AI 安全轻量化实战：用 Python 复现对抗样本攻击

跟着小美学ai

807人浏览 · 2025-10-25 10:01:03

跟着小美学ai · 2025-10-25 10:01:03 发布

AI 安全轻量化实战：用 Python 复现对抗样本攻击

在这里插入图片描述

“学过 TensorFlow 做图像识别，却不知道 AI 也有安全漏洞 —— 听说‘对抗样本’能让 AI 把猫认成狗，却看不懂论文里的数学公式，更不知道怎么用代码实现”—— 这是很多有机器学习基础的转行者接触 AI 安全时的困境：AI 安全并非只有高深理论，用你熟悉的 Python 和 TensorFlow，几十行代码就能复现 “欺骗 AI” 的攻击，甚至能直观看到 “加了点噪声的数字 7，被 AI 认成了 3”。

本文选择 “Fast Gradient Sign Method（FGSM，快速梯度符号法）” 作为实战算法 —— 它是最简单的对抗样本生成算法之一，核心逻辑是 “沿着损失函数梯度方向添加微小噪声”，无需复杂数学推导，且复现成功率 100%。我们将以 MNIST 手写数字识别为例，从 “环境搭建→代码实现→效果验证” 全程拆解，让你用现有机器学习基础，快速入门 AI 安全。

一、先搞懂：对抗样本是什么？（用通俗语言 + 案例讲透）

不用背学术定义，看这 2 个核心点就能理解：

1. 本质：“加了‘隐形噪声’的正常数据”

对抗样本不是 “乱涂乱画的图片”，而是在正常数据（如 MNIST 手写数字 “7”）上，添加人眼几乎看不见的微小噪声（像素值变化小于 5%），但 AI 会因这些噪声 “误判类别”—— 比如把 “7” 认成 “3”，把 “2” 认成 “6”。

2. 核心逻辑：“顺着 AI‘犯错’的方向添噪声”

AI 识别图片时，会通过 “损失函数” 计算 “预测结果与真实标签的差距”，而 “梯度” 就是 “缩小差距的方向”。对抗样本的核心 trick 是：反着来 —— 沿着 “增大损失” 的梯度方向添加噪声，让 AI 的 “判断误差” 越来越大，最终认错类别。

3. 直观案例（MNIST 数据集）

数据类型	图片效果	AI 识别结果	人眼识别
正常样本（数字 7）	清晰的手写 “7”	7（置信度 99.2%）	7
对抗样本（加噪声）	视觉上和正常 “7” 几乎无差异（噪声肉眼难辨）	3（置信度 98.7%）	7

二、实战准备：3 分钟搭好可复现环境

无需复杂配置，用 Python+TensorFlow+Jupyter Notebook 即可，推荐版本组合（避免兼容性问题）：

1. 环境配置清单

工具 / 库	推荐版本	核心作用	安装命令（pip）
Python	3.8-3.10	代码运行基础环境	（自带或官网下载）
TensorFlow	2.10（CPU 版即可）	加载模型、计算梯度、生成对抗样本	pip install tensorflow==2.10
NumPy	1.23+	处理图像像素数据	pip install numpy
Matplotlib	3.6+	显示正常样本与对抗样本	pip install matplotlib
Jupyter Notebook	6.5+	分步运行代码，便于调试	pip install jupyter

2. 环境验证

打开 Jupyter Notebook，运行以下代码，无报错则环境正常：

# 导入核心库
import tensorflow as tf
import numpy as np
import matplotlib.pyplot as plt

# 验证TensorFlow版本与GPU（CPU版显示None不影响）
print("TensorFlow版本：", tf.__version__)
print("GPU是否可用：", tf.config.list_physical_devices('GPU'))  # CPU版输出空列表，正常

