🤖 machine learning

FlowPure: Continuous Normalizing Flows for Adversarial Purification

本文提出了 FlowPure，一种基于连续归一化流（CNF）和条件流匹配（CFM）的新型对抗净化方法，该方法通过利用特定攻击知识或高斯扰动进行训练，在 CIFAR 数据集上实现了优于现有扩散模型方法的防御性能，同时完全保留了良性样本的准确率并具备强大的对抗样本检测能力。

原作者： Elias Collaert, Abel Rodríguez, Sander Joos, Lieven Desmet, Vera Rimmer

发布于 2026-03-31

📖 1 分钟阅读☕ 轻松阅读

CC BY 4.0

原作者： Elias Collaert, Abel Rodríguez, Sander Joos, Lieven Desmet, Vera Rimmer

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

这篇文章介绍了一种名为 FlowPure 的新方法，旨在保护人工智能（AI）模型免受“对抗性攻击”的侵害。

为了让你轻松理解，我们可以把整个故事想象成**“给被投毒的食材做一道‘去毒’大餐”**。

1. 背景：什么是“对抗性攻击”？

想象一下，你是一位大厨（AI 模型），擅长做红烧肉。

正常情况：顾客给你新鲜的猪肉，你做出美味的红烧肉。
对抗性攻击：坏人在猪肉上撒了一点点肉眼看不见的“魔法粉末”（对抗性扰动）。虽然肉看起来还是肉，但你的大脑（AI 模型）被迷惑了，误以为这是一条鱼，于是做出了鱼汤，或者干脆把菜扔了。
后果：AI 系统虽然很聪明，但非常容易被这种微小的“魔法粉末”骗倒。

2. 以前的做法：像“洗菜机”一样（扩散模型）

在 FlowPure 出现之前，最流行的防御方法是使用扩散模型（Diffusion Models）。

原理：这就像是一个强力洗菜机。
- 坏人把菜（数据）弄脏了。
- 洗菜机先往菜里疯狂倒水、加洗涤剂（注入高斯噪声），把菜彻底搅浑，直到原来的脏东西和干净的水混在一起，分不清哪是菜哪是脏东西。
- 然后，洗菜机再慢慢把水倒掉，试图把菜“还原”回干净的样子。
缺点：这个过程有点“笨”。它不管菜原本是什么，一律先倒水搅浑。有时候水倒多了，菜本身的营养（原始信息）也流失了；有时候洗不干净，残留的毒药还在。而且，如果坏人知道你的洗菜机怎么工作，他们就能专门设计一种“洗不掉的毒药”。

3. FlowPure 的创意：像“顶级整容医生”或“翻译官”

FlowPure 换了一种思路。它不靠“倒水搅浑”，而是靠**“直接翻译”**。

核心概念：它使用了一种叫**连续归一化流（CNF）**的技术。
比喻：
- 以前的洗菜机是：“把脏菜扔进搅拌机，再慢慢捞出来”。
- FlowPure 是：“请了一位精通‘脏菜’和‘净菜’之间所有转换规律的顶级整容医生”。
- 这位医生（FlowPure 模型）看过成千上万张“被投毒的肉”和“干净肉”的对比图。它不需要把肉搅浑，它直接知道：“哦，这块肉上的这个微小斑点（扰动），只要往左移 0.01 毫米，再稍微调一下颜色，它就变回干净肉了。”
- 它建立了一条直接的、平滑的“变形通道”，直接把“被攻击的数据”变回“干净数据”。

4. FlowPure 的两个“超能力”版本

文章提出了两种不同风格的 FlowPure，以适应不同的敌人：

版本 A：专家型（确定性版本）

适用场景：你知道敌人大概会用什么毒药（比如知道是 PGD 攻击或 CW 攻击）。
比喻：就像**“特种部队”**。
- 我们在训练时，专门让模型去研究“这种特定的毒药”长什么样。
- 效果：当遇到这种特定的毒药时，它能完美地去除毒素，甚至把肉洗得比原来还干净（保留了极高的准确率，甚至没有损失正常性能）。
- 缺点：如果敌人换了种全新的毒药，它可能就不太灵光了。

版本 B：万能型（随机性版本）

适用场景：你不知道敌人会用什么招数，或者敌人很狡猾，会不断变招。
比喻：就像**“防弹衣 + 烟雾弹”**。
- 这个版本不针对特定毒药，而是学习如何把任何数据都“净化”回原始分布。
- 为了对付狡猾的敌人，它在净化过程中会故意加入一点点随机的“烟雾”（随机噪声）。
- 效果：这让敌人无法预测净化后的结果，从而无法针对防御机制进行攻击。虽然它可能会稍微牺牲一点点“肉质”（正常准确率），但在面对最狡猾的敌人时，它比以前的所有方法都更坚固。

