💻 computer science

Adversarial Evasion Attacks on Computer Vision using SHAP Values

该论文提出了一种利用 SHAP 值量化输入显著性的白盒对抗攻击方法，证明其在降低模型置信度或诱导误分类方面比快速梯度符号法（FGSM）更具鲁棒性，尤其在梯度隐藏场景下能有效生成人类难以察觉的对抗样本。

原作者： Frank Mollard, Marcus Becker, Florian Roehrbein

发布于 2026-04-10

📖 1 分钟阅读☕ 轻松阅读

原作者： Frank Mollard, Marcus Becker, Florian Roehrbein

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

这篇论文讲述了一个关于“如何欺骗人工智能眼睛”的有趣故事。简单来说，研究人员发现了一种新的方法，利用一种叫 SHAP 的工具，比传统方法更聪明、更隐蔽地让计算机视觉模型（比如识别人脸或动物的 AI）“看走眼”。

为了让你轻松理解，我们可以把整个过程想象成一场**“高明的魔术表演”**。

1. 背景：AI 也会“被骗”吗？

想象一下，你训练了一只非常聪明的狗（AI 模型），它学会了分辨猫和狗。

传统攻击（FGSM 方法）： 以前的黑客攻击就像是在狗的鼻子上撒一把胡椒粉。虽然狗还是能闻到，但胡椒粉会干扰它的嗅觉，让它打喷嚏、晕头转向，从而判断错误。这种方法虽然有效，但有时候太粗暴，或者被聪明的狗（AI）识破（也就是论文里说的“梯度掩盖”现象，狗突然不闻了，或者闻错了方向）。
新攻击（SHAP 方法）： 这篇论文提出的新方法，不是撒胡椒粉，而是**“精准催眠”**。

2. 核心工具：SHAP 值 = "AI 的注意力地图”

要理解 SHAP 攻击，先得懂 SHAP 值是什么。

比喻： 当 AI 看一张猫的照片时，它并不是把整张图都“平均”地看一遍。它其实是在心里画了一张**“热力图”**。
- 红色的地方（SHAP 值高）：AI 觉得“这里肯定是猫耳朵，太关键了！”
- 蓝色的地方（SHAP 值低）：AI 觉得“这里可能是背景，不重要。”
- 灰色的地方（SHAP 值接近 0）：AI 觉得“这里有点中性，既不像猫也不像狗，无所谓。”

传统的攻击方法（FGSM）是**“无差别攻击”：不管哪里重要，它都往像素上加一点噪音，试图把整张图都搅浑。
而 SHAP 攻击是“精准打击”：它先看懂这张“热力图”，知道 AI 最在意哪里，然后只针对那些最关键**的地方动手。

3. 攻击原理：把“关键线索”变成“废话”

研究人员发现了一个有趣的规律（论文里的“蝴蝶图案”）：

如果像素值处于中间状态（比如 0.5 左右），AI 觉得它**“无所谓”**（SHAP 值接近 0）。
如果像素值太亮或太暗，AI 就会觉得它**“很重要”**（SHAP 值很高或很低）。

SHAP 攻击的魔法步骤：

观察： 黑客先让 AI 看一张猫的照片，生成热力图，找出哪些像素是“猫的关键证据”（比如猫耳朵的尖端）。
篡改： 黑客不直接破坏猫耳朵，而是把猫耳朵的像素值悄悄调整，让它变成 AI 觉得“无所谓”的中间状态（比如把深色的耳朵尖端调成灰蒙蒙的）。
结果： 对人类的眼睛来说，这只猫看起来几乎没变（还是那只猫）。但对 AI 来说，它最依赖的“猫耳朵证据”突然消失了，变成了“中性数据”。AI 瞬间懵了：“咦？这到底是猫还是狗？我看不准了！”于是，AI 就判断错了。

