让灰尘不易被吹掉。因此，预处理通常需要与其他防御策略结合使用。

特征压缩防御

在机场安检中，我们还可以用另一种思路来防御：简化检查标准。与其检查几百种危险品特征，不如只检查几种最关键的。这样虽然可能漏掉一些“高级伪装”，但也能让攻击者的“精细伪装”失去施展空间。特征压缩防御正是如此——通过减少输入的表达精度，让攻击者没有足够的“空间”来藏匿扰动。

特征压缩中最经典的方法是降低色彩深度。比如将24位真彩色图像（每通道8位，共约1670万种颜色）降到8位（每通道3位，共512种颜色）。这种剧烈的量化会破坏对抗扰动的“精细结构”。其数学表达为：

其中 $k$ 是保留的位数。类似的方法还有局部特征裁剪（将图像的某些区域模糊化）和压缩-解压循环（反复执行JPEG压缩再解压，让扰动在多次压缩中“衰减”）。

想象这样一幅画面：走私犯用“微米级雕刻”在毛绒玩具上刻下了极细微的标记，普通检查无法察觉。但如果你把检查用的放大镜换成“粗粒度扫描仪”——只看得到厘米级特征——那这些微米级雕刻就完全看不出来了。当然，这样的代价是：正常的“精细特征”也会一起丢失。特征压缩就是这样一把双刃剑：降低了模型的精度，但换来了对对抗样本的鲁棒性。在实际应用中，我们需要在精度和鲁棒性之间寻找平衡。

防御效果评估

机场安检部门上了一批新设备，怎么知道它们真的有用？不能光靠直觉说“感觉更安全了”，而是要用统计数据说话：入侵测试的成功率下降了多少？误报率上升了多少？成本增加了多少？防御效果评估就是对各种防御策略进行量化分析，回答“这个防御到底值不值”的问题。

评估防御效果的核心指标是攻击成功率（ASR, Attack Success Rate）。在无防御时，攻击者可能以95%的成功率让模型出错；加入防御后，这个数字应该显著下降。与此同时，我们还要关注准确率下降——防御不能把正常输入也“防御”掉。用一个简洁的表格来看：

| 指标 | 定义 | 目标 |

|------|------|------|

| 攻击成功率（ASR） | 对抗样本被模型错误分类的比例 | 越低越好 |

| 正常样本准确率 | 干净输入被正确分类的比例 | 越高越好 |

| 防御开销 | 推理时间、计算资源的增加 | 越小越好 |

| 鲁棒性增益 | 防御前后ASR的差值 | 越大越好 |

形式化地，设 $\mathcal{A}$ 是攻击算法，$f$ 是模型，$D_{\text{adv}}$ 是生成的对抗样本集合。攻击成功率定义为：

其中 $x'_i = \mathcal{A}(x_i)$ 是攻击者生成的对抗样本，$y_i$ 是真实标签，$\mathbb{I}[\cdot]$ 是指示函数（条件为真时取1，否则取0）。

评估时需要注意：不同的攻击算法、不同的扰动预算（$\epsilon$）、不同的模型架构，都会影响评估结论。就像安检设备的效果，要在“多少种走私手法”、“多精细的伪装”、“多繁忙的客流”等多个维度下综合测试。严谨的评估应该在多种攻击方式下进行鲁棒性测试，而不是只测一种攻击。此外，防御带来的计算开销（如随机化的多次推理、预处理的额外计算）也需要纳入考量——如果防御让响应速度从0.1秒变成2秒，在实时场景中可能不可接受。

应用与展望

我们的机场已经装上了随机化扫描、除尘过滤、简化检查标准等层层防线。现实中，AI安全的战场远比机场复杂——攻击者的手段在进化，防御者也必须不断升级。被动防御策略正是在这样的对抗中发展起来的，它们已经在诸多现实场景中发挥作用。

在现实场景中，被动防御有广泛的应用。例如人脸识别系统：攻击者可能在脸上贴上特殊图案的贴纸来欺骗系统。部署预处理防御（如图像去噪）和特征压缩（降采样）后，贴纸造成的扰动会被大幅弱化。另一个典型场景是自动驾驶中的交通标志识别：攻击者可以在“停止”标志上贴几块小贴纸，让模型将其识别为“限速”标志。通过随机化防御（对摄像头输入做随机裁剪缩放）和预处理（去模糊、去噪），可以显著增强系统对这类攻击的抵抗力。此外，内容审核系统也会使用特征压缩来抵御“对抗性文字”或“对抗性图片”的绕过。

在工业界，被动防御策略通常会与主动防御结合使用。主动防御包括对抗训练（在训练数据中加入对抗样本，让模型“见过世面”）、认证防御（提供数学上保证的鲁棒性界）等。被动防御的定位是“轻量级、即插即用”——不需要重新训练模型，只需要在推理管线上加几个模块。这正是它的优势：在老系统升级安全能力时，被动防御是成本最低的起点。