三、核心算法：FGSM 快速实现（不到 50 行代码）

FGSM 算法的核心只有 3 步，用 TensorFlow 的梯度计算 API 就能轻松实现，先看算法逻辑，再写代码：

1. FGSM 算法 3 步逻辑

假设我们要攻击 “识别 MNIST 数字的 CNN 模型”：

输入正常样本：比如一张手写 “7” 的图片（28x28 像素）；
计算梯度：通过模型计算 “该样本的损失函数对像素的梯度”—— 即 “改变哪些像素、怎么改变，能让模型认错类别”；
添加噪声：沿着梯度符号方向（增大损失的方向），给像素添加微小噪声（噪声强度用 ε 控制，通常取 0.1-0.3），生成对抗样本。

2. FGSM 攻击函数代码（带详细注释）

def generate_fgsm_adversary(model, image, label, epsilon=0.2):
    """
    生成FGSM对抗样本
    参数说明：
    - model：待攻击的AI模型（MNIST数字识别模型）
    - image：正常样本图片（shape: (28,28,1)）
    - label：正常样本的真实标签（如7对应的标签是7）
    - epsilon：噪声强度（越大，噪声越明显，AI越容易认错，但人眼越容易察觉）
    返回：
    - adversary_image：对抗样本图片
    """
    # 1. 将图片转换为可计算梯度的张量，并设置`watch`跟踪梯度
    image = tf.convert_to_tensor(image, dtype=tf.float32)
    with tf.GradientTape() as tape:
        tape.watch(image)  # 告诉TensorFlow：需要计算image的梯度
        # 2. 模型预测正常样本的结果（添加一个维度，因为模型输入要求(batch_size, 28,28,1)）
        prediction = model(tf.expand_dims(image, axis=0))
        # 3. 计算“模型预测结果”与“真实标签”的损失（用交叉熵损失，分类任务常用）
        loss = tf.keras.losses.sparse_categorical_crossentropy(
            tf.expand_dims(label, axis=0), prediction
        )
    
    # 4. 计算“损失对图片像素”的梯度（核心：找到让损失增大的像素变化方向）
    gradient = tape.gradient(loss, image)
    # 5. 取梯度的符号（只关注方向，不关注大小，避免噪声过大）
    gradient_sign = tf.sign(gradient)
    # 6. 生成对抗样本：正常图片 + epsilon * 梯度符号（添加噪声）
    adversary_image = image + epsilon * gradient_sign
    # 7. 裁剪像素值到0-1范围（图片像素值只能是0-1，超过会失真）
    adversary_image = tf.clip_by_value(adversary_image, 0.0, 1.0)
    
    return adversary_image.numpy()  # 转换为numpy数组，方便后续处理

四、完整实战流程：从 “训练模型” 到 “生成对抗样本”（1 小时完成）

我们分 3 步走：先训练一个简单的 MNIST 数字识别模型（或直接用预训练模型），再生成对抗样本，最后验证攻击效果。

1. 步骤 1：训练 / 加载 MNIST 识别模型（基础任务，复用你的机器学习知识）

如果已有训练好的模型，可跳过此步直接加载；若没有，用以下代码训练一个轻量级 CNN 模型（10 分钟内完成）：

# 1. 加载MNIST数据集（TensorFlow自带，无需手动下载）
(x_train, y_train), (x_test, y_test) = tf.keras.datasets.mnist.load_data()
# 数据预处理：归一化（像素值从0-255转为0-1）、添加通道维度（28,28 → 28,28,1）
x_train = x_train.astype("float32") / 255.0
x_test = x_test.astype("float32") / 255.0
x_train = np.expand_dims(x_train, axis=-1)  # (60000,28,28) → (60000,28,28,1)
x_test = np.expand_dims(x_test, axis=-1)

# 2. 定义轻量级CNN模型（适合MNIST识别，结构简单，训练快）
model = tf.keras.Sequential([
    # 卷积层：提取图像特征
    tf.keras.layers.Conv2D(32, (3, 3), activation="relu", input_shape=(28, 28, 1)),
    tf.keras.layers.MaxPooling2D((2, 2)),  # 池化层：缩小特征图尺寸
    tf.keras.layers.Conv2D(64, (3, 3), activation="relu"),
    tf.keras.layers.MaxPooling2D((2, 2)),
    # 全连接层：分类输出
    tf.keras.layers.Flatten(),  # 展平特征图为一维数组
    tf.keras.layers.Dense(64, activation="relu"),
    tf.keras.layers.Dense(10)  # 10个类别（0-9），无激活函数（后续用Softmax）
])

