技术摘要：当人工智能遇见华尔街：关于金融科技中可信人工智能的综述

1. 问题陈述

人工智能已从一种辅助分析工具演变为现代金融系统的核心决策引擎，运行在涵盖数据采集、模型训练、推理及自动化反馈循环的持续部署端到端流水线之中。虽然这些流水线提供了自动化与规模化能力，但也引入了新型攻击面，使得微小的算法扰动可能被放大为持久性的系统级金融损害。

现有文献与这一运营现实之间存在结构性错配。以金融为中心的安全性研究主要将 AI 视为威胁检测的防御工具，从而忽略了 AI 系统本身作为一个攻击面的属性。相反，更广泛的对抗机器学习（AML）文献则在很大程度上脱离了领域特性，未能考虑到金融领域的特定约束，如会计合理性、非独立同分布（non-IID）联邦数据、持续重训练以及通过自动化放大的下游影响。因此，现有的综述往往仅对攻击类别进行分类，却未能解释这些攻击如何在真实的金融流水线中体现，或为何某些机制在金融环境下具有独特的持久性。

2. 研究方法

本综述采用了一种以生命周期为中心且由机制驱动的分析框架，旨在研究持续运行的金融 AI 流水线中的安全与鲁棒性威胁。研究方法包括：

• 范围界定： 聚焦于那些会损害持续运行的金融 AI 系统决策完整性、可用性或信任度的算法威胁。治理、隐私与合规性仅在作为约束攻击可行性或塑造运营影响的因素时予以考虑。
• 检索策略： 在主要数据库（Google Scholar, ACM, IEEE, arXiv 等）中进行结构化搜索，使用结合金融术语（如 AML、信用评分、交易）与安全/鲁棒性术语（如中毒、规避、提示词注入）及生命周期阶段的查询组。
• 筛选标准： 纳入了提出、评估或从理论上分析适用于金融 AI 任务的攻击/防御的研究，并明确了威胁模型、扰动约束，并提供经验或机制证据的作品。排除了仅关注传统网络安全（不含算法学习组件）或纯政策讨论的作品。
• 分类法构建： 通过迭代过程，将每篇论文的操作干预点与其利用的学习或推理机制进行对齐，最终形成了一个基于金融 AI 生命周期的统一分类法。

3. 主要贡献

本综述做出了三个主要贡献：

1. 以生命周期为中心的组织架构： 它将安全与鲁棒性风险映射到持续运行的金融 AI 流水线的三个不同阶段：(1) 训练与更新，(2) 部署与推理，以及 (3) 运营、监控与反馈。该框架将金融特定约束（如市场介导的输入、成本受限的行为）直接嵌入到对攻击可行性和下游影响的分析中。
2. 机制驱动的分类法： 它提出了金融 AI 安全与鲁棒性分类法，将 17 种攻击子类型（S1–S17）按生命周期进行组织。该分类法通过对手操纵的具体学习或推理计算来对漏洞进行分类，区分了数据中毒、模型中毒、对抗性决策边界攻击、LLM 工作流中的提示词注入，以及针对 KYC 层面的深度伪造驱动型破坏。
3. 识别开放性挑战： 它概述了一个研究议程，重点解决跨更新的持续操纵、监控信号的鲁棒性以及 AI 介导工作流中的新兴威胁，呼吁进行生命周期感知的压力测试和与金融相关的鲁棒性基准测试。