5. 意外收获：它还是个“安检员”

除了净化数据，FlowPure 还有一个隐藏技能：检测。

原理：当 FlowPure 试图把一块“被投毒的肉”变干净时，它需要做的“变形动作”（速度场）会非常大，因为毒药把肉带偏了。而干净的肉，只需要做很小的动作。
比喻：就像安检员看你的动作。如果你走路姿势极其怪异（被投毒），FlowPure 会立刻发现：“这人不对劲，动作幅度太大了！”
结果：实验显示，FlowPure 能几乎100% 准确地识别出那些被精心设计的攻击样本，比之前的检测方法都要强。

总结

FlowPure 就像是一个更聪明、更精准的“数据净化器”：

不瞎折腾：不像以前的方法那样先把数据搅浑再还原，而是直接“点对点”修正。
灵活多变：既可以是针对特定敌人的“特种部队”，也可以是应对未知威胁的“万能防弹衣”。
双重身份：它既能把坏数据变好（净化），又能一眼识破坏数据（检测）。

这项研究告诉我们，在 AI 安全领域，我们不再需要依赖笨重的“洗菜机”，而是可以训练出更懂数据本质的“变形专家”，让 AI 在面对恶意攻击时更加从容不迫。

FlowPure: 基于连续归一化流的对抗净化技术 - 技术总结

1. 研究背景与问题定义

背景：
尽管深度学习模型在多个领域取得了显著进展，但它们对对抗攻击（Adversarial Attacks）仍然脆弱。对抗攻击通过向输入添加精心设计的微小扰动，导致模型做出错误预测。

现有挑战：

对抗训练（Adversarial Training, AT）：虽然有效，但需要重新训练分类器，且往往以牺牲正常样本（Benign）的准确率（Benign Accuracy）为代价。
对抗净化（Adversarial Purification, AP）：作为一种推理阶段的防御策略，旨在在分类前去除输入中的对抗扰动。
扩散模型（Diffusion Models）：当前最先进的净化方法多基于扩散模型。它们通过前向过程注入高斯噪声来“稀释”对抗扰动，再通过反向去噪过程恢复干净样本。然而，扩散模型依赖固定的随机噪声过程，且其鲁棒性在自适应白盒攻击（如 DiffHammer）下常被高估，存在梯度混淆（Gradient Obfuscation）问题。

核心问题：
如何设计一种既能有效去除对抗扰动、保持正常样本准确率，又能利用特定攻击知识提升鲁棒性，同时在未知攻击下仍具备竞争力的净化方法？

2. 方法论：FlowPure

作者提出了 FlowPure，一种基于连续归一化流（Continuous Normalizing Flows, CNFs）和条件流匹配（Conditional Flow Matching, CFM）的新型对抗净化方法。

2.1 核心原理

FlowPure 利用流匹配框架学习从源分布（对抗样本）到目标分布（干净样本）的确定性连续变换。

训练目标：通过条件流匹配（CFM）最小化损失函数，学习一个速度场 $v_\theta(x, t)$ ，该速度场驱动样本沿最优传输（Optimal Transport, OT）路径从对抗样本 $x_0$ 移动到干净样本 $x_1$ 。
优势：与扩散模型不同，FlowPure 不需要显式的噪声注入过程来学习变换，而是直接建模分布间的动力学，允许更灵活地利用特定的攻击知识。

2.2 两种变体

FlowPure 提出了两种变体以适应不同的威胁模型：

**确定性 FlowPure **(Deterministic Variant)：
- 机制：直接学习从特定对抗分布（如 PGD 或 CW 攻击生成的样本）到干净分布的映射。
- 训练：在训练过程中随机化攻击参数（如扰动预算 $\epsilon$ ），使模型覆盖从轻微扰动到强扰动的范围，并隐式地鼓励模型在干净流形附近表现为恒等映射。
- 推理：从 $t=0$ 到 $t=1$ 积分学习到的常微分方程（ODE），直接输出净化后的样本。
- 适用场景：已知威胁模型（Preprocessor-blind），追求极致的正常样本准确率。
**随机 FlowPure **(Stochastic Variant)：
- 机制：概念上更接近扩散模型，但基于预训练的生成性 CNF 模型（从高斯分布到数据分布）。
- 创新点：为了应对自适应攻击，作者引入了一种新颖的随机推理过程（Algorithm 1）。在 ODE 求解的中间步骤中，向样本注入受控的高斯噪声。
- 噪声调度：通过时间依赖的噪声参数 $\eta(t)$ 和 $\sigma$ ，确保注入的噪声与样本中已有的噪声量成比例，增加了攻击者预测梯度的难度。
- 适用场景：未知或自适应攻击（Fully adaptive white-box），牺牲部分正常准确率以换取更强的鲁棒性。

