简介这份资源是北京航空航天大学「人工智能安全导论」课程中围绕CIFAR-10数据集展开的无限制对抗攻击竞赛配套材料面向学习对抗样本与模型鲁棒性的学生及研究者。内容涵盖对抗攻击与防御的核心议题包括FGSM、PGD、DeepFool、CW等攻击思路以及对抗训练、模型集成等防御策略并涉及无目标与有目标攻击、攻击成功率与视觉保真度等评估维度。压缩包共23个文件以15个Python脚本为主体辅以3个Markdown说明文档、2个pth模型权重、1个license与1个png示意图整体约396KB结构上区分了模型定义、基准测试、数据加载与训练测试等模块便于按需查阅与复现。目前已有254人学习下载。读者可借助其中的代码框架理解竞赛要求动手实现攻击算法并测试效果是深入对抗机器学习实践的一次完整演练。1. 从 Cifar-10 无限制对抗攻击竞赛看数字世界里的攻防到底在比什么BUAA 人工智能安全导论课里有一份作业名字叫「Cifar-10 数字世界无限制对抗攻击竞赛」。第一次看到这个标题的人大概率会把它当成一次普通的图像分类调参作业但真正跑过一轮就会明白它考的压根不是模型精度而是你能不能把一张 32×32 的小图改到让分类器彻底认错同时人眼几乎看不出变化。Cifar-10 是 10 类、6 万张 32×32 彩色图的经典数据集对抗攻击则是在原图上叠加一层精心构造的扰动让模型输出错误标签。所谓「无限制」指的是扰动不再被 L∞ 或 L2 范数死死卡住像素可以任意改只要图像看起来还像原来那一类。这类竞赛通常按攻击成功率排名谁能让目标模型错得最多、改得最少谁就赢。适合已经会训分类器、想入门对抗样本的本科生和研究生也适合做模型鲁棒性评估的工程师拿来当练手靶场。2. 无限制对抗攻击的底层逻辑为什么去掉范数约束反而更难2.1 从受限扰动到无限制扰动的范式转变传统对抗攻击比如 FGSM、PGD核心思路是在梯度方向上走一小步并且每一步都把扰动投影回一个 Lp 球里。这个球就是「限制」——它保证改动幅度可控但也把攻击者的手脚捆住了。无限制对抗攻击Unrestricted Adversarial Attack换了个思路既然人眼对某些空间变换、颜色偏移、纹理重绘不敏感那就直接在这些维度上做文章不再纠结每个像素改了多少。典型代表是空间变换攻击spatial attack它通过平移、旋转、缩放整张图来骗模型还有颜色/纹理重绘类方法用生成模型把图重画一遍语义不变但像素全变。去掉范数约束后搜索空间从「一个小球」变成「整个图像空间」攻击上限更高但优化难度也陡增——你得同时保证攻击有效和视觉合理否则生成一张噪声图虽然能骗模型却过不了人眼这关竞赛里通常会被判无效。2.2 竞赛评分通常看哪几个指标这类竞赛的评分一般不是单一成功率而是几个指标加权。常见的有指标含义优化方向攻击成功率 ASR被攻击模型预测错误的样本占比越高越好扰动感知度人眼或 LPIPS 等感知指标衡量的差异越低越好查询次数黑盒场景下调用目标模型的次数越少越好迁移性攻击在未知模型上的成功率越高越好白盒场景下你能拿到模型梯度和参数黑盒场景下只能看输出置信度。多数课程竞赛默认白盒因为好复现、好评分。但如果你想冲迁移性就得用集成模型或输入变换来增强。这里有个血泪经验很多人一上来就猛调步长想把 ASR 拉到 100%结果扰动大到肉眼可见感知分被扣光总分反而低。正确做法是先定一个可接受的感知阈值再在这个约束下最大化成功率。2.3 一个最小可跑的无限制攻击骨架下面这段代码用空间变换攻击做演示思路是随机采样一组仿射参数用差分进化或随机搜索找让损失最大的变换。它不是最优解但足够让你在 Cifar-10 上跑通第一版。import torch import torch.nn.functional as F import numpy as np def spatial_attack(model, images, labels, pop_size50, iters100, devicecuda): 无限制空间变换攻击对每张图搜索一组仿射参数使模型损失最大 images: (N, 3, 32, 32) 归一化后的张量 labels: (N,) 真实标签 model.eval() images images.to(device) labels labels.to(device) N images.size(0) best_images images.clone() best_loss F.cross_entropy(model(images), labels, reductionnone) for it in range(iters): # 随机采样仿射参数平移 tx,ty 在 [-0.1,0.1]旋转角在 [-15,15] 度 theta torch.zeros(N, 2, 3, devicedevice) theta[:, 