对抗攻击防御指南：从FGSM到PGD的模型加固策略（含TensorFlow/Keras示例）

模型安全加固实战：从理论到代码的对抗防御体系构建

在模型部署的真实战场上，准确率指标早已不是唯一的胜负手。一个在测试集上表现近乎完美的图像分类器，可能仅仅因为输入图像上添加了人眼难以察觉的细微扰动，就彻底“失明”，将熊猫识别为长臂猿，或将停车标志误判为限速标志。这种由精心构造的“对抗样本”引发的脆弱性，已成为现代AI系统，特别是计算机视觉和自然语言处理领域，必须直面的核心安全挑战。对于致力于将AI技术应用于自动驾驶、金融风控、医疗诊断等关键领域的高端开发者而言，构建具备鲁棒性的模型，其重要性不亚于提升模型本身的性能。本文将从防御者的视角出发，为你拆解对抗攻击的本质，并构建一套从经典FGSM防御到多步PGD对抗训练的完整实战加固方案，所有代码均基于TensorFlow/Keras实现，力求让你在理解原理的同时，能立即动手提升自家模型的安全水位。

1. 理解对抗攻击：为何你的模型如此“脆弱”？

在深入防御策略之前，我们必须先理解攻击是如何发生的。对抗攻击并非魔法，其根源在于现代深度学习模型在高维特征空间中的线性特性。Goodfellow等人在提出FGSM时指出，即便是一个高度非线性的深度神经网络，其在局部小邻域内的行为也近似线性。这种线性特性使得攻击者能够通过计算损失函数相对于输入数据的梯度，找到一个微小的扰动方向，该方向能最大程度地“欺骗”模型，导致其输出发生巨大改变。

一个直观的例子：想象一张猫的图片，对于人眼而言，在图片的某些像素上增加极其微小的、结构化的噪声，我们依然能毫不犹豫地认出这是猫。但对于模型而言，这些噪声可能恰好放大了某些非鲁棒特征（即模型过度依赖的、与人类语义理解无关的特征），从而将其决策边界推向“狗”或“汽车”的类别。

注意：对抗样本的“对抗性”是相对于特定模型而言的。针对模型A生成的对抗样本，对模型B可能失效，这为集成防御等策略提供了理论基础。

攻击主要分为两大类：

• 白盒攻击：攻击者完全了解目标模型的结构、参数和训练数据。FGSM和PGD都属于典型的白盒攻击，它们利用模型的梯度信息来构造对抗样本。这是最强大的攻击设定，也是我们防御时需要重点考虑的场景。
• 黑盒攻击：攻击者对目标模型一无所知或知之甚少。这类攻击通常通过查询目标模型（输入-输出对）来训练一个替代模型，然后针对替代模型生成对抗样本，利用对抗样本的可迁移性来攻击原模型。

下表对比了FGSM与PGD这两种经典白盒攻击的核心区别：