对抗攻击（Adversarial Attack）指攻击者对输入数据施加人类难以察觉的微小扰动，使AI模型产生错误输出的攻击手段。例如在一张"熊猫"图片上叠加人眼不可见的噪声，模型就会把它误判为"长臂猿"——这种现象被称为对抗样本（Adversarial Example）。
为什么存在
深度学习模型虽然强大，但其决策边界存在脆弱性。模型在训练中学习到的特征可能与人类感知不一致，攻击者可以利用梯度信息精确构造扰动，让模型输出任意指定的错误结果。
攻击类型
- 白盒攻击：知道模型参数，精确计算扰动
- 黑盒攻击：不知道参数，通过查询输出反复试探
- 数字域攻击：修改图片像素（如贴纸攻击、补丁攻击）
- 物理域攻击：在真实世界构造（如对抗贴纸贴在路标上欺骗自动驾驶）
防御手段
对抗训练（把对抗样本加入训练集）、输入预处理（压缩/去噪）、鲁棒性评估（红队测试、基准攻击集）。随着AI进入安防、金融、自动驾驶等安全敏感领域，对抗攻击与防御已成为AI安全的关键战场。