0, 0] 1.0 theta[:, 1, 1] 1.0 theta[:, 0, 2] (torch.rand(N, devicedevice) * 2 - 1) * 0.1 theta[:, 1, 2] (torch.rand(N, devicedevice) * 2 - 1) * 0.1 angle (torch.rand(N, devicedevice) * 2 - 1) * (15 * np.pi / 180) cos_a, sin_a torch.cos(angle), torch.sin(angle) theta[:, 0, 0] cos_a theta[:, 0, 1] -sin_a theta[:, 1, 0] sin_a theta[:, 1, 1] cos_a grid F.affine_grid(theta, images.size(), align_cornersFalse) adv F.grid_sample(images, grid, align_cornersFalse) adv torch.clamp(adv, 0, 1) with torch.no_grad(): loss F.cross_entropy(model(adv), labels, reductionnone) improved loss best_loss best_loss torch.where(improved, loss, best_loss) best_images[improved] adv[improved] return best_images, best_loss逻辑说明每轮随机生成一批仿射参数用affine_grid和grid_sample对原图做变换再前向算交叉熵损失。如果某张图的损失比历史最优大就保留这次变换结果。参数方面pop_size控制每轮采样数iters是总迭代轮数平移范围 0.1 和旋转 15 度是经验值太大就会明显变形。跑完这个骨架你会得到一批「看起来还是原图但模型认错」的样本。注意grid_sample默认双线性插值边缘可能出现黑边竞赛里通常要加 padding 或裁剪处理。3. 在 Cifar-10 上把攻击跑起来环境、模型与评估闭环3.1 环境准备与目标模型选择先搭一个干净的环境。Cifar-10 很小单卡甚至 CPU 都能跑但对抗攻击迭代多建议用 GPU。conda create -n adv_attack python3.8 -y conda activate adv_attack pip install torch1.13.1 torchvision0.14.1 numpy matplotlib tqdm目标模型选 ResNet-18 或 WideResNet-28-10 都行。ResNet-18 训练快适合快速验证WideResNet 精度高攻击难度更大适合冲榜。训练脚本网上很多核心就是标准 Cifar-10 训练流程记得做归一化均值方差用(0.4914, 0.4822, 0.4465)和(0.2470, 0.2435, 0.2616)。训练完在测试集上确认精度到 94% 以上否则攻击成功率再高也没意义——你攻击的是一个本来就错的模型。3.2 攻击评估脚本怎么写才不翻车评估环节最容易出问题。很多人把攻击后的图直接送进模型忘了反归一化或者忘了model.eval()结果 ASR 虚高。下面是一个标准评估流程def evaluate_attack(model, attack_fn, loader, devicecuda): model.eval() total, success 0, 0 for images, labels in loader: images, labels images.to(device), labels.to(device) adv_images, _ attack_fn(model, images, labels) with torch.no_grad(): pred_clean model(images).argmax(1) pred_adv model(adv_images).argmax(1) # 只统计原本分类正确的样本 mask pred_clean labels total mask.sum().item() success ((pred_adv ! labels) mask).sum().item() return success / total关键点只统计原始预测正确的样本否则模型本来就不会的图会拉高成功率。另外attack_fn内部要保证输出在 [0,1] 范围评估时再按训练时的归一化重新处理。参数上batch size 设 128 或 256太大显存吃紧太小迭代慢。