🤖 machine learning

Fast Adversarial Attacks with Gradient Prediction

本文提出了一类快速对抗攻击方法，该方法通过利用轻量级线性回归从前向传播的隐藏状态预测输入梯度，从而消除了计算成本高昂的反向传播过程，在保持与FGSM相当的性能的同时实现了532%的吞吐量提升。

原作者： Kamil Ciosek, Aleksandr V. Petrov, Nicolò Felicioni, Konstantina Palla

发布于 2026-05-15

📖 1 分钟阅读☕ 轻松阅读

原作者： Kamil Ciosek, Aleksandr V. Petrov, Nicolò Felicioni, Konstantina Palla

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下，你正试图诱骗一个非常聪明的机器人犯错。在人工智能领域，这些诡计被称为“对抗样本”。通常，为了找到完美的诡计，你必须询问机器人：“你是如何得出这个答案的？”然后逆向追溯其整个“大脑”，以确切地看到哪一个微小的改动会翻转它的决策。

问题在于？这个“逆向追溯”步骤极其缓慢且昂贵。这就像试图通过把整幅拼图拆散、查看每一块碎片，然后再将其重新拼合，仅仅为了看看是否有一块碎片能以不同的方式契合，来解决一幅巨大的拼图。如果你想测试数百万幅拼图，这种逆向过程就会成为一个瓶颈，阻碍你测试足够多的样本。

论文的核心思想：“水晶球”梯度

来自 Spotify 的这篇论文的作者问道：“如果我们根本不需要进行逆向步骤会怎样？”

他们并没有逆向追溯，而是构建了一个水晶球（一个简单的数学预测器），只需在机器人“向前思考”的同时观察其当前状态，就能猜出“你是如何得出这个答案的？”这个问题的答案。

以下是类比：

旧方法（FGSM）： 你向机器人提问。它思考。然后，你强迫它停止，倒转其“大脑”，并精确计算如何修改问题以获得不同的答案。这需要很长时间。
新方法（梯度预测）： 你向机器人提问。在它思考的过程中，你窥视其内部思维的一个特定“快照”（隐藏状态）。然后，你使用一个预先训练好的简单计算器，瞬间猜出：“基于这个快照，如果你以这种方式微调问题，机器人就会改变主意。”你从不要求机器人倒转或进行复杂的数学运算。

他们如何构建这个“水晶球”

作者们意识到，在非常大的神经网络中，网络所“看到”的（其内部表示）与其对变化的反应（梯度）之间存在一种隐藏的、可预测的关系。

他们将这种关系视为图表上的一条简单直线。他们向计算器展示了一些“内部思维” $\rightarrow$ “所需变化”的示例。计算器学会了这种模式：“哦，当思维看起来像这样时，变化应该看起来像那样。”

一旦训练完成，这个计算器就快如闪电。它仅仅涉及简单的乘法和加法，而旧方法则需要庞大且复杂的计算。

结果：速度 vs. 准确性

该论文在大型语言模型（如 Qwen 和 Llama）上测试了这种方法，使用了两种类型的攻击：

微调原始数据（嵌入）： 这就像在向机器人展示照片之前，先稍微模糊一下照片。
更改单词（Token）： 这就像在句子中替换特定的单词以迷惑机器人。

发现：

速度： 新方法比标准方法快 5 到 12 倍。在一次特定测试中，他们观察到每秒可运行的攻击次数增加了532%。这就像是步行与冲刺的区别。
准确性： 新方法并不完全等同于缓慢的逆向方法。在成功率方面，它大约能达到后者的 80-90%。然而，由于它快得多，你可以在相同的时间内运行更多次，这通常在固定的时间限制内带来更好的整体结果。
“足够好”的阈值： 作者发现，对于简单的单步诡计，“水晶球”的猜测出奇地准确。它不需要完美；它只需要指向大致正确的方向即可。

为什么这很重要（根据论文）

论文认为，这并非关于创造新的破坏 AI 的方法。而是关于使现有的安全测试变得快得多。

把它想象成机场安检员检查行李。

旧方法： 安检员打开每个包，取出所有物品，检查每一件物品，然后再放回去。这很彻底，但很慢。
新方法： 安检员使用一种扫描仪，根据包的形状和重量预测里面有什么。它并非 100% 完美，但它非常快，以至于安检员在检查一个包所需的时间里可以检查 10 个包。

作者们总结道，通过使用这些“前向传播”预测，我们可以更高效地筛查 AI 模型的弱点，从而在不需等待数小时或数天就能获得结果的情况下，帮助提高它们的安全性。他们强调，这种方法最适合“单步”攻击，并且当面临严格的时间限制（如现实世界的截止日期）时，速度提升最为宝贵。

技术摘要：基于梯度预测的快速对抗攻击

问题陈述
大规模生成对抗样本是鲁棒性评估、对抗训练和红队测试的基本要求。然而，即使是像快速梯度符号法（FGSM）这样的“快速”单步攻击，其吞吐量也受限于计算输入梯度所需的反向传播的计算成本。对于大型模型，特别是大型语言模型（LLM），该反向传播过程主导了对抗数据生成的成本，从而在受限于挂钟时间和加速器可用性的鲁棒性流程中形成了瓶颈。现有的降低此成本的方法（例如，重用梯度或将反向传播限制在早期层）仍然根本上依赖于反向传播。

