Square Attack无梯度对抗攻击方法

可视化演示

通过方形扰动搜索过程、与PGD白盒方法查询效率对比、以及三类防御策略，展示Square Attack如何用结构化随机搜索实现高效黑盒对抗攻击。

黑盒攻击背景

深夜的银行金库里，小偷小方凑近一个巨大的保险箱。他没有任何图纸，看不见锁芯内部的齿轮怎么排列、弹簧的力度有多大，甚至连密码有几位都不清楚。他唯一拥有的，是一副听诊器——每次转动旋钮，能听到锁芯内部传来的细微声响。这个“只能听声音、不能拆开看”的局面，就是 AI 攻击中的“黑盒”：攻击者拿不到模型的参数和梯度，只有一条“输入图片、输出分数”的推理通道。

在深度学习对抗攻击中，白盒攻击像持有模型全部图纸——攻击者掌握权重、能算出梯度；而黑盒攻击是更贴近现实的场景。Square Attack 正是黑盒攻击家族的典型代表，它不依赖梯度反向传播，只靠“提问—听声”的循环逼近目标。每次向模型发送一张候选图片，模型返回各类别的置信度得分，这个分数就是攻击者的“锁芯声响”。

形式化地说，给定分类模型 \(f_\theta\)、原始图片 \(x\) 和真实标签 \(y_{\text{true}}\)，攻击者要找到一个扰动 \(\delta\)，让模型把 \(x+\delta\) 错判成别的类别，同时 \(\delta\) 的幅度受到约束。在黑盒设定下，\(\theta\) 完全不可见，只能反复查询 \(f_\theta\) 的输出来调整策略。

对小偷来说，这就是行动准则：每次撬锁的力度都有上限——不能把锁砸坏、不能留下太显眼的痕迹，但只要能让锁芯状态改变（让模型认错），就算成功了一步。

方形扰动设计

小方实验了好几个晚上，发现一个窍门：与其用细铁丝一次拨动一个锁齿，不如用一小块湿黏土粘住四个相邻的锁齿一起发力。为什么？因为保险箱内部的齿轮经常是联动的——你拨一个齿，旁边的齿也会跟着转。黏土覆盖一小片区域，等于同时试探了一组联动结构。这就是 Square Attack 名字的由来：方形扰动。

对应到图像上，Square Attack 每次修改的不是单个像素，而是一个正方形区域内的所有像素，统一加上或减去一个固定幅度的值。这个方块由指示函数确定：在一小片区域内全部取 1，其余位置取 0。攻击者随机选择方块的位置和方向（变亮或变暗），把它贴到图片上再查询模型。

扰动更新可以写成：\(\tilde{\mathbf{x}} = \mathbf{x} + \delta \cdot \mathbb{1}_{\mathcal{S}}(i,j)\)。其中 \(\mathcal{S}\) 是随机选定的正方形窗口，\(\delta\) 是本次尝试的扰动幅度。方块大小是超参数，常用 \(4\times4\) 到 \(16\times16\) 像素；整个攻击过程始终受 L∞ 约束，保证每个像素的改动不超过 \(\epsilon\)，让对抗样本与原图在人眼看来几乎一样。

黏土方块就是 Square Attack 的最小行动单元——不大不小，刚好覆盖一片像素的“联动齿轮”，让每次试探都打在关键位置上。

搜索策略逻辑

小方每次贴完黏土，转一圈，仔细听：如果锁芯传来一声闷响、比上次更松了，他就记住这个位置继续加大力度；如果锁芯反而卡得更死，就撕掉黏土换个地方重试。他从不盲目乱试，每一次行动都以“锁芯的反应”为依据——这就是反馈驱动的搜索。

Square Attack 的搜索逻辑与之一模一样。每一轮迭代，攻击者随机选择一个方块位置和一个扰动方向（加或减），生成候选样本后查询模型，得到模型对真实类别的置信度得分。如果新的置信度比历史最低值还低，就接受这次更新；否则丢弃候选，进入下一轮。算法始终维护着一个“当前最优对抗样本”。

为了防止反复试同一个位置，Square Attack 还会记录每个方块位置当前最优的扰动幅度与方向。下次再选中这个位置时，直接基于最优幅度继续叠加微调。整个流程本质上是一种带记忆的贪心局部搜索——不保证全局最优，但每一步都确保比上一步更好。

