7.2 对抗攻击与算法安全

7.2 对抗攻击与算法安全

本节摘要：比"自然变体"更难缠的，是"捏造的和故意的"。本节分两类讲：一是对抗样本——用肉眼几乎无感的微小扰动骗过识别模型；二是活体伪造——照片、翻屏视频、3D 面具与深度合成。随后给出纵深防御的思路，让你明白"单点模型再强，也顶不住刻意和你过招的对手"。

一张人眼看不见的贴片

如果攻击者能拿到你的门禁模型，在他脸上贴几下肉眼几乎看不见的噪声贴片，系统可能瞬间把他"认成"别人——这不是科幻，是对抗样本的真实本事。更直白的攻击更大路：拿一张打印照片冒充你刷支付。识别系统的敌人不只是"反光、侧脸"，还有"专门研究怎么骗过你"的对手。安全的复杂性在于：单点模型再强，只要防线单一，对手总有绕过它的缝隙。

对抗样本的问题尤其反直觉：它能骗过的是"深度网络像人一样直觉"的外表，实际上网络决策边界很不平滑，一个微小扰动就能把样本从"像甲"推到"像乙"——人眼分不清，网络却判错了。

两条攻击线

对抗样本：给模型打"麻醉剂"

对抗样本是对输入做微小扰动，让人眼毫无察觉，却让模型高置信地把"甲"判成"乙"。原理是深度特征的边界在特征空间里很不平滑，常态化的微小移动就可能翻到别的类的势力范围。危害：侵入者由此能骗过"比对"而绕过活体或验证。

import numpy as np
def fgsm(grad, x, eps=0.05):            # 快速梯度符号法（示意）
    return np.clip(x + eps * np.sign(grad), 0, 255)   # 沿梯度加扰动
# 概念演示：在原始图片 x 上按损失梯度方向加一点噪声
​

一个大概的推导：FGSM 就是沿着损失对输入求梯度、往"让模型更错"的方向走一小步。白盒（知道模型）能精确设计扰动，黑盒（只知道输入输出）也能用多次查询猜出方向，所以"你的模型细不细封"决定了攻击要花多少成本。防御思路主要靠"让模型对扰动钝感"：对抗训练（把能被骗到的样本重新当进训练，把扰动的习性喂给模型）、输入变化（去噪、缩放再判）、检测异常置信。它换来的是精度与鲁棒之间的天平摆动。

活体伪造：与"假皮"过招

另一条线是伪造人脸本身，从最朴素的打印照片，到翻屏视频、3D 面具，再到深度合成（换脸、伪造视频）。应对手段正是第 2.6 节讲过的那套活体：动作指令挡静态、打印检测认物理痕迹、深度真伪判别学"活"的分布、多模态红外深度把伪装成本抬到高不可攀。伪造成本每上一个台阶，防守就更吃算力也更有把握。

纵深防御：单层是筛子

任何单点都有缝，真正的安全靠"多道闸"：算法层对抗训练＋活体，配套层动态口令、设备指纹、行为风控，数据层脱敏与加密存储。目的只有一个——即便某一道被攻破，也不至于让整扇门失守。金融和政务已经普遍采用这种"纵深联动"的姿势。

工程实践要点

• 对抗训练会略损正常精度，要做成可调节的开关，上线前在正常集与扰动集都过一遍验收，防"防住了对抗、放跑了日常"。
• 活体防线分级上强度：低价值场景动作＋深度够用，高价值场景上多模态，别一概而论也不可一概省。
• 安全评测要"红队视角"做：主动拿打印照、视频、面具、对抗贴片去敲自己的系统，别只在理想样本上自认为安全——红队测试应该是一套可反复跑的脚本，而不是上线前的一次性演示。
• 识别精度吹不了安全。识别精度描述的是"认得出"，对抗与伪造打的是"骗得过"，两码事，安全要用攻击评测说话。

一句话直觉：安全不押单点。对抗样本、活体伪造都能在某一层凿洞；让防线成"网"，攻击者的成本才被真正抬起来。

红队测试：用"假想敌"的视角敲自己的系统

安全评测最忌讳的是"只看模型在理想集上的表现"。真正的安全验收要把自己当攻击者，主动拿打印照、翻屏视频、3D 面具、对抗贴片去敲自己的系统，把"攻击能不能通过那道闸"标出来。红队测试应该是一套可反复跑的脚本，而不是上线前的一次性演示——因为模型会更新、活体会升级，每次改完都要重新红一遍。把"攻击集"固定下来，和"正常验证集"一样作为 CI 的一部分，才是安全评测的长期可持续做法。

一个关于信任的观察：模型越强，越要做限流与频控

安全还有一个容易被技术团队忽略的维度：限流与频控。如果攻击者拿你的识别接口做暴力枚举（比如拿成千上万张脸去撞库），单靠模型防不住，但限流（同一 IP 一定时间内的请求数上限）和频控（同一设备短时间内多次尝试后锁定）就能扼住。这是"算法安全"之外最基本的"系统安全"——它不依赖模型精度，只靠基本架构设计就能拦住大规模暴力尝试。安全是个系统工程，模型只是其中一层，别忘了在它前面加一道最简单的频率护栏。

对抗训练入门：你该按什么顺序做

对抗训练入手，推荐一个按顺序执行的三步：第一步，先拿一种最简单的攻击（如 FGSM）在训练中生成对抗样本混入训练数据，看能提升多少抗性——这一步成本最低、效果最常见；第二步，如果还不够，切换更强攻击（如 PGD、BIM）做多步对抗训练，但要注意它会增加训练时间数倍，且略损正常精度；第三步，把对抗训练与输入过滤（去噪、缩放再判）结合使用，形成"训时抗、测时滤"的双层防护。每一步结束时，都要在"正常可用集"和"攻击集"上同时验收，确保防住了对抗、没放跑日常。

安全的护城河：纵深防御的投入产出

纵深防御不是越深越好，而是"把成本与防护等级对应起来"。对于低价值产品，一两道闸就够；对于金融、政务级高价值，就要叠三四道，还要做频控、限流、红队测试。投入产出比是安全设计的核心：把你能承受的单次损失乘以攻击概率，和防守投入做比对，就能算出该叠几道闸。把"越深越好"的玄学换成"成本与风险对应"，才是工程化安全能落地的样子。

对抗攻击在人脸识别里的实际威胁有多大

最后说一句大白话：对抗攻击在公开研究里热度很高，但在实际落地里，真正大规模利用对抗攻击攻破一个人脸识别系统的案例，其实远不如常见的"翻拍照片"、"面具"这类攻击常见。这不是说对抗训练没用，而是说实际项目里，你应该先把照片/视频/面具这些更常见的攻击防好，再来补对抗训练这道闸。工程优先级永远是"常见先防、罕见后防"，对抗样本是锦上添花，不是雪中送炭——别把主要资源砸在罕见攻击上，反而漏了常见攻击这道大门。

对手和防线都看清了。可识别还有一道"社会闸门"——隐私、公平与规制。下一节最后聊聊信任与方向。