第10讲：深度感知系统的鲁棒防御策略

学习目标

在训练阶段向数据集中加入各种变换（旋转、缩放、添加噪声、模拟雨雾等），希望模型见过足够多的"花样"，从而在真实场景中更具鲁棒性。

局限性：难以覆盖物理世界中无限变化的对抗纹理与光照组合，模型始终存在未被覆盖的盲区。

将对抗样本纳入训练集中一起训练，让模型"见过"对抗攻击的模式，期望它能学会抵抗。对抗训练在数字攻击场景中效果显著。

局限性：对抗训练计算成本极高——每个训练样本都需要先生成对抗样本。更重要的是，物理3D攻击的参数空间极高，几乎不可能覆盖所有攻击变体。

在图像输入模型之前先进行滤波、去噪等预处理，期望能够滤除对抗扰动。

局限性：精心设计的对抗纹理可能是低频的、自然的图案（如迷彩涂装），与真实物体纹理高度相似。预处理难以在不破坏关键视觉信息的前提下"剥离"对抗特征。

以针对单目深度估计的3D全纹理攻击为例，它能成功的原因在于利用了传统深度神经网络的两大脆弱性：

完全连续可微性：传统CNN从输入到输出都基于连续的浮点运算和可导的激活函数，为攻击者提供了一条"高速公路"般的梯度回传路径。
局部纹理依赖：CNN的感受野更容易被高频纹理特征主导，而非物体的宏观三维几何结构。当对抗伪装覆盖物体表面时，CNN会将对抗性纹理误认为是真实的深度线索。

既然现有的CNN架构"天生"容易受到对抗攻击的欺骗，一个根本性的思路是：改变计算范式本身。这正是量子类脑计算在防御中的潜力所在。

1. 阻断梯度路径 在模型中引入脉冲神经元或参数化量子线路，破坏计算图的完全可微性。当攻击者无法获得精确梯度时，就无法有效地优化对抗纹理。

2. 高维特征隔离 利用量子特征映射，将图像特征映射到指数级庞大的量子希尔伯特空间中。在这个高维空间中，"真实物体特征"和"对抗噪声特征"可以被非线性地拉开距离，形成更鲁棒的决策边界。

3. 离散脉冲编码 用脉冲编码替代连续激活值，使攻击者的微小扰动难以在稀疏离散的脉冲流中传播放大。膜电位的泄漏机制还会让扰动信号随时间自然衰减。

研究表明，传统的CNN在面对全车对抗纹理覆盖时，深度估计图中目标车辆的轮廓几乎完全"消失"。而在量子-脉冲混合架构下，即使受到同样强度的攻击，目标车辆的深度轮廓依然部分可辨——攻击扰动从车辆区域被"驱散"到了背景区域。

这种**"攻击能量空间重分配"**——将扰动从安全关键目标区域引导至非关键背景区域——是新型防御范式的核心价值所在。