4. 为什么这个方法更厉害？

论文通过对比实验发现：

传统方法（FGSM）： 就像是用大锤砸锁，有时候能砸开，有时候砸偏了，甚至可能把锁砸得更紧（让 AI 更自信地判断错）。而且它容易留下明显的痕迹。
SHAP 方法： 就像是用万能钥匙，专门挑锁芯最脆弱的地方转一下。
- 更隐蔽： 因为只改动了 AI 最在意的地方，而且改得恰到好处，人类肉眼几乎看不出照片有任何变化。
- 更稳健： 即使 AI 模型很复杂（比如深层神经网络），或者试图隐藏自己的逻辑（梯度掩盖），SHAP 攻击依然能精准找到它的弱点。
- 成功率更高： 在测试中，SHAP 攻击让 AI 认错的比例（比如从 52% 提升到 73%，甚至 98%）远高于传统方法。

5. 总结与启示

这篇论文告诉我们：

AI 很脆弱： 即使 AI 看起来非常聪明，只要有人懂它的“思维逻辑”（通过 SHAP 值），就能用极小的代价让它“瞎”掉。
双刃剑： SHAP 本来是用来解释 AI 为什么做这个决定的（为了透明和信任），但现在也被用来攻击 AI。
未来的方向： 既然知道了 AI 会依赖某些特定的“关键像素”，未来的 AI 设计者就需要让 AI 学会**“全面观察”**，而不是只盯着几个点看，这样才不容易被这种“催眠术”骗倒。

一句话总结：
这就好比一个侦探（AI）破案全靠看“鞋印”（关键像素），以前的坏人会往鞋印上撒灰（传统攻击），现在的坏人（SHAP 攻击）则是直接把鞋印擦成和地面一样的颜色，让侦探以为“这里根本没鞋印”，从而彻底搞错方向，而侦探自己却完全没察觉。

以下是基于论文《Adversarial Evasion Attacks on Computer Vision using SHAP Values》（基于 SHAP 值的计算机视觉对抗性逃避攻击）的详细技术总结：

1. 研究背景与问题 (Problem)

对抗性攻击的威胁：深度学习模型（如计算机视觉模型）容易受到对抗性攻击的威胁。攻击者通过向输入数据添加人类肉眼难以察觉的微小扰动（对抗样本），诱导模型降低输出置信度或产生错误分类。
现有方法的局限性：
- 目前主流的白盒攻击方法（如快速梯度符号法 FGSM 及其变体）主要依赖模型的**梯度（Gradient）**信息。
- 梯度攻击存在**“梯度掩盖”（Gradient Masking）**问题：在某些场景下，梯度可能变得无信息量（随机、消失、爆炸或分散），导致攻击失效。
- 梯度攻击通常假设所有像素的权重相同（仅乘以符号和标量 $\epsilon$ ），忽略了不同像素对模型输出贡献的幅度差异，这可能导致调整过度或不足。
核心问题：如何设计一种比传统梯度攻击更稳健、更能利用模型内部特征重要性分布的对抗性攻击方法，特别是在梯度信息不可靠的场景下？

2. 方法论 (Methodology)

