对抗样本攻防实战：用PGD算法在PyTorch中生成和防御FGSM攻击

在计算机视觉领域，对抗样本已成为AI安全研究的热点话题。这些经过精心设计的扰动虽然人眼难以察觉，却能轻易欺骗深度学习模型。本文将聚焦于**投影梯度下降（PGD）**这一强大的对抗攻击与防御技术，通过PyTorch框架下的实战演示，带您深入理解如何生成高威胁性对抗样本，以及如何通过对抗训练提升模型鲁棒性。

1. 对抗样本基础与PGD原理

对抗样本的本质是在输入数据上添加微小扰动，使得模型产生错误分类。PGD作为FGSM（快速梯度符号法）的迭代升级版，通过多步梯度更新和投影操作，能生成更具破坏性的攻击样本。

PGD的核心公式可表示为：

x_{t+1} = \prod_{S}(x_t + \alpha \cdot sign(\nabla_x J(x_t, y)))

其中：

• $\prod_{S}$表示投影操作
• $\alpha$为步长
• $J$是损失函数

与单步FGSM相比，PGD具有以下优势：

# PGD攻击伪代码示例 def pgd_attack(model, x, y, epsilon=0.03, alpha=0.01, iterations=40): x_adv = x.clone().detach().requires_grad_(True) for _ in range(iterations): loss = F.cross_entropy(model(x_adv), y) grad = torch.autograd.grad(loss, x_adv)[0] x_adv = x_adv.detach() + alpha * grad.sign() delta = torch.clamp(x_adv - x, min=-epsilon, max=epsilon) x_adv = torch.clamp(x + delta, 0, 1).detach().requires_grad_(True) return x_adv

注意：实际应用中需要根据模型复杂度调整迭代次数，CIFAR-10等小型数据集通常20-40次迭代即可达到饱和攻击效果。

2. 在PyTorch中实现PGD攻击

我们以CIFAR-10图像分类任务为例，演示完整的PGD攻击流程。实验环境需要以下配置：

• PyTorch 1.8+
• torchvision 0.9+
• CUDA 11.1（推荐）

2.1 准备目标模型与数据

首先加载预训练的ResNet-18模型和CIFAR-10测试集：

import torch import torchvision from torchvision import transforms transform = transforms.Compose([ transforms.ToTensor(), transforms.Normalize((0.5, 0.5, 0.5), (0.5, 0.5, 0.5)) ]) testset = torchvision.datasets.CIFAR10( root='./data', train=False, download=True, transform=transform) testloader = torch.utils.data.DataLoader(testset, batch_size=32, shuffle=False) model = torchvision.models.resnet18(pretrained=True) model.eval()

2.2 实现PGD攻击器

完整的PGD攻击实现需要考虑以下关键参数：

• ε（最大扰动幅度）：通常8/255到16/255
• α（步长）：一般为ε的1/4到1/10
• 迭代次数：20-100次

def pgd_attack(model, images, labels, eps=8/255, alpha=2/255, iters=20): images = images.clone().detach().to(device) labels = labels.clone().detach().to(device) adv_images = images.clone().detach() adv_images.requires_grad = True for _ in range(iters): outputs = model(adv_images) loss = F.cross_entropy(outputs, labels) grad = torch.autograd.grad(loss, adv_images, retain_graph=False, create_graph=False)[0] adv_images = adv_images.detach() + alpha * grad.sign() delta = torch.clamp(adv_images - images, min=-eps, max=eps) adv_images = torch.clamp(images + delta, 0, 1).detach() adv_images.requires_grad = True return adv_images

攻击效果评估显示，在ε=8/255时，PGD可使ResNet-18在CIFAR-10上的准确率从92%骤降至15%以下。

3. 基于PGD的对抗训练防御

对抗训练是目前最有效的防御手段之一，其核心思想是将对抗样本纳入训练过程。Madry等人提出的PGD对抗训练框架已成为行业基准。

3.1 对抗训练算法流程

1. 标准训练阶段：正常计算干净样本的损失
2. 对抗样本生成：对每个batch执行PGD攻击
3. 对抗损失计算：评估模型在对抗样本上的表现
4. 联合优化：最小化干净样本和对抗样本的加权损失

def adversarial_loss(model, x, y, epsilon=8/255, alpha=2/255, iterations=7): # 生成对抗样本 x_adv = pgd_attack(model, x, y, epsilon, alpha, iterations) # 计算两种损失 clean_loss = F.cross_entropy(model(x), y) adv_loss = F.cross_entropy(model(x_adv), y) return 0.5 * clean_loss + 0.5 * adv_loss

3.2 训练参数配置

关键训练参数建议：

提示：对抗训练的计算成本约为标准训练的3-5倍，建议使用分布式训练加速。

4. 攻防效果评估与实战技巧

4.1 攻击效果对比测试

我们在CIFAR-10上对比不同攻击方法的有效性：

4.2 防御增强技巧

1. 多扰动训练：同时训练不同ε值的对抗样本
2. EMA模型：使用指数移动平均保存模型参数
3. 标签平滑：减轻对抗样本的过拟合风险
4. 输入变换：随机裁剪、混合等数据增强

# 多扰动对抗训练示例 def multi_epsilon_train(model, x, y, epsilons=[4/255, 8/255, 12/255]): losses = [] for eps in epsilons: x_adv = pgd_attack(model, x, y, eps=eps) loss = F.cross_entropy(model(x_adv), y) losses.append(loss) return torch.mean(torch.stack(losses))

在实际安全评估中，建议采用以下最佳实践：

• 定期进行红蓝对抗测试
• 监控模型在对抗样本上的表现波动
• 结合其他防御方法如特征压缩、随机化等