DeepMind 新发现：欺骗 AI 视觉的对抗图像，其实也能影响人类

如果有人往一张花瓶的照片里加了一点肉眼完全看不出的噪点，AI 就会斩钉截铁地认为那是一只猫。这种恶作剧在 AI 圈叫对抗攻击，大家以前都觉得这只是机器特有的毛病，人眼根本不会被这种小把戏骗过去。

但 Google DeepMind 在发表于《Nature Communications》的新研究里发现，事情没这么简单。那些本来用来欺骗计算机视觉的微小扰动，其实在悄悄左右人类的大脑判断。

以为自己在盲选，大脑却被带了节奏

数字图像里的每个像素颜色深度在 0 到 255 之间。对抗攻击有时候非常隐蔽，整个画面里没有任何一个像素的变化幅度超过 2 个数值，肉眼看上去两张图一模一样。

DeepMind 的研究人员拿同一个花瓶的照片做了两次微调。经过算法扰动后，AI 会极度自信地把其中一张认成猫，把另一张认成卡车。

接着，研究人员把这两张微调过的花瓶图片并排放在人类受试者面前，问了一个有点刁钻的问题：哪一张看起来更像猫？

受试者普遍觉得这个问题莫名其妙，因为两张图明明都是花瓶，他们只能随便瞎猜一个。但统计结果显示，大家选出被 AI 当成猫的那张图的概率，系统性地高于 50% 的随机概率。

换句话说，虽然人脑非常清楚眼前是个花瓶，并没有像 AI 那样彻底指鹿为马，但那些微弱到无法用语言描述的信号，确实在潜意识里推了大脑一把。

机器和人类的眼睛到底差在哪

过去的研究大多关注那些肉眼一眼就能看出轮廓痕迹的大幅度扰动。而 DeepMind 这次证明了，即便是极其微弱的对抗性噪点，人类的知觉系统也不是完全免疫的。

在受试者的主观意识里，这只是掷硬币式的随机二选一。但认知科学此前早就发现，人类大脑经常会在自己都毫无知觉的情况下，利用极其微弱的感官线索做决定。

这项实验说明，人类视觉和深度神经网络在底层特征提取上，可能存在比大家想象中更多的共性。

这也给模型对齐提供了一把尺子。如果某种计算机视觉架构对对抗样本的敏感方式跟人类更接近，或许它在对抗真实世界的物理干扰时也会更加稳健。

为什么重要

这项研究最大的价值，在于打破了机器视觉脆弱性与人类感知完全无关的假设。

对普通人来说，你现在不需要担心有人在大街上立个牌子就把你催眠了。人类的高级认知依然稳如泰山，你一眼就能认出那是个花瓶或者停牌，不会像自动驾驶汽车那样真把减速标志当成限速牌。

但在交互界面和隐蔽操纵领域，这个发现需要引起警惕。既然微小的视觉扰动能在潜意识层面影响人类的偏好选择，未来如果有人恶意利用这种技术微调广告、推荐缩略图甚至是选票界面，人类在毫无知觉的情况下就可能产生某种决策偏向。

我们认为，DeepMind 这一步走得相当巧妙。他们没有跟着大部队去卷更大的参数或防守补丁，而是把对抗样本从纯粹的计算机安全问题，拉回到了认知科学和神经科学的交叉带。

这也给以后的 AI 安全研究提了个醒：防御对抗攻击不仅是为了防止模型被黑客骗，也是为了弄清楚，我们在训练模型理解世界的同时，是不是也在无意中制造出能够潜移默化影响人类认知的心理学漏洞。