什么是对抗样本（Adversarial Examples）？如何防御？

一、先把概念边界说清楚

对抗样本是经过精心构造、加入人类难以察觉的微小扰动后，仍能让模型以高置信度输出错误结果的输入。它暴露了模型对输入空间的非鲁棒性：决策边界附近存在大量肉眼无差别却被误分类的点。

二、成因与攻击方式

扰动一般沿损失对输入梯度的方向构造（如 FGSM、PGD 等），把样本推过决策边界。按攻击者掌握的信息分为白盒（可访问梯度）与黑盒（仅能查询输出）；许多对抗样本还能在不同模型间迁移，使黑盒攻击更易实施。

三、防御手段（纵深、无银弹）

• 对抗训练：训练时把对抗样本一并喂入，让模型学到更鲁棒的边界，是当前最有效的方法之一。
• 输入预处理：对输入做去噪、压缩、随机化等变换，破坏精心构造的扰动。
• 鲁棒性增强与认证防御：正则化、梯度掩蔽的替代方案、可证明鲁棒半径等，提升或量化抗扰能力。
  各防御均有被自适应攻击绕过的风险，需组合使用并持续红队评估。