“听声定向、好就保留、坏就换手”——Square Attack 靠着这条朴素的贪心准则，在完全看不到梯度的情况下，一步步把模型推向错误答案。

梯度方法对比

想象另一位锁匠老白，手里握着一份保险箱的完整设计图：齿轮半径、弹簧位置、锁齿深度全部标注得清清楚楚。他直接用游标卡尺测量，按图纸配钥匙——这就是白盒攻击：梯度像图纸上的读数，精确告诉你“往哪个方向调多少”。小方没有图纸，但他靠黏土试探也能撬开同一个保险箱，只是更费功夫。

在对抗攻击领域，PGD（Projected Gradient Descent）就是老白手中的精密钥匙机。它利用模型反向传播的梯度，每次都沿着让损失函数增大的方向精确移动扰动，再投影回 L∞ 球内。Square Attack 完全没有梯度信息，只有“查询—反馈”回路。两者目标相同，依赖的前提却完全不同。

PGD 的更新公式为 \(x_{t+1} = \mathrm{Proj}_\epsilon( x_t + \alpha \cdot \mathrm{sign}(\nabla_x L(x_t)) )\)，需要计算损失对输入的梯度，因此要求模型可微、权重可访问。而 Square Attack 只关心 \(Q(\cdot)\) 这个数值的大小——任何能返回置信度分数的推理接口都足够。现实中的商业 API 往往不会暴露梯度，但一定会返回分数——这正是 Square Attack 的用武之地。

老白靠图纸一测到位，小方靠黏土反复听声。前者精确但需要权限，后者笨拙但只需一个接口——在现实中，后者往往才是唯一存在的入口。

效率提升原理

有个同行嘲笑小方：“你贴着黏土一块块试，和我用铁丝一颗齿一颗齿地拨，有什么区别？”小方笑了：“你拨一颗齿，锁芯几乎不动；我一贴就是一小片，锁芯哗啦一下松了半圈。”保险箱的齿轮是联动的，图片的像素也是联动的——这就是方块扰动高效的根本原因。

为什么 Square Attack 比纯随机单像素采样高效？第一，低方差：单像素扰动的置信度响应往往被淹没在模型输出的平滑波动里，而一个方块同时改变大量像素，置信度变化信号更强、更稳定，搜索方向更容易被识别。第二，像素相关性：自然图像中邻近像素高度相关——一片树叶纹理相同、一块天空颜色接近，语义上有意义的扰动天然是分块的。第三，搜索空间降维：需要探索的未知量从“每个像素取什么值”压缩为“方块坐标 + 方向”，自由度大幅降低。

从统计角度可以直观对比：方块扰动的期望置信度变化远大于单像素采样。每一次方块更新，相当于一次做了多组单像素实验再聚合结果——在方差上等价于更大的有效样本量。这正是 Square Attack 能大幅减少查询次数的数学基础。

一只大手拨动一片联动齿轮，当然比一根细针拨动单个齿更立竿见影。这就是 Square Attack 在无梯度世界里依然高效的秘密。

鲁棒性边界

保险箱被撬开后，厂家派人来检查，发现锁芯里藏着一个设计缺陷：当某个方向的齿轮恰好错开半齿时，锁舌会自动缩回。这个“暗门”不是巧合，而是复杂机械系统固有的脆弱点。深度学习模型也一样——它强大的分类能力背后，布满了人类看不见的“暗门”。

对抗样本的存在表明，模型并没有真正理解“这是一只猫”的语义，而是依赖一些表面统计特征。Square Attack 找到的扰动通常非常小——在 L∞ 约束下人眼几乎看不出差异——却足以让样本越过决策边界。这说明模型的决策区域在局部是锯齿状、高度不规则的，而不是一个平滑的“猫/狗”分界线。

从鲁棒性角度看，攻击者其实在求解一个最小化问题：在保证误分类的前提下，找到幅度最小的扰动。这个最小幅度刻画了样本到决策边界的距离——有的样本天生脆弱、紧贴边界，有的相对健壮、离边界较远。Square Attack 反复试探方块位置的过程，变相地勾勒出了模型决策边界的局部轮廓。