方法论
作者提出了一系列攻击方法，通过在攻击时利用轻量级线性回归模型从前向传播的隐藏状态中预测输入梯度方向，从而完全消除了反向传播。

核心机制：该方法在一个小型训练集上拟合一个带有偏置项的线性回归器，将隐藏状态向量 $h_\theta(x)$ 映射到输入梯度 $\nabla_x S_\theta(x, t)$ ，其中 $S$ 是攻击分数（例如，目标 logit）。随后，攻击使用预测的梯度 $\hat{g}$ 按照 FGSM 风格的更新规则进行： $x_{adv} = x + \epsilon \text{sgn}(\hat{g})$ 。
理论基础：该方法的动机源于神经网络的神经正切核（NTK）和高斯过程（GP）视角。在无限宽极限下，隐藏状态与输入梯度的联合分布是高斯分布。在特定条件下——具体而言，使用平稳核和常数均值函数（通过理想化的正弦 - 余弦嵌入实现）——给定隐藏状态的梯度的条件期望是一个与输入 $x$ 无关的仿射函数。这从理论上证明了使用单一、与输入无关的线性映射来预测梯度的合理性。
实际实现：
- 嵌入选择：虽然证明利用了理想化的正弦 - 余弦嵌入以确保平稳性，但该方法应用于实际模型时使用的是学习到的 token 嵌入。作者指出，现实世界的位置编码（例如 RoPE）具有相似的三角旋转结构。
- 训练：预测器在一个由（隐藏状态，归一化梯度）对组成的小数据集上进行训练。为了提高稳定性和泛化能力，作者采用了坐标标准化处理隐藏状态，将梯度目标归一化为单位范数（使预测器专注于方向而非幅度），并使用岭回归。
- 效率：在推理过程中，该方法仅需一次前向传播（通常使用早期退出隐藏状态）和一次线性矩阵 - 向量乘法，完全避免了任何反向传播。

主要贡献

梯度预测框架：提出了一种用学习到的线性预测器替代昂贵反向传播的方法，使得仅通过前向计算即可生成对抗样本。
理论依据：证明了在具有平稳核的 NTK 机制下，从隐藏状态到输入梯度的映射是精确的仿射映射且与输入无关。
吞吐量优化：证明了该方法显著增加了单位时间内生成的对抗样本数量，使得在仅推理或资源受限的环境中实现鲁棒性筛查成为可能。

实验结果
作者在三个大型语言模型（Llama-2-7B、Qwen2.5-3B、Qwen3-4B）上，使用 HarmBench 和 JailbreakBench 数据集，将他们的该方法（称为 GPR-FGSM 或 GCG-GPR）与精确梯度基线（FGSM、PGD、GCG）进行了评估。

嵌入级攻击：在连续嵌入扰动任务中，与精确梯度攻击相比，GPR 变体实现了 532% 的吞吐量提升（例如，针对 Qwen3-4B 上的 FGSM）。虽然攻击成功率（ASR）通常低于精确梯度方法，但它们保持了相当大比例的性能（例如，Qwen3-4B 上 FGSM 的 ASR 为 6.8% 对比 12.6%），同时速度快了一个数量级。该方法移动了帕累托前沿，为单步攻击提供了高吞吐量选项。
Token 级攻击：对于使用贪婪坐标梯度（GCG）方法的离散提示攻击，用预测梯度替代反向传播计算的梯度，将扰动吞吐量提高了 1.5–3 倍，将成功攻击的吞吐量提高了 2–2.4 倍。关键在于，在大多数设置中，ASR 与精确梯度基线在统计上无法区分，这表明预测的梯度足以识别有前景的 token 候选者，以供后续精确前向传播评估使用。
敏感性分析：混合预测梯度和精确梯度的实验表明，只要坐标符号的一致性超过特定阈值，单步 FGSM 对显著的梯度噪声具有鲁棒性。纯 GPR 在某些困难基准测试上（例如使用 Qwen3-4B 的 JailbreakBench）有时刚好低于此阈值，但混入少量精确梯度即可恢复性能。

意义与主张
论文声称，梯度预测提供了一条简单且通用的途径，可在现实约束下显著加快对抗样本的生成。其主要意义在于使得在以往受限于反向传播成本的规模上进行鲁棒性评估和红队测试成为可能。作者强调，这项工作并未引入新的攻击能力，也未在成功率方面使攻击变得更强大；相反，它提高了现有方法的效率。这使得更广泛的模型鲁棒性筛查成为可能，包括在反向传播不切实际的部署场景中（例如仅推理环境）。作者得出结论，现代网络中表征与梯度关系的规律性足以被利用以实现快速对抗生成，即使是在严格的无限宽理论机制之外。

技术摘要：基于梯度预测的快速对抗攻击

类似论文