一張打印紙欺騙自動(dòng)駕駛汽車沖向?qū)ο蜍嚨溃?025年研究的真實(shí)攻擊

去年12月，工信部正式批準(zhǔn)兩款L3級(jí)自動(dòng)駕駛車型在北京和重慶特定路段上路試運(yùn)行。消息一出，評(píng)論區(qū)一片歡騰，有人喊"終于來(lái)了"，有人曬出了預(yù)訂截圖。就在這條新聞熱度還沒(méi)散去的時(shí)候，另一條信息悄悄出現(xiàn)在學(xué)術(shù)圈：北京航空航天大學(xué)的研究團(tuán)隊(duì)在AI頂刊TPAMI上發(fā)布了一項(xiàng)研究成果，他們開(kāi)發(fā)了一個(gè)叫DynamicPAE的框架，能在12毫秒內(nèi)實(shí)時(shí)生成"物理對(duì)抗樣本"——一種貼在路牌或障礙物上、肉眼看起來(lái)完全正常，但能讓自動(dòng)駕駛感知系統(tǒng)當(dāng)場(chǎng)失效的特殊紋理圖案。12毫秒，這比人眨一次眼睛快了整整6倍，完全可以實(shí)時(shí)應(yīng)對(duì)高速行駛中的動(dòng)態(tài)場(chǎng)景。研究團(tuán)隊(duì)測(cè)試結(jié)果顯示，對(duì)主流自動(dòng)駕駛視覺(jué)模型，這種攻擊讓目標(biāo)檢測(cè)平均精度下降了58.8%。這兩條消息放在一起，你就會(huì)明白這個(gè)專欄第五篇想說(shuō)的事有多緊迫。

前四篇我們講的AI投毒，攻擊者都需要接觸模型的訓(xùn)練數(shù)據(jù)或權(quán)重——換句話說(shuō)，他們需要"進(jìn)入"系統(tǒng)內(nèi)部。但對(duì)抗樣本攻擊完全不同，它是AI投毒家族里最"物理"的一種手法：攻擊者根本不需要碰模型，不需要入侵服務(wù)器，不需要知道任何代碼，他們只需要在現(xiàn)實(shí)世界里做一點(diǎn)微小的改動(dòng)，比如在路牌上貼一張打印紙，或者讓人戴一副特制眼鏡——AI就徹底看錯(cuò)了。這是AI系統(tǒng)一個(gè)深層的脆弱性：它的"眼睛"和人類的眼睛，看的根本不是同一個(gè)世界。人類看到的是含義，AI看到的是像素統(tǒng)計(jì)特征，而這兩套解讀系統(tǒng)之間的縫隙，就是對(duì)抗樣本存在的空間。

美國(guó)國(guó)家標(biāo)準(zhǔn)與技術(shù)研究院（NIST）在2024年1月發(fā)布的《對(duì)抗性機(jī)器學(xué)習(xí)攻擊方法和術(shù)語(yǔ)》報(bào)告里，給出了一個(gè)讓很多人看完沉默的具體場(chǎng)景：一輛配有自動(dòng)駕駛輔助系統(tǒng)的智能汽車正在道路上行駛，一個(gè)對(duì)手在路面上設(shè)置了特殊干擾標(biāo)記，這些標(biāo)記肉眼難以察覺(jué)，卻足以誤導(dǎo)車道識(shí)別算法，使汽車偏移至對(duì)向車道。這不是假設(shè)的未來(lái)威脅，這是NIST基于現(xiàn)有研究整理出的已被驗(yàn)證可行的攻擊場(chǎng)景。更嚴(yán)峻的是，北航的DynamicPAE研究進(jìn)一步證明：這種攻擊已經(jīng)從"靜態(tài)實(shí)驗(yàn)室場(chǎng)景"走向了"實(shí)時(shí)動(dòng)態(tài)道路環(huán)境"，攻擊速度比傳統(tǒng)方法快了整整2000倍，真正能跟上高速行駛中不斷變化的光線和角度。同一篇2025年2月發(fā)表于《信號(hào)處理》期刊的綜述也明確指出：攻擊者同樣可以利用對(duì)抗眼鏡系統(tǒng)性地欺騙人臉識(shí)別算法，引發(fā)身份誤判，導(dǎo)致非法入侵或身份冒用。

現(xiàn)在把這些放進(jìn)中國(guó)的現(xiàn)實(shí)場(chǎng)景，你會(huì)發(fā)現(xiàn)這件事的真實(shí)重量。到2025年，中國(guó)智能網(wǎng)聯(lián)汽車的滲透率已經(jīng)快速提升，L2級(jí)輔助駕駛在15萬(wàn)元以下的車型里開(kāi)始普及，城市NOA（自動(dòng)輔助導(dǎo)航駕駛）已經(jīng)量產(chǎn)，L3試運(yùn)行剛剛獲批。與此同時(shí)，AI輔助醫(yī)學(xué)影像診斷也在國(guó)內(nèi)三甲醫(yī)院里快速推廣，用于CT片的肺結(jié)節(jié)篩查、眼底照片的糖網(wǎng)病篩查，AI的判讀結(jié)果直接影響醫(yī)生的臨床決策。這兩個(gè)場(chǎng)景有一個(gè)共同點(diǎn)：AI的感知誤判，后果不是數(shù)據(jù)泄露，不是錢的損失，而是真實(shí)的物理傷害——一臺(tái)智能車沖向?qū)ο蜍嚨?，一張被誤判為正常的癌癥影像。對(duì)抗樣本攻擊是AI投毒家族里唯一一種會(huì)直接危害肉身的攻擊方式，這是它和前幾篇講到的攻擊最根本的差異。

