“对抗样本”给智能识别带来风险

    一辆无人驾驶汽车正在行驶，经过“最高时速60公里”的标志后，它竟忽然提速。车内乘客并不知道，那一刻，无人驾驶汽车把标志看错成“最高时速120公里”。

    2014年初，正在加拿大攻读博士学位的伊恩·古德费洛和同事发现了一个“秘密”。准确率逼近百分百、“看”速飞快的计算机存在着致命的漏洞。研究者针对“漏洞”精心设计“障眼法”，故意引发计算机错误输出读图结果，这种“障眼法”被命名为对抗样本。想“算计”无人驾驶汽车，只需给原来的交通标志图像加上一层人眼不可见的细微改动。

    在人类对图像进行分类时，人会综合颜色、形状、周边环境等多种细节，并根据已有的知识进行判断。人脑的结构非常复杂。而计算机没有真正的眼睛，也没有精妙复杂的大脑。计算机需要把图像的所有信息全部解构成数据，输进模型，给出是与非的答案。当计算机经历过的训练样本还很有限时，就容易出现错误。比如，计算机会把基于熊猫生成的对抗样本看作长臂猿，又会把海龟当成来福枪。

    古德费洛在最新的论文中写道：“一个耐人寻味的现象是，对抗样本通常可以从一个模型迁移到另一个……”攻击者不管知不知道你的算法，都能发起进攻。研究者证实，物理世界的对抗样本攻击是可行的。最近处于风口上的智能车就是最典型的案例。有学者表示，如果自动驾驶时代来临，街道上的停车、减速等标志被蒙上了对抗样本，可能引发严重的后果。

    （《中国青年报》3.7 胡宁）