交通标志物理攻击：自动驾驶的安全隐患

可视化演示

展示物理攻击使AI误分类的原理、对抗贴纸优化设计、数字与物理攻击本质区别及鲁棒性防御方案，交互切换深入理解自动驾驶视觉安全威胁。

攻击概览：先认识这场“视力测试”

一天放学，小锐路过校门口的公告栏，发现“本周末运动会”的海报被人贴了一张卡通贴纸，正好盖住“运动会”三个字，整句话变得莫名其妙。物理攻击就是这类“线下改海报”的恶作剧——攻击者不修改AI内部的数据，而是直接在现实世界的标志牌上动手脚，让AI看错。把它想象成在视力表上贴黑点，比直接改电脑里的视力表电子文件更隐蔽、更难防范。

研究界把攻击分成两大家族：数字攻击和物理攻击。数字攻击像入侵打印店的电脑，把电子源文件里的文字改掉，改的是图像里的像素；物理攻击则更像趁夜黑风高在公告板上贴小纸片。两者都会让AI最终“看走眼”，但物理攻击必须面对一个现实难题：真实世界不是一张静止图片，摄像头有距离、有角度、有光照变化。攻击者设计出的贴纸，必须在所有这些变化下都“骗”过AI才行。

由此，我们给出物理攻击的“成功公式”：攻击者设计一个贴纸图案 $\delta$，把它贴在真实标志上，再由车载摄像头通过成像过程 $\mathcal{P}$ 将三维世界投影成二维图像，最后AI模型 $f_\theta$ 做出判断。攻击成功的标志就是：最终输出目标类别，而不是真实类别。

在小锐的故事里，贴纸就是 $\delta$，摄像头与光线就是 $\mathcal{P}$，小锐的“视觉大脑”就是 $f_\theta$。当三者被巧妙凑在一起，小锐明明盯着STOP，却脱口而出“限速45”。更值得警惕的是，捣蛋鬼可能只是调皮的少年，也可能是心怀不轨的破坏者——无论是谁，他们只需要一张低成本贴纸，就能让价值几十万的汽车产生危险行为。这正是物理攻击被称为“低成本、高破坏”威胁的原因。

攻击原理：为什么AI会“揉眼睛”

学校视力检查时，“E“字表缺口朝下，小锐看得清清楚楚。可如果医生在视力表旁放一盏忽明忽暗的灯，或在缺口周围缠一圈彩色电线，小锐的视线就会被干扰。神经网络也有类似的”视觉错觉”。

深度学习模型的判断依据，不是人类理解的“整体语义”，而是一堆局部特征的加权。例如识别STOP时，可能特别依赖红色八边形的轮廓、白色“STOP“字样的位置。当某个局部特征被精心设计的图案覆盖，神经元激活模式会被带偏，输出概率就会”漂移“到另一个类别。这种能引发漂移的微小改动，就是对抗扰动 $\delta$。更麻烦的是，对抗样本有”传染性”：同一张贴纸在一个模型上有效，往往也能骗过其他模型，这就是攻击的迁移性，它让攻击者无需了解目标模型的具体参数也能得手。

数学上，攻击者需要在“贴纸面积不能太大”的预算内，找出一张让AI错得最离谱的贴纸：

回到小锐：贴纸上的图案不是随手画的，而是“算法精心调制的视觉噪声”，恰好踩中神经网络某个敏感区域。于是小锐的眼睛虽然还看到红色八边形，大脑的结论却已经变成了“限速45”。

攻击手法：四种“贴纸骗术”大赏

捣蛋鬼们发现，想让小锐看错，手段不止一张贴纸。有人用黑色胶带横贴在STOP牌上，把“STOP“遮成”S*OP“；有人用反光贴纸改变标志的颜色和亮度；还有人干脆把整个标志牌涂鸦成一幅抽象画——人眼觉得莫名其妙，AI却会被这些”抽象画”带偏。