有人看到這里會(huì)反駁：研究環(huán)境和真實(shí)道路差距很大，攻擊者要提前在路上貼紙？這不現(xiàn)實(shí)吧？這個(gè)質(zhì)疑是合理的，但需要補(bǔ)充兩點(diǎn)。第一，對(duì)抗樣本的威脅不只來(lái)自主動(dòng)攻擊，還來(lái)自"自然對(duì)抗樣本"——路面上隨機(jī)出現(xiàn)的褪色路牌、特殊天氣下的光照反差、前車濺起的泥水遮擋，都可能構(gòu)成AI感知系統(tǒng)的盲區(qū)，這不需要任何人去主動(dòng)布置。第二，隨著DynamicPAE這類研究的公開(kāi)，主動(dòng)攻擊的實(shí)施門檻在持續(xù)下降，打印一張?zhí)囟y理的貼紙，在技術(shù)上并沒(méi)有很高的壁壘。更關(guān)鍵的問(wèn)題是：我們的自動(dòng)駕駛系統(tǒng)在設(shè)計(jì)階段，有沒(méi)有把對(duì)抗樣本魯棒性作為一個(gè)核心指標(biāo)去測(cè)試？從目前公開(kāi)的測(cè)試標(biāo)準(zhǔn)來(lái)看，答案還不夠令人放心。全國(guó)汽車標(biāo)準(zhǔn)化技術(shù)委員會(huì)2025年12月的報(bào)告明確指出，汽車網(wǎng)絡(luò)安全仿真測(cè)試標(biāo)準(zhǔn)目前仍處于發(fā)展初期，針對(duì)對(duì)抗樣本這類AI特有威脅的專項(xiàng)測(cè)試方法，在行業(yè)標(biāo)準(zhǔn)層面尚未廣泛建立。

說(shuō)到防御，對(duì)抗樣本目前在學(xué)術(shù)界有幾條主要思路：一是對(duì)抗訓(xùn)練，在模型訓(xùn)練階段就主動(dòng)喂給它大量對(duì)抗樣本，讓模型學(xué)會(huì)"不被這些騙到"；二是輸入預(yù)處理，在數(shù)據(jù)進(jìn)入模型之前先做去噪和平滑處理，把對(duì)抗擾動(dòng)的影響降到最低；三是集成防御，用多個(gè)模型同時(shí)判斷同一個(gè)輸入，讓單一對(duì)抗樣本無(wú)法同時(shí)騙過(guò)所有模型。這些方法有效，但都有代價(jià)：對(duì)抗訓(xùn)練會(huì)讓模型在正常場(chǎng)景下的性能有所下降；輸入預(yù)處理會(huì)增加延遲，對(duì)實(shí)時(shí)性要求極高的自動(dòng)駕駛來(lái)說(shuō)是個(gè)問(wèn)題；集成防御會(huì)成倍增加計(jì)算資源消耗。更根本的困境是：攻擊和防御永遠(yuǎn)在博弈，防御者發(fā)布一種新的防御方法，攻擊者就研究如何繞過(guò)它，這場(chǎng)貓鼠游戲在對(duì)抗樣本領(lǐng)域已經(jīng)持續(xù)了將近十年，目前沒(méi)有哪種防御方案能宣稱一勞永逸。

坐在這篇文章前面的你，如果正好是汽車行業(yè)的從業(yè)者，或者家里有人在用輔助駕駛功能，我想請(qǐng)你認(rèn)真想三個(gè)問(wèn)題，歡迎評(píng)論區(qū)聊聊你的真實(shí)想法：你購(gòu)買或考慮購(gòu)買的智能汽車，廠商有沒(méi)有公開(kāi)說(shuō)明它的自動(dòng)駕駛視覺(jué)系統(tǒng)做過(guò)對(duì)抗樣本魯棒性測(cè)試？如果這類測(cè)試結(jié)果是公開(kāi)的，你會(huì)把它作為選車的重要指標(biāo)嗎？還有最后一個(gè)問(wèn)題，留給所有人：當(dāng)AI開(kāi)始替我們做越來(lái)越多"影響肉身安全"的判斷——開(kāi)車、看片子、做手術(shù)輔助——在對(duì)抗樣本這類威脅還沒(méi)有完美解法之前，我們應(yīng)該怎么劃定AI可以被信任的邊界？