每一次成功的撬锁，都在告诉保险箱厂商：“你这把锁在这个位置有个暗门。”对抗攻击正是以这种方式，不断暴露深度学习模型的脆弱鲁棒性边界。

评测与防御

保险箱厂商收集了所有被骗开锁的报告，逐条分析：哪个型号被撬开率最高？小偷平均试了多少次？撬开的开口有多大？然后针对性地加固。对抗攻防也是如此——攻击方法不只是破坏工具，更是一把测评鲁棒性的标尺。

评估 Square Attack 有三项核心指标。第一是攻击成功率（ASR），统计被成功诱导误分类的样本比例；第二是查询效率，用平均或中位查询次数衡量攻击成本；第三是扰动质量，用 L2 或 L∞ 距离衡量攻击的隐蔽性。攻击者希望在尽量少的查询下，用尽量小的扰动达到高成功率——这就是 Square Attack 的设计目标。

对抗训练是目前最主流的防御思路之一：把攻击生成的对抗样本重新加入训练集，让模型学着对这些扰动保持正确输出。它的本质是在训练阶段就“预演”攻击者的撬锁手法，逼模型把决策边界推离脆弱区域。但攻防博弈不断演进——Square Attack 被防御住，研究者又改进出更强的变体，这场猫鼠游戏不会停下。

厂商根据撬锁报告加固保险箱，安全工程师根据 ASR 指标加固模型——攻与防，从来是同一枚硬币的两面。

AI 应用场景

Python 演示

import numpy as np  def square_attack(model, x, y_true, eps=0.1, max_iter=300, patch=2, seed=42):    """简化的 Square Attack: 用方形扰动逐步降低真实类别的置信度.     model: 黑盒模型, 输入 (C,H,W) 图片, 输出各类别置信度向量    x: 原始图片 (C,H,W), y_true: 真实类别索引    """    rng = np.random.default_rng(seed)    x_adv = x.copy().astype(np.float64)    _, h, w = x.shape    best_score = model(x_adv)[y_true]     for _ in range(max_iter):        # 随机选一个方块位置和一个扰动方向        top = int(rng.integers(0, h - patch + 1))        left = int(rng.integers(0, w - patch + 1))        sign = float(rng.choice([-1.0, 1.0]))         # 候选样本: 方块区域内所有像素统一加减 eps        cand = x_adv.copy()        cand[:, top:top + patch, left:left + patch] = np.clip(            cand[:, top:top + patch, left:left + patch] + sign * eps, 0.0, 1.0)         # 查询模型, 置信度下降则接受        score = model(cand)[y_true]        if score < best_score:            x_adv = cand            best_score = score        if best_score < 0.05:            break     return x_adv  def make_model():    """构造一个简单的线性分类器, 只提供推理接口, 不暴露权重."""    rng = np.random.default_rng(0)    w = rng.standard_normal((3 * 8 * 8, 2)) * 0.2     def model(img):        flat = img.reshape(-1)        logits = flat @ w        exp = np.exp(logits - logits.max())        return exp / exp.sum()     return model  if __name__ == "__main__":    rng = np.random.default_rng(1)    img = rng.random((3, 8, 8))    model = make_model()    y_true = int(np.argmax(model(img)))     before = model(img)[y_true]    adv = square_attack(model, img, y_true, eps=0.15, max_iter=200, patch=2)    after = model(adv)[y_true]     print("原始置信度: %.3f" % before)    print("攻击后置信度: %.3f" % after)    print("攻击成功" if after < before else "攻击失败")

1. top = int(rng.integers(0, h - patch + 1))随机选方块的纵向起点，保证方块不超出图片边界。
2. sign = float(rng.choice([-1.0, 1.0]))随机决定这次绕动是变亮还是变暗。
3. cand[:, top:top + patch, left:left + patch] + sign * eps把方块内所有像素统一加上扰动幅度，实现“方形扰动”。
4. score = model(cand)[y_true]查询黑盒模型得到真实类别的置信度，这是唯一的反馈信号。
5. if score < best_score:置信度下降就接受候选，这就是贪心局部搜索的核心决策。
6. np.clip(..., 0.0, 1.0)把像素值限制在合法区间，模拟真实图像输入的物理约束。

常见误区

面试题