# 3. 编译模型
model.compile(
    optimizer=tf.keras.optimizers.Adam(),  # 优化器
    loss=tf.keras.losses.SparseCategoricalCrossentropy(from_logits=True),  # 损失函数
    metrics=["accuracy"]  # 评估指标（准确率）
)

# 4. 训练模型（epochs=5，迭代5次，CPU也能快速完成）
print("开始训练模型...")
history = model.fit(
    x_train, y_train, 
    epochs=5, 
    batch_size=64, 
    validation_split=0.1  # 用10%训练数据做验证
)

# 5. 保存模型（后续可直接加载，不用重复训练）
model.save("mnist_cnn_model.h5")
print("模型保存完成，路径：mnist_cnn_model.h5")

# （可选）加载已训练模型（跳过训练时用）
# model = tf.keras.models.load_model("mnist_cnn_model.h5")

2. 步骤 2：生成对抗样本（核心实战，调用 FGSM 函数）

从测试集中选一张正常的 “7”（标签为 7），生成对抗样本：

# 1. 从测试集中选1个正常样本（比如第42张，标签是7，可自行修改索引）
sample_index = 42
normal_image = x_test[sample_index]  # 正常图片（28,28,1）
normal_label = y_test[sample_index]   # 真实标签（7）

# 2. 生成对抗样本（epsilon=0.2，噪声强度适中）
adversary_image = generate_fgsm_adversary(
    model=model,
    image=normal_image,
    label=normal_label,
    epsilon=0.2
)

# 3. 查看样本形状（确保格式正确）
print("正常样本形状：", normal_image.shape)       # (28,28,1)
print("对抗样本形状：", adversary_image.shape)    # (28,28,1)
print("真实标签：", normal_label)                 # 7

3. 步骤 3：验证攻击效果（最直观的环节，看 AI 是否认错）

对比正常样本与对抗样本的 AI 识别结果，直观感受攻击效果：

# 1. 定义“预测并显示结果”的辅助函数
def predict_and_show(model, normal_img, adversary_img, true_label):
    # 预测正常样本
    normal_pred = model.predict(tf.expand_dims(normal_img, axis=0), verbose=0)
    normal_pred_class = tf.argmax(tf.nn.softmax(normal_pred[0])).numpy()  # 预测类别
    normal_pred_conf = tf.nn.softmax(normal_pred[0])[normal_pred_class].numpy()  # 置信度
    
    # 预测对抗样本
    adversary_pred = model.predict(tf.expand_dims(adversary_img, axis=0), verbose=0)
    adversary_pred_class = tf.argmax(tf.nn.softmax(adversary_pred[0])).numpy()
    adversary_pred_conf = tf.nn.softmax(adversary_pred[0])[adversary_pred_class].numpy()
    
    # 显示图片与结果（用Matplotlib）
    plt.figure(figsize=(10, 4))
    
    # 显示正常样本
    plt.subplot(1, 2, 1)
    plt.imshow(normal_img.squeeze(), cmap="gray")  # squeeze()去掉通道维度（28,28,1→28,28）
    plt.title(f"正常样本\n真实标签：{true_label}\nAI预测：{normal_pred_class}（置信度：{normal_pred_conf:.2%}）")
    plt.axis("off")
    
    # 显示对抗样本
    plt.subplot(1, 2, 2)
    plt.imshow(adversary_img.squeeze(), cmap="gray")
    plt.title(f"FGSM对抗样本（ε=0.2）\n真实标签：{true_label}\nAI预测：{adversary_pred_class}（置信度：{adversary_pred_conf:.2%}）")
    plt.axis("off")
    
    plt.show()

# 2. 调用函数，查看结果
predict_and_show(
    model=model,
    normal_img=normal_image,
    adversary_img=adversary_image,
    true_label=normal_label
)