2.3 对抗检测能力

FlowPure 还展示了作为对抗检测器的潜力。利用学习到的速度场在 $t=0$ 时的模长 $\|v_\theta(t, x)\|^2$ 作为检测分数。直觉是：对抗样本位于数据流形之外，其初始速度场模长通常显著大于干净样本。

3. 主要贡献

首创应用：首次将连续归一化流（CNFs）应用于对抗净化领域，提出了 FlowPure 方法。
双变体设计：
- 提出了确定性变体，可利用特定攻击知识，在已知威胁下实现 SOTA 性能且无损正常准确率。
- 提出了随机变体，通过引入随机噪声注入，在完全自适应白盒攻击下优于现有的扩散基净化方法。
性能突破：在 CIFAR-10 和 CIFAR-100 数据集上，FlowPure 在预处理盲（Preprocessor-blind）场景下超越了所有基于扩散的 SOTA 方法，且完全保留了正常样本的准确率。
双重功能：证明了 FlowPure 不仅是高效的净化器，还是近乎完美的对抗检测器（针对 PGD 攻击的 AUC 接近 1.0）。
重新评估威胁模型：强调了在完全自适应白盒设置下，所有基于净化的防御（包括 FlowPure）都会失效，呼吁将研究重点转向更现实的“预处理盲”威胁模型。

4. 实验结果

实验在 CIFAR-10 和 CIFAR-100 上进行，对比了 DiffPure, GDMP, LM, ADBM 等基于扩散的方法。

4.1 预处理盲场景 (Preprocessor-blind)

正常准确率：FlowPure 的确定性变体（如 FlowPure_PGD）在 CIFAR-10 上达到了 96.00% 的正常准确率，甚至略高于原始模型（95.81%），而扩散基方法（如 DiffPure）通常降至 89% 左右。
鲁棒准确率：在针对 PGD 和 CW 攻击的测试中，FlowPure 表现出卓越的鲁棒性。例如，在 CIFAR-10 的 PGD 攻击下，FlowPure_PGD 的鲁棒准确率高达 92.23%，远超 DiffPure (73.69%)。
迁移性：虽然确定性变体针对特定攻击训练，但在某些情况下（如 PGD 训练的模型应对 CW 攻击）表现出良好的迁移性。

4.2 完全自适应白盒场景 (Fully Adaptive White-box)

挑战：在攻击者拥有分类器和防御机制完整梯度访问权（使用 BPDA 和 DiffHammer 攻击）的情况下，所有净化方法的鲁棒性均大幅下降。
表现：FlowPure 的随机变体（FlowPure_Gauss）表现最佳。在 CIFAR-10 上，面对 DiffHammer 攻击，其平均鲁棒准确率约为 43%，优于 DiffPure (约 17-40% 区间) 和其他基线。
结论：尽管 FlowPure 在此极端设置下仍优于现有方法，但所有方法的性能均显著下降，表明当前基于净化的防御在完全白盒下仍面临巨大挑战。

4.3 对抗检测

在检测 PGD 攻击时，FlowPure 在 CIFAR-10 和 CIFAR-100 上均达到了近乎完美的 AUC 分数（接近 1.0），显著优于基于自监督学习的检测器 BEYOND。
对于扰动较小的 CW 攻击，检测难度增加，但 FlowPure 仍保持竞争力。

5. 意义与局限性

意义：

理论创新：证明了流匹配（Flow Matching）可以作为一种比扩散模型更直接、更高效的对抗净化框架，能够直接建模任意分布间的映射。
实用价值：在现实世界中最常见的“预处理盲”场景（攻击者不知道防御存在）中，FlowPure 提供了目前最强大的防御方案，且无需牺牲模型对正常数据的识别能力。
检测与净化一体化：展示了单一模型同时具备净化和检测能力的潜力。

局限性与未来方向：

白盒脆弱性：在完全自适应攻击下，所有净化方法（包括 FlowPure）均失效，这提示单纯依赖净化可能不足以应对拥有完整信息的攻击者。
计算成本：训练 CNF 需要生成对抗样本，计算开销较大。
数据依赖：目前实验主要在 CIFAR 数据集上进行，未来需要在更高分辨率、更多类别的数据集上验证。
攻击知识依赖：确定性变体依赖对攻击类型的先验知识，若攻击类型未知或发生演变，性能可能下降（尽管随机变体提供了一定程度的通用性）。

总结：
FlowPure 通过引入连续归一化流和条件流匹配，为对抗净化领域带来了新的范式。它在保持高正常准确率的同时，显著提升了针对已知攻击的防御能力，并在极端白盒攻击下展现了优于扩散模型的鲁棒性，是迈向更实用、更高效的对抗防御系统的重要一步。