Adversarial Attacks on Artificial Intelligence Models: Defence Strategies, Datasets, Evaluation Metrics, and Future Research Directions

在现代数字世界中，银行、医院和电网高度依赖人工智能来处理海量数据。这些基于机器学习和深度学习构建的系统充当着不知疲倦的哨兵。它们扫描网络流量以发现入侵者，分析文件以寻找隐藏的恶意软件，并验证身份以阻止未经授权的用户进入。多年来，这些工具因其学习复杂模式并适应新威胁的能力而备受赞誉，在正常情况下通常能捕捉到百分之九十五的危险。然而，一个隐藏的漏洞已经浮现。正如人类会被巧妙的幻象所迷惑一样，这些智能系统也会被那些看起来与真实输入几乎完全一致、但包含微小且经过精心设计的扭曲的输入所欺骗。这些被称为“对抗性攻击”的扭曲，旨在混淆计算机的逻辑，导致它将危险的病毒误判为无害，或向冒充者授予访问权限。其代价极高：一次成功的欺骗就可能让黑客窃取数百万资金、关闭关键基础设施，或在国家层面绕过安全防线。

来自伊拉克和马来西亚大学的一个研究小组对这一日益增长的威胁进行了全面的审视。他们不仅研究了一种类型的攻击或一种特定的防御手段；相反，他们收集并分析了一千篇发表于 2017 年至 2025 年间的研究论文，以绘制出该问题的完整图景。他们的目标是了解这些攻击是如何运作的，目前的防御措施效果如何，以及差距在哪里。通过梳理这些海量的文献，他们识别出了十二种此前未曾被整合在一个统一框架中的新型对抗性攻击。他们发现，攻击者的操作水平各不相同：有些了解被攻击系统的全部内部运作机制，有些仅能看到最终输出，而有些则介于两者之间。研究人员还发现，攻击可以发生在不同阶段，要么是在系统学习过程中对数据进行“投毒”，要么是在系统运行后植入复杂的输入。

这项研究揭示了当前安全现状的严峻现实。虽然研究人员已经开发了许多检测和阻断这些诡计的方法，但防御手段往往是不平衡的。作者发现，近百分之七十的现有研究侧重于在攻击发生后进行检测，而只有约百分之二十三的研究侧于在模型训练阶段增强模型的鲁棒性。这种不平衡使得系统变得脆弱，因为攻击者可以利用模型构建过程中的缺陷。此外，该团队强调了实验室实验与实际应用之间存在显著脱节。在受控环境下，防御措施可能看起来近乎完美，但当转移到复杂且不可预测的现实世界环境时，其成功率可能会下降高达百分之六十。这种下降是因为现实世界的系统面临着诸如计算能力有限、需要即时决策以及不断演变的各种攻击方法等挑战。

为了解决这些问题，研究人员提出了一个新的三层框架，用以组织我们对这些攻击和防御的思考方式。这一结构帮助安全专家根据攻击者的已知信息、其意图以及他们如何改变数据来对威胁进行分类。他们还审查了用于测试这些系统的工具和数据集，指出虽然存在许多标准测试，但目前还没有一个统一的、公认的标准来衡量所有不同类型人工智能的成功程度。这种缺乏标准化的现象使得组织很难针对其特定需求选择合适的保护措施。论文建议，未来的进展将取决于多种策略的结合，例如使用区块链来保障数据共享的安全，将人工智能与决策支持系统相结合以帮助人类做出更好的选择，以及开发能在传感器和摄像头等小型边缘设备上高效运行的防御技术。

最终，这项综述成为了下一代网络安全的重要指南。它证实了虽然人工智能彻底改变了我们保护数字基础设施的方式，但它也引入了一种需要持续警惕的新型脆弱性。研究人员强调，不存在能够阻止这些攻击的“万灵药”。相反，构建安全的系统需要一种多层次的方法，结合更好的训练方法、实时检测，以及建立用于测试和验证这些技术的全球性标准规则的全球协作。随着技术的不断进步，构建防御者与试图破坏者之间的竞赛只会愈发激烈，这使得理解并对这些威胁进行分类的工作比以往任何时候都更加重要。