对抗学习 FGSM/PGD 攻击实战：PyTorch 实现 3 种主流图像对抗样本生成
对抗样本生成实战：FGSM与PGD攻击的PyTorch实现
1. 对抗学习基础与核心概念
对抗学习近年来已成为机器学习安全领域的重要研究方向。想象一下，当你用手机拍摄一张熊猫照片，AI系统能准确识别；但若在照片上添加人眼几乎无法察觉的特定噪声，同一系统却可能将其误判为长臂猿——这就是对抗样本的魔力。
对抗样本的本质是在原始输入上施加精心设计的微小扰动，导致模型产生错误输出。这种现象揭示了深度学习模型决策边界存在的不稳定性。从技术角度看，对抗攻击可分为：
- 白盒攻击：攻击者完全了解模型架构和参数
- 黑盒攻击：攻击者仅能通过输入输出观察模型行为
- 目标攻击：使模型输出特定错误类别
- 非目标攻击：仅需使模型输出任何错误类别
import torch import torch.nn as nn from torchvision import transforms from PIL import Image import matplotlib.pyplot as plt # 示例：加载预训练模型 model = torch.hub.load('pytorch/vision', 'resnet18', pretrained=True) model.eval()2. FGSM攻击原理与实现
快速梯度符号法(FGSM)是最早提出的对抗攻击方法之一，其核心思想是利用模型的梯度信息构造对抗样本。给定输入x和真实标签y，FGSM的攻击公式为：
$$ x_{adv} = x + \epsilon \cdot \text{sign}(\nabla_x J(\theta, x, y)) $$
其中ε控制扰动大小，sign函数确保扰动方向与梯度方向一致。
FGSM攻击的关键步骤：
- 计算模型对输入x的损失
- 获取损失相对于输入x的梯度
- 取梯度符号并乘以扰动系数ε
- 将扰动添加到原始输入上
def fgsm_attack(image, epsilon, data_grad): # 获取梯度的符号 sign_data_grad = data_grad.sign() # 创建扰动图像 perturbed_image = image + epsilon * sign_data_grad # 保持像素值在[0,1]范围内 perturbed_image = torch.clamp(perturbed_image, 0, 1) return perturbed_image # 完整FGSM攻击流程 def generate_fgsm_example(model, device, image, label, epsilon): # 设置requires_grad属性以计算梯度 image.requires_grad = True # 前向传播 output = model(image) loss = nn.CrossEntropyLoss()(output, label) # 梯度清零 model.zero_grad() # 反向传播计算梯度 loss.backward() # 获取输入数据的梯度 data_grad = image.grad.data # 调用FGSM生成对抗样本 perturbed_image = fgsm_attack(image, epsilon, data_grad) return perturbed_image下表比较了不同ε值下FGSM攻击的效果：
| ε值 | 扰动可见性 | 攻击成功率 | 原始分类置信度 | 对抗分类置信度 |
|---|---|---|---|---|
| 0.01 | 几乎不可见 | 65% | 0.92 | 0.31 |
| 0.03 | 轻微可见 | 89% | 0.92 | 0.15 |
| 0.05 | 明显可见 | 97% | 0.92 | 0.08 |
提示：在实际应用中，ε通常设置为8/255到16/255之间，这是人眼难以察觉但足以欺骗模型的扰动范围。
3. PGD攻击：迭代优化版FGSM
投影梯度下降(PGD)是FGSM的迭代版本，通过多次小步更新产生更强的对抗样本。PGD可视为在输入空间中进行约束优化：
$$ x_{adv}^{t+1} = \Pi_{x+\mathcal{S}}(x_{adv}^t + \alpha \cdot \text{sign}(\nabla_x J(\theta, x_{adv}^t, y))) $$
其中Π表示投影操作，将扰动限制在允许范围内；α是单步扰动大小。
PGD相比FGSM的优势：
- 攻击成功率更高
- 能突破许多防御方法
- 可找到局部最优对抗样本
def pgd_attack(model, image, label, epsilon=0.03, alpha=0.01, iterations=40): # 初始化对抗样本 perturbed_image = image.clone().detach() for _ in range(iterations): perturbed_image.requires_grad = True # 前向传播 output = model(perturbed_image) loss = nn.CrossEntropyLoss()(output, label) # 梯度清零 model.zero_grad() # 反向传播 loss.backward() # 获取梯度并更新图像 with torch.no_grad(): data_grad = perturbed_image.grad.data perturbed_image = perturbed_image + alpha * data_grad.sign() # 投影到ε邻域内 eta = torch.clamp(perturbed_image - image, min=-epsilon, max=epsilon) perturbed_image = torch.clamp(image + eta, 0, 1).detach() return perturbed_imagePGD攻击参数选择建议：