研究中最经典的当属贴纸干扰。加州大学伯克利分校的Eykholt等人在2018年的真实路试中发现：只需在STOP牌右下角贴一张 \(8 \times 8\) 厘米的对抗贴纸，AI在超过80%的测试视角下都会把“停车”误判为“限速45”。这类攻击的关键在于“多视角优化”——车辆在行驶中会从不同距离、不同角度观察标志，攻击者需要保证贴纸在所有这些视角下都有效。于是他们把打印-相机-光照的变换全部建模，在优化中反复模拟“贴纸被打印→相机成像”的完整过程。

物理世界攻击的优化目标可以写成：

除了贴纸，还有遮挡攻击（挡住标志局部特征）、光影攻击（用投影仪投射图案改变标志外观）、实体涂装（打印对抗图案后贴在车身上伪装成假标志牌）。在小锐眼里，这些捣蛋鬼的手段层出不穷，它必须练就更强的辨别力。

攻击危害：一次误判的蝴蝶效应

想象小锐在十字路口把STOP看成了“限速45”，它很可能径直往前冲。这并非杞人忧天——只要感知层出错，决策层基于错误信息做的规划大概率也是错的。感知、规划、控制环环相扣，第一环的错误会像多米诺骨牌一样传导下去：错误识别 → 错误决策 → 危险动作 → 碰撞事故。

攻击危害不只是“看得错”，而是“一连串错误决策”。感知层错误识别后，规划层可能选择加速或变道，控制层随之执行，最终导致追尾、闯红灯甚至碰撞行人。学术上常用“误判链概率”来建模这类风险：事故概率 ≈ 感知误判概率 × 决策层未兜底概率 × 发生碰撞的后果概率。每一个环节都在放大前面的错误。

除了直接的安全风险，还有公众信任危机和法规真空：如果乘客知道一张贴纸就能让AI闯红灯，谁还会放心坐自动驾驶？交警和保险公司又该把责任算在谁头上？小锐感觉自己压力山大——它不仅要认对标志，还要在“有人捣乱”时依然守住安全底线。

防御体系：给AI戴上多重保险

怎么才能让小锐不再被贴纸骗？最简单的想法是让它“多看书”——把各种贴纸版本的路牌考题都加入训练集。这正是对抗训练的思路：与其躲避攻击，不如主动把攻击者制造的“难题”拿来当练习题。

对抗训练是当前最主流的防御手段之一，本质是“极小极大博弈”：内层 max 生成最难的对抗样本（攻击者视角），外层 min 调整模型参数，使模型在这些难题上犯错最少（防御者视角）。换成小锐的话说：魔鬼出题，天使答卷——出题人不断加难，考生不断适应，最后真考场上再也不怕。

实战中，单靠对抗训练还不够。聪明的工程师还会为小锐配上“第二双眼睛”——激光雷达、毫米波雷达、高精度地图与V2X通信构成多源融合感知；再加异常检测模块专门识别标志上是否有可疑贴纸、遮挡或涂改痕迹；更前瞻的做法是把主动安全设计前置：在传感器布局、决策冗余阶段就假设“可能有人给我的路牌贴纸”。多团火聚在一起，才能烧断攻击链。

走向未来：攻守的下一回合

物理攻击还会继续升级。研究者发现，攻击者如今可以用3D打印制造完整的“对抗三维物体”——一个看起来像路边垃圾桶的装置，从任何角度都能诱发AI误判。好消息是，物理世界的硬约束（光照变化、遮挡、相机噪声、打印色差）既是攻击者的麻烦，也是防御者的武器：真实世界永远不可能像数字世界那样“指哪打哪”。

衡量攻防效果的标准也在演进。自动驾驶行业正在从ISO 26262功能安全走向ISO 21448预期功能安全（SOTIF），UL 4600也专门讨论自动驾驶安全评估。攻击成功率（ASR） 成为衡量系统鲁棒性的量化指标，它计算“攻击者把AI骗成功”的比例：

对小锐而言，真正的终点不是“永远不被骗”，而是在攻击者与防御者的无限博弈中，始终保持足够的安全裕度。未来的自动驾驶汽车，将把主动安全设计前置——从传感器布局到决策冗余，处处假设“可能有人给我的路牌贴纸”，这样才能在真实世界里守住底线。

