第2章 · 对抗攻击技术体系
第 2 章 · 对抗攻击技术体系
章节摘要：这一章系统讲对抗攻击的技术细节。攻击的本质是一个优化问题：在保持扰动足够小的前提下，找到让模型输出错误的输入。白盒攻击（攻击者知道模型）直接用梯度优化——FGSM 是最经典的单步攻击，PGD 是迭代加强版，CW 是基于优化的强攻击。黑盒攻击（攻击者不知道模型）靠两种路子：查询攻击反复调模型估计梯度，迁移攻击在代理模型上生成样本靠迁移性生效。理解这些算法的原理和差别，既是攻击的基础，也是设计防御的前提——你得知道攻击者会怎么打你，才能防得住。
上手前先明确
阅读完本章，你应当能够：
- 写出对抗样本生成的优化目标形式
- 说清 FGSM、I-FGSM、PGD、CW 各自的原理和差别
- 描述白盒攻击为什么比黑盒强
- 解释查询攻击和迁移攻击的机制
- 理解对抗样本迁移性为什么存在
这五条目标可以分成两组看：前四条是"会用工具"——能写出优化目标、能说清每种算法的原理和差别；第五条是"看透本质"——迁移性不是单纯的攻击技巧，它揭示了不同模型收敛到相似解空间这一深层现象。如果只达到前四条，你能做攻击但理解浮在表面；达到第五条，你才能解释"为什么保密模型没用""为什么集成训练能提升鲁棒性"这些更根本的问题。
核心概念速览
攻击的核心是优化：在扰动预算内，找到让模型损失最大（输出最错）的输入。不同算法是不同的优化策略。
图 2-1：对抗攻击方法谱系全景
子章节导航
2.1 白盒攻击 FGSM PGD与CW
讲攻击者知道模型时的最强攻击。FGSM 是入门的单步梯度攻击，PGD 是迭代版（被当作最强一阶攻击的基准），CW 是基于优化的攻击（成功率高但慢）。三者代表了白盒攻击从简单到强的演进。
2.2 黑盒攻击与迁移性
讲攻击者不知道模型时怎么攻击。查询攻击靠反复调用模型估计梯度，迁移攻击靠在代理模型上生成样本再迁移到目标。重点理解迁移性为什么存在——它揭示了不同模型特征的同质性，也彻底打破"保密模型即安全"的幻想。
2.3 物理世界与真实场景对抗攻击
讲对抗攻击如何从数字空间延伸到真实世界——停车标志上的胶带、眼镜框上的图案、3D 打印的物体。这一节解释为什么物理攻击比数字攻击难得多（要跨过拍摄、光照、角度一连串现实干扰），以及为什么它的现实威胁反而更紧迫。
子章节之间的逻辑关系
先讲最强假设下的白盒攻击（2.1，攻防评估的基准），再讲现实场景的黑盒攻击（2.2，线上模型真实面对的威胁），最后讲攻击如何走出数字空间进入物理世界（2.3，最贴近真实部署场景的威胁）。从理论最强到现实最常见再到场景最复杂，难度逐层上升。
2.1 白盒攻击（理论基准） ──► 2.2 黑盒攻击（现实威胁） ──► 2.3 物理攻击（场景复杂）
贯穿本章的核心权衡
攻击这章里有几条贯穿始终的权衡，理解它们比记住具体算法更重要。
攻击强度 vs 计算成本。 FGSM 走一步就出结果，但只能打垮弱模型；PGD 迭代几十步才强，CW 优化上百步才最强。越强的攻击越贵，所以实践中要分场景选——做对抗训练用 PGD（性价比高），做最终安全验证用 CW（不计成本要最严）。盲目用最强攻击做训练会把训练时间拖垮，盲目用最弱攻击做评估会得出虚假的安全感。
攻击者知识 vs 攻击现实性。 白盒攻击者什么都知道、最强，但真实场景拿不到权重；黑盒攻击者一无所知、最现实，但要绕路（查询或迁移）。评估模型时两条路都要走：白盒测模型的理论底线，黑盒测模型的真实威胁面。只测一条都会让结论偏颇。
扰动隐蔽性 vs 攻击成功率。 扰动越小越隐蔽（人眼看不出），但攻击越难成功；扰动越大越容易成功，但越容易被察觉或防御。物理攻击里这个矛盾更尖锐——对抗补丁信号强、成功率高，但一眼就能看到；做成隐蔽纹理又可能在不同光照下失效。攻击者永远在"隐蔽"和"可靠"之间找平衡点。
前置知识与后续延伸
- 前置知识：第 1 章的脆弱性根源和威胁模型分类，尤其是梯度、白盒/黑盒的概念。
- 后续延伸：本章讲攻。第 3 章讲守——怎么用对抗训练等方法提升模型对这些攻击的鲁棒性。
读这一章常见的两个误读
误读一：以为"我的模型权重保密了，攻击者拿我没办法"。 这是本章最想打破的错觉。2.2 节会讲清楚迁移攻击——攻击者用一个公开的同类代理模型生成对抗样本，照样能攻破你的黑盒模型。保密权重只能挡住白盒攻击（最不现实的那种），对迁移攻击基本无效。真正有效的防御是提升模型本身鲁棒性，而不是藏模型。
误读二：以为"我的模型在 PGD 下扛得住，所以很鲁棒"。 PGD 确实是一阶攻击的基准，但它不是全部。2.1 节会强调，CW 攻击能找到 PGD 找不到的对抗样本，很多在 PGD 下看似有效的防御会被 CW 攻破。宣称鲁棒之前，至少要把 PGD 和 CW 都测一遍，最好再补上黑盒迁移和查询攻击。单一攻击下的"鲁棒"往往是评估不够强造成的假象。