论文提出了一种基于 SHAP (SHapley Additive exPlanations) 值的白盒对抗性逃避攻击方法。

SHAP 值的应用：
- SHAP 值源自博弈论，用于量化单个输入特征（在图像中即为像素）对模型输出的贡献度。
- 与 LIME 不同，SHAP 具有局部和全局可解释性，且满足可加性（所有特征贡献之和等于模型输出）。
- 论文发现，在图像分类任务中，像素值与 SHAP 值之间存在特定的非线性关系（通常呈“蝴蝶”状分布）：中间值的像素（如 0.4-0.5 附近）对输出的影响接近于零（中性区域），而极端值（高或低）则具有显著的正向或负向影响。
攻击策略 (SHAP Attack)：
- 核心思想：利用 SHAP 值识别出对分类结果具有强正向或强负向影响的像素区域，并将这些像素的值向“中性区域”（SHAP 值接近 0 的区域）移动，从而消除模型对特定类别的置信度。
- 攻击公式：
  $x' = x + \epsilon \cdot \begin{cases} -|\phi|, & \text{if } x \ge 1-h \land V \\ |\phi|, & \text{if } x \le h \land V \end{cases}$
  其中：
  - $\phi$ 是像素的 SHAP 值。
  - $V$ 是一个阈值（如 $|\phi| \ge v$ ），仅选择影响显著的像素进行攻击。
  - $h$ 是像素值的阈值（如 0.2-0.3），确保只修改绝对值较大的像素。
  - $\epsilon$ 是攻击强度，通常设为 SHAP 值标准差的函数（如 $\frac{1}{20}\sigma_\phi$ ）。
- 优势：该方法不仅考虑了梯度的方向，还考虑了影响的幅度。它针对性地修改关键区域，而非像 FGSM 那样均匀地扰动所有像素。

3. 关键贡献 (Key Contributions)

提出新型攻击范式：首次将 SHAP 值（一种可解释性工具）转化为对抗性攻击的武器，证明了可解释性方法本身可能被用于破坏模型。
揭示 SHAP 攻击的稳健性：发现 SHAP 攻击在**梯度掩盖（Gradient Hiding）**场景下比基于梯度的攻击（如 FGSM）更稳健。因为 SHAP 直接衡量模型输出与输入的关系，不依赖损失函数的梯度计算。
实验验证：在四种截然不同的数据集（动物面部、猫狗过滤、MNIST 手写数字、人类面部）和多种网络架构（从浅层 CNN 到深层 EfficientNetB7）上验证了该方法的有效性。
理论洞察：揭示了像素值与 SHAP 值之间的“蝴蝶”分布规律，即中间值像素影响中性，极端值影响显著，攻击者利用这一规律将像素推向中性区以破坏分类。

4. 实验结果 (Results)

论文在四个数据集上对比了 SHAP 攻击 与 Kurakin 等人改进的 FGSM 攻击：

数据集	模型	FGSM 误分类率	SHAP 攻击误分类率	备注
Animal Faces	3 层 CNN	52%	73%	SHAP 攻击效果更显著
Cats and Dogs Filtered	EfficientNetB7 (66M 参数)	98%	89%	在极深网络中 FGSM 表现优异，但 SHAP 仍保持高成功率
MNIST	2 层 CNN	34%	60%	在简单任务中 SHAP 优势明显
Woman and Man Faces	3 层 CNN	69%	98%	SHAP 攻击几乎完全破坏分类

视觉隐蔽性：两种攻击在调整后的强度下，对人类视觉均具有相似的隐蔽性（肉眼难以察觉差异）。
置信度降低：SHAP 攻击能更一致地降低目标类别的预测概率，而 FGSM 有时甚至会增加置信度（由于梯度方向错误）。
稳定性：SHAP 攻击在不同数据集和架构上表现出更稳定的误分类率，而梯度攻击受梯度质量影响波动较大。

5. 意义与结论 (Significance & Conclusion)

双重性警示：SHAP 值作为模型解释工具，同时也暴露了模型的弱点。攻击者可以利用这些解释信息来精准打击模型。
防御启示：
- 现有的基于梯度的防御可能不足以应对基于 SHAP 的攻击。
- 未来的模型需要更加泛化，减少对单个像素或局部特征的过度依赖，使特征影响在整个图像中更加均衡。
局限性：
- 计算成本：SHAP 值的计算涉及大量子集组合（ $2^N$ ），虽然使用了采样近似，但在高分辨率图像和复杂模型上仍需要巨大的计算资源。
- 白盒假设：攻击需要访问模型内部结构和推理数据，属于白盒攻击场景。
总结：该研究证明了利用 SHAP 值进行对抗性攻击的可行性与高效性，特别是在梯度信息失效的场景下。这强调了开发更具鲁棒性的计算机视觉模型的紧迫性，以应对这种隐蔽且高效的新型威胁。