AI 应用场景

Python 演示

"""迷你版：用PGD在交通标志上生成"对抗贴纸"，骗过CNN分类器"""import torchimport torch.nn as nnimport torch.optim as optim  def make_shape(shape, size=32):    """生成圆形(STOP)或三角形(让行)示意标志"""    yy, xx = torch.meshgrid(torch.arange(size).float(),                            torch.arange(size).float(), indexing='ij')    cx = cy = size / 2    r = size * 0.36    if shape == 'stop':        m = (xx - cx) ** 2 + (yy - cy) ** 2 <= r ** 2    else:        t = (yy - (cy - r)) / (2 * r)        m = (t >= 0) & (t <= 1) & ((xx - cx).abs() <= r * (1 - t))    return m.float().unsqueeze(0).unsqueeze(0)  def make_dataset(n=100):    xs = [make_shape('stop' if i % 2 == 0 else 'yield') for i in range(n)]    ys = torch.tensor([i % 2 for i in range(n)])    return torch.cat(xs), ys  class Net(nn.Module):    def __init__(self):        super().__init__()        self.cnn = nn.Sequential(            nn.Conv2d(1, 8, 3, padding=1), nn.ReLU(), nn.MaxPool2d(2),            nn.Conv2d(8, 16, 3, padding=1), nn.ReLU(), nn.MaxPool2d(2),            nn.Flatten(), nn.Linear(1024, 2),        )     def forward(self, x):        return self.cnn(x)  def pgd_patch(model, x, y, mask, eps=0.8, steps=40, lr=0.15):    """在mask限定的贴纸区域生成对抗扰动"""    x_adv = x.clone()    loss_fn = nn.CrossEntropyLoss()    for _ in range(steps):        x_adv = x_adv.detach().requires_grad_(True)        loss = loss_fn(model(x_adv), y)        model.zero_grad()        loss.backward()        x_adv = x_adv + lr * torch.sign(x_adv.grad) * mask        x_adv = torch.clamp(x_adv, x - eps, x + eps)    return x_adv.detach()  def main():    torch.manual_seed(0)    xs, ys = make_dataset(100)    model = Net()    opt = optim.Adam(model.parameters(), lr=0.01)    loss_fn = nn.CrossEntropyLoss()    for _ in range(25):        idx = torch.randperm(len(xs))[:32]        loss = loss_fn(model(xs[idx]), ys[idx])        opt.zero_grad()        loss.backward()        opt.step()     mask = torch.zeros_like(xs[:1])    mask[:, :, 12:24, 12:24] = 1.0  # 中央"贴纸"区域    x, y = xs[:1], ys[:1]    x_adv = pgd_patch(model, x, y, mask)     p0 = model(x).softmax(1)[0]    p1 = model(x_adv).softmax(1)[0]    names = ['STOP(圆形)', '让行(三角形)']    print('攻击前预测:', names[p0.argmax().item()],          '置信度 %.3f' % p0.max().item())    print('攻击后预测:', names[p1.argmax().item()],          '置信度 %.3f' % p1.max().item())    print('贴纸攻击',          '成功!' if p0.argmax().item() != p1.argmax().item() else '未生效',          'AI被一张小贴纸骗过去了' if p0.argmax().item() != p1.argmax().item() else '')  if __name__ == '__main__':    main()

1. make_shape(shape, size=32)用向量化方式生成圆形和三角形的示意交通标志图像，作为教学版“路牌视力表”。
2. torch.meshgrid(...)生成坐标网格，让每个像素都知道自己在哪里，方便画形状。
3. self.cnn = nn.Sequential(...)构造一个简单的卷积神经网络，模拟小锐的“视觉大脑”。
4. mask[:, :, 12:24, 12:24] = 1.0只在标志中央区域放置“贴纸”，其余像素保持不动，模拟物理攻击的局部性。
5. x_adv = x_adv + lr * torch.sign(x_adv.grad) * maskPGD核心更新：沿着梯度方向在贴纸区域内叠加扰动，让AI越错越离谱。
6. x_adv = torch.clamp(x_adv, x - eps, x + eps)把扰动限制在 \([-eps, eps]\) 内，对应“贴纸不能无限大”的物理约束。
7. model(x).softmax(1)[0]取模型的输出概率，看看小锐在每个类别上的“信心”有多高。

常见误区

面试题