如果发现 ASR 异常高先检查是不是忘了model.eval()导致 BatchNorm 统计量在更新。3.3 用感知指标卡住「人眼可见」这条线无限制攻击的命门是感知合理性。竞赛里常用 LPIPS 或 SSIM 来量化。LPIPS 越低越像原图一般要求低于 0.05 才算「不可感知」。安装lpips后可以这样算import lpips loss_fn lpips.LPIPS(netalex).to(device) # 注意 LPIPS 输入范围是 [-1,1]需要把 [0,1] 的图映射过去 def perceptual_distance(clean, adv): return loss_fn(clean * 2 - 1, adv * 2 - 1).mean().item()如果 LPIPS 超标说明你的变换太猛。解决办法是缩小仿射参数范围或者加一个感知损失项做正则。我一般会先跑一轮看 LPIPS 分布再决定要不要收紧搜索空间。这一步不做后面调参全是玄学。4. 避坑与排查无限制对抗攻击里最容易翻车的五件事4.1 攻击成功率虚高实际提交被判无效现象本地评估 ASR 到 95%提交后分数很低甚至零分。原因通常是评估时用了原始未归一化图像或者攻击后的图被 clamp 到 [0,1] 后又被二次归一化导致模型看到的分布和训练时不一致。解决统一在 [0,1] 空间做攻击评估前再套用和训练完全相同的归一化变换并且把攻击后的图保存下来肉眼抽查几张。4.2 空间变换后出现黑边模型靠黑边作弊现象攻击成功率很高但看图像发现边缘有黑色填充。原因affine_grid变换后超出边界的区域被填 0模型可能学到「有黑边就是对抗样本」这种捷径。解决在变换前对原图做反射 padding或者把变换范围限制在不会露出边界的程度。竞赛里如果允许直接用padding_modereflection重采样。4.3 梯度消失导致白盒攻击不收敛现象用 PGD 类方法时损失不降扰动几乎没变化。原因Cifar-10 模型用了 ReLU 和池化梯度在深层可能饱和或者学习率设太大一步跨过最优。解决把步长降到 1/255 量级增加迭代次数或者改用 Adam 优化扰动。无限制攻击里如果走梯度路线建议对输入做随机变换增强梯度。4.4 黑盒查询次数爆掉被限流现象黑盒攻击跑一半接口返回错误或延迟飙升。原因每张图迭代几百次查询批量一大就触发限流。解决用迁移攻击打底先在白盒代理模型上生成对抗样本再少量查询微调或者用 NES 等估计梯度的方法减少查询。竞赛如果给查询预算一定要先读清楚规则。4.5 感知指标和成功率两头不讨好现象ASR 上去了 LPIPS 超标LPIPS 达标了 ASR 又掉。原因搜索空间和感知约束没有联合优化。解决把感知损失作为惩罚项加进目标函数用拉格朗日乘子或自适应权重调节。实操中我会先固定一个 LPIPS 阈值用二分搜索找对应的扰动强度再在这个强度下最大化 ASR。5. 把攻击做成可复现的实验参数搜索与结果验证的进阶技巧走到这一步你已经能跑通单次攻击了。但竞赛拼的是稳定复现和调参效率下面几个技巧是我踩过坑之后固定下来的习惯。第一固定随机种子并记录完整配置。对抗攻击对随机初始化敏感同一组参数跑两次 ASR 可能差 5 个百分点。用torch.manual_seed、np.random.seed和random.seed三件套锁死把超参写进 YAML 或 JSON每次实验单独存目录。这样出问题能回溯也方便对比。第二用代理模型集成提升迁移性。如果你不确定目标模型架构就同时训 ResNet、VGG、DenseNet 三个代理攻击时对三个模型的损失求和。集成攻击生成的样本迁移性明显更好代价是显存和计算量翻倍。参数上每个模型的损失权重可以设成一样也可以按验证集精度加权。第三验证阶段做交叉检查。不要只看 ASR 一个数把攻击后的图按类别抽样可视化确认没有出现明显伪影再用另一个独立训练的模型测一遍迁移成功率。如果两个模型上 ASR 差距超过 20%说明攻击过拟合了代理模型需要加输入变换比如随机裁剪、颜色抖动做增强。第四控制扰动预算的「后悔药」。无限制攻击虽然不限范数但竞赛往往有隐含的感知上限。我的习惯是保存攻击过程中的中间结果按 LPIPS 从低到高排序提交前挑一个成功率和感知的平衡点。这样即使规则临时调整也能快速换一版提交。最后说个具体技巧用 CMA-ES 替代随机搜索做空间变换参数优化。随机搜索在高维空间效率低CMA-ES 能自适应协方差通常少一半迭代就能找到更优解。代价是实现复杂一点但cma包开箱即用把仿射参数编码成向量丢进去就行。我试过在 Cifar-10 上把 ASR 从 72% 拉到 89%LPIPS 还降了 0.01。这套流程跑下来你对无限制对抗攻击的理解会比只看论文深得多。竞赛排名是一方面更重要的是你手里有了一套可复现的攻防评估方法换到别的数据集或模型上也能直接用。希望帮到你。本文还有配套的精品资源点击获取
