一张贴纸就能骗过视觉 AI？对抗样本不是魔法

如果在停车标志上贴几块看似普通的图案，人类仍能一眼认出它，视觉模型却可能改变判断。这样的故事听起来像魔术，但背后没有催眠机器的神秘符号，而是攻击者在利用模型的数学决策边界。

经过专门设计、能诱使模型出错的输入，被称为对抗样本。它可以是图片中的细微扰动、现实物体上的贴纸，也可能出现在语音、文本和其他数据中。

人眼看物体，模型看坐标

一张图片进入神经网络后，会变成由大量像素数值组成的高维坐标。模型在这个空间里划分区域：落在一边判为“猫”，另一边判为“狗”。正常照片往往位于正确区域，但它距离边界有多远，人眼看不出来。

攻击者可以计算怎样修改像素，才能用较小代价跨过边界。每个像素只变一点，单独看几乎没有意义；成千上万处变化朝同一方向叠加，就可能明显推动模型的内部表示。人类依靠形状、背景与常识保持判断，模型依赖的统计特征却可能被精准击中。

NIST 在对抗机器学习分类报告中把这类部署阶段修改输入、改变模型反应的行为归入规避攻击。它与训练阶段偷偷加入恶意样本的数据投毒不同：前者动考试题，后者动教材。

数字实验成功，不代表街头贴纸必然成功

在实验室里，攻击者可能知道模型结构和参数，可以逐像素计算最有效的扰动；现实中却要面对拍摄角度、距离、光照、打印色差、摄像头压缩和模型未知等因素。屏幕上有效的图案，打印出来转个角度可能就失效。

因此，“加一点噪声就能控制所有自动驾驶汽车”是夸张说法。但现实限制也不能成为忽视风险的理由。攻击可能利用迁移性：针对替代模型制作的样本，有时也会骗过目标模型。路面标记、二维码、面部识别和工业检测等场景，还可能给攻击者提供可反复测试的入口。

为什么修补一个漏洞还会出现下一个

常见防御包括对抗训练：训练时主动加入攻击样本，并告诉模型正确答案。它能提升模型对某类扰动的稳健性，却可能增加成本，也未必抵挡全新的攻击。

输入压缩、去噪、异常检测和模型集成也能降低部分风险，但攻击者会针对防御重新优化。NIST 明确提醒，目前没有能够防住所有误导手段的万能方案。声称“百分之百免疫”的系统反而值得警惕。

高风险产品不应把安全押在单一分类器上。自动驾驶可以结合摄像头、雷达、地图与车辆运动约束；身份核验可以加入活体检测和人工复核；关键操作还应设置速度、金额或权限上限。即使某个模型被欺骗，其他信号仍有机会阻止错误动作。

对抗样本揭示了什么

它并不证明 AI 毫无用处，也不证明人类视觉绝不会被骗。它揭示的是：测试集上的高准确率，只说明模型擅长处理与测试数据相似的输入，并不能自动保证面对刻意攻击时仍可靠。

一张贴纸真正“骗过”的不是拥有意识的机器，而是一条过度依赖统计规律、缺少多重校验的决策链。安全的重点也不只是训练一个更聪明的模型，而是让整个系统在模型犯错时仍然可检测、可限制、可恢复。