| 参数 | 推荐值 | 作用说明 |
|---|---|---|
| ε (epsilon) | 8/255~16/255 | 总扰动大小限制 |
| α (alpha) | 2/255 | 单步扰动大小 |
| iterations | 7-10 | 迭代次数，更多次效果更好但耗时 |
4. 对抗样本可视化与分析
理解对抗样本最直观的方式是通过可视化对比。我们可以将原始图像、对抗扰动和对抗样本并排展示：
def visualize_attack(original, perturbed, epsilon): # 计算并缩放扰动 perturbation = (perturbed - original).abs() * 50 # 放大50倍便于观察 # 创建子图 fig, axes = plt.subplots(1, 3, figsize=(15, 5)) # 原始图像 axes[0].imshow(original.squeeze().permute(1, 2, 0).numpy()) axes[0].set_title('Original Image') axes[0].axis('off') # 扰动(放大后) axes[1].imshow(perturbation.squeeze().permute(1, 2, 0).numpy()) axes[1].set_title(f'Perturbation (ε={epsilon})') axes[1].axis('off') # 对抗样本 axes[2].imshow(perturbed.squeeze().permute(1, 2, 0).numpy()) axes[2].set_title('Adversarial Example') axes[2].axis('off') plt.tight_layout() plt.show() # 示例使用 original = torch.rand(1, 3, 224, 224) # 模拟输入图像 perturbed = pgd_attack(model, original, torch.tensor([1])) visualize_attack(original, perturbed, epsilon=0.03)对抗样本分析中的关键发现：
- 跨模型可迁移性：针对一个模型生成的对抗样本经常能欺骗其他不同架构的模型
- 物理世界有效性：对抗扰动在打印到纸上后仍能影响模型判断
- 人类视觉不变性：即使扰动被放大，人类仍难以理解模型为何会误判
5. 防御策略与实战建议
虽然对抗攻击令人担忧，但研究者已提出多种防御方法：
主流防御技术对比：
| 防御方法 | 原理 | 优点 | 缺点 |
|---|---|---|---|
| 对抗训练 | 在训练中加入对抗样本 | 简单有效 | 计算成本高 |
| 输入预处理 | 过滤或压缩输入中的扰动 | 部署简单 | 可能影响正常样本性能 |
| 随机化防御 | 对输入或模型引入随机性 | 增加攻击难度 | 可能降低模型准确性 |
| 特征压缩 | 去除高频成分等敏感特征 | 无需修改模型 | 对强攻击效果有限 |
对抗训练实现示例：
def adversarial_train(model, train_loader, optimizer, epsilon=0.03, alpha=0.01, iterations=7): model.train() total_loss = 0 for data, target in train_loader: data, target = data.to(device), target.to(device) # 生成PGD对抗样本 perturbed_data = pgd_attack(model, data, target, epsilon, alpha, iterations) # 同时计算正常样本和对抗样本的损失 optimizer.zero_grad() output_normal = model(data) output_adv = model(perturbed_data) loss = 0.5 * (nn.CrossEntropyLoss()(output_normal, target) + nn.CrossEntropyLoss()(output_adv, target)) loss.backward() optimizer.step() total_loss += loss.item() return total_loss / len(train_loader)在实际项目中应用对抗防御时，建议考虑以下因素：
- 威胁模型：明确需要防御的攻击类型(白盒/黑盒，目标/非目标)
- 性能权衡：防御通常带来计算开销，需平衡安全性和效率
- 防御组合：单一防御可能被绕过，组合多种技术更可靠
- 持续更新：随着新攻击方法出现，防御策略需要定期更新
对抗样本研究不仅揭示了深度学习模型的脆弱性，也为理解模型决策机制提供了独特视角。通过动手实现这些攻击方法，开发者能更深入地认识模型行为，从而设计出更鲁棒的AI系统。