展望未来，AI安全将走向纵深防御：多个独立防御层的组合、持续的红队测试、实时攻防对抗。被动防御策略作为其中不可或缺的一层，会与主动防御、检测机制、模型可解释性等手段协同作战。就像机场安检从单一的X光机发展成了“金属探测门+CT扫描+行为分析+人工复检+随机抽查+大数据预警”的立体体系，AI系统的防御也需要多层次、全方位的布局。对于一些AI从业者来说，理解这些被动防御策略的本质——在“不可信的输入”和“脆弱的模型”之间建立起过滤屏障——是构建可信AI的基石。

AI 应用场景

Python 演示

import torchimport torch.nn as nnimport torchvision.models as modelsimport torchvision.transforms as Tfrom PIL import Imageimport numpy as np def fgsm_attack(model, x, y, eps):    """Fast Gradient Sign Method攻击"""    x_adv = x.clone().detach().requires_grad_(True)    loss = nn.CrossEntropyLoss()(model(x_adv), y)    loss.backward()    grad = x_adv.grad.data    x_adv = x + eps * grad.sign()    return x_adv.detach() def random_resize_defense(x, scales=(0.9, 0.95, 1.0, 1.05, 1.1)):    """随机化防御：随机缩放输入"""    s = np.random.choice(scales)    new_size = (int(x.shape[-2]*s), int(x.shape[-1]*s))    x_resized = T.functional.resize(x, new_size)    return T.functional.center_crop(x_resized, (x.shape[-2], x.shape[-1])) def jpeg_defense(x, quality=50):    """预处理防御：JPEG压缩去噪"""    x_np = x.squeeze(0).permute(1, 2, 0).numpy()    x_np = np.clip(x_np, 0, 1) * 255    x_np = x_np.astype('uint8')    img = Image.fromarray(x_np)    import io    buf = io.BytesIO()    img.save(buf, format='JPEG', quality=quality)    buf.seek(0)    img_de = Image.open(buf)    x_de = np.array(img_de).astype('float32') / 255.0    x_t = torch.from_numpy(x_de).permute(2, 0, 1).unsqueeze(0)    return x_t.float() def bit_depth_defense(x, bits=4):    """特征压缩防御：降低色彩深度"""    levels = 2 ** bits    x_q = torch.round(x * (levels - 1)) / (levels - 1)    return x_q def eval_defense(model, x, y, eps=0.1):    """评估不同防御策略下的攻击成功率"""    x_adv = fgsm_attack(model, x, y, eps)    defenses = {        '无防御': lambda z: z,        '随机化': random_resize_defense,        'JPEG压缩': lambda z: jpeg_defense(z, quality=30),        '色彩量化': lambda z: bit_depth_defense(z, bits=2),    }    for name, defense_fn in defenses.items():        preds = []        for _ in range(5 if name == '随机化' else 1):            x_def = defense_fn(x_adv.clone())            pred = model(x_def).argmax(dim=1).item()            preds.append(pred)        asr = sum(1 for p in preds if p != y.item()) / len(preds)        print(f'{name}: 攻击成功率 = {asr:.0%}') if __name__ == '__main__':    model = models.resnet18(pretrained=True)    model.eval()    x = torch.randn(1, 3, 224, 224)  # 示例输入    y = torch.tensor([1])    eval_defense(model, x, y)

1. def fgsm_attack(...)FGSM即“快速梯度符号方法”，利用模型梯度方向构造对抗扰动，是攻击者最基础也最常用的手段。
2. loss.backward()计算损失函数对输入的梯度，梯度方向就是“最容易让模型出错”的方向。
3. x + eps * grad.sign()沿着梯度符号方向添加扰动，eps 控制扰动大小。这就是攻击者构造对抗样本的核心步骤。
4. def random_resize_defense(...)随机化防御的核心：每次推理时以随机比例缩放输入。攻击者无法预知缩放比例，梯度计算就会失准。
5. np.random.choice(scales)从预设的缩放比例中随机抽取一个，保证每次推理路径不一致。
6. def jpeg_defense(...)预处理防御的一种：用JPEG压缩破坏对抗扰动的高频结构。
7. img.save(buf, format='JPEG', quality=quality)将图像编码为JPEG格式，quality 越低压缩越狠，对抗扰动被清除得越彻底。
8. def bit_depth_defense(...)特征压缩防御：将像素值量化到有限位数，抹平对抗扰动的精细结构。
9. torch.round(x * (levels - 1)) / (levels - 1)量化操作：先乘再取整再还原，让连续的像素值被归并到离散层级。
10. for name, defense_fn in defenses.items()遍历多种防御策略，逐一测试攻击成功率。
11. sum(1 for p in preds if p != y.item()) / len(preds)统计模型被“骗过”的比例，即攻击成功率（ASR）。

常见误区

面试题