4. 详细结果与分析

第一阶段：训练与更新

此阶段涉及历史数据的摄取与模型参数的优化。其主要脆弱性在于假设输入是合法环境的准确表征。

• 数据中毒： 对手污染训练数据以嵌入恶意统计关联。
  • 标签级： 策略涵盖从贪婪的、基于利润的标签翻转（$O(N \log N)$）到随机的、随机的标签翻转（$O(N)$），两者都能以极小的修改实现对信用评分和欺诈检测的严重误分类诱导。
  • 特征级： 扰动针对特定输入特征（如交易频率）以扭曲归因。方法包括用于线性 AR 模型的凸规划，以及用于破坏非监督 AML 任务中聚类结构的遗传搜索。
  • 实例级： 注入恶意实例（如后门或伪装样本）以移动决策边界。这包括用于生物特征验证的静态后门，以及用于在在线重训练流水线中诱导长周期漂移的动态增量中毒。
• 模型中毒： 主要实现在联邦学习（FL）中，对手在无法访问原始数据的情况下操纵参数更新（梯度）。
  • 全局梯度中毒： 如 PoisonedFL 等攻击利用跨轮次的定向一致性来导致累积漂移，而 ScaleSign 则利用统计模拟来规避基于符号的防御。
  • 分片/坐标级： 对高杠杆坐标（如最终层）进行稀疏扰动，使攻击者能够在保持全局统计特性的同时绕过鲁棒聚合（如 Krum, Trimmed Mean）。
  • 后门/触发器驱动： 嵌入隐藏的恶意逻辑（如为洗钱开辟“安全通道”），由特定模式触发。技术包括用于规避聚合过滤器的垂直 FL 中的洁净标签推理，以及水平 FL 中的密度自适应触发器。

第二阶段：部署与推理

此阶段涵盖决策执行过程，即模型与动态、非平稳数据进行交互的过程。

• 针对决策边界的对抗攻击：
  • 输入操纵： 局部扰动（如时间序列的单值攻击）或稀疏特征编辑（如基于 GAN 的特征选择），在保持统计合理性的同时翻转预测。
  • 单步攻击： 利用线性假设（如 FGSM）以极低的计算成本（$O(N)$）诱导误分类。这些攻击在时间序列预测和事务级分类中非常有效。
  • 基于优化的攻击： 迭代方法（如 PGD）或受限优化（如针对会计一致性报告）旨在寻求导致最坏情况误差的最小扰动。这对于高频交易和监管模型至关重要。
  • 基于迁移的攻击： 利用不同模型间决策边界的对齐性。通用对抗扰动（UAPs）和针对代理模型（如 DRL 交易智能体、欺诈集成模型）的迁移攻击，允许在没有直接模型访问权限的情况下进行黑盒操纵。

第三阶段：运营、监控与反馈

此阶段涉及与用户及外部环境的持续交互，且越来越多地由大语言模型（LLM）和生物识别系统进行中介。

• 提示词注入（LLM 工作流）： 利用 LLM 中数据与控制指令之间的混淆。
  • 字符/符号级： 使用零宽字符或同形异义字来绕过分词（tokenization）和安全过滤器。
  • 单词/短语级： 操纵离散 Token 或潜在空间语义，以扭曲新闻推送或交易流水线中的事件解读。
  • 句子/指令级： 注入对抗性命令（如“忽略之前的规则”）以覆盖系统策略或泄露风险控制逻辑。
  • 链式/间接注入： 在外部内容（如 RAG 文档、API 输出）中植入负载，以劫持工具使用智能体，将数据摄取流水线转化为攻击向量。
• 深度伪造验证层（KYC）： 通过合成欺诈性生物特征凭证来破坏身份验证。
  • 潜在/身份级： 生成一致的合成身份（如“狼”样本或“幽灵”身份）以绕过去重和入驻检查。
  • 特征/属性级： 使用保留 3D 结构和微表情的换脸技术（如 DiffSwap）以绕过主动活体检测。
  • 对抗/反取证生成： 利用光学投影攻击 3D 传感器，或针对黑盒 API 进行高效查询的进化攻击，以规避取证检测。

5. 重要性与主张

作者声称，本综述通过弥合领域无关的 AML 分类法与广泛的金融 AI 治理综述之间的鸿沟，为理解和缓解金融 AI 中的对抗性威胁提供了统一的基础。

• 差异化： 不同于以往将 AI 视为防御工具或在脱离领域的真空环境中分析攻击的著作，本综述明确地将对抗机制与金融 AI 生命周期的具体阶段联系起来。它强调了金融特定约束（如实时执行、非对称错误成本、监管合规）如何塑造攻击的可行性及其下游后果的严重程度。
• 系统性风险： 本文认为，金融 AI 的安全性不能仅通过孤立的模型失效来理解，而需要进行以生命周期为中心的分析，因为微小的扰动会通过自动化放大的反馈循环进行传播和持续。
• 研究议程： 综述指出了关键差距，包括需要反映真实金融运营条件的鲁棒性基准、考虑持续重训练的压力测试协议，以及整合 ML 安全与风险管理及合规功能的治理框架。

综述总结道，保障金融 AI 流水线的安全需要超越孤立的攻击演示，转向能够应对金融领域独特运营现实的、具备生命周期感知能力的防御策略。