DeepMind 新發現：欺騙 AI 視覺的對抗影像，其實也能影響人類

如果有人往一張花瓶的照片里加了一點肉眼完全看不出的噪點，AI 就會斬釘截鐵地認為那是一隻貓。這種惡作劇在 AI 圈叫對抗攻擊，大家以前都覺得這只是機器特有的毛病，人眼根本不會被這種小把戲騙過去。

但 Google DeepMind 在發表於《Nature Communications》的新研究裡發現，事情沒這麼簡單。那些本來用來欺騙計算機視覺的微小擾動，其實在悄悄左右人類的大腦判斷。

以為自己在盲選，大腦卻被帶了節奏

數字影像裡的每個畫素顏色深度在 0 到 255 之間。對抗攻擊有時候非常隱蔽，整個畫面裡沒有任何一個畫素的變化幅度超過 2 個數值，肉眼看上去兩張圖一模一樣。

DeepMind 的研究人員拿同一個花瓶的照片做了兩次微調。經過演算法擾動後，AI 會極度自信地把其中一張認成貓，把另一張認成卡車。

接著，研究人員把這兩張微調過的花瓶圖片並排放在人類受試者面前，問了一個有點刁鑽的問題：哪一張看起來更像貓？

受試者普遍覺得這個問題莫名其妙，因為兩張圖明明都是花瓶，他們只能隨便瞎猜一個。但統計結果顯示，大家選出被 AI 當成貓的那張圖的機率，系統性地高於 50% 的隨機機率。

換句話說，雖然人腦非常清楚眼前是個花瓶，並沒有像 AI 那樣徹底指鹿為馬，但那些微弱到無法用語言描述的訊號，確實在潛意識裡推了大腦一把。

機器和人類的眼睛到底差在哪

過去的研究大多關注那些肉眼一眼就能看出輪廓痕跡的大幅度擾動。而 DeepMind 這次證明了，即便是極其微弱的對抗性噪點，人類的知覺系統也不是完全免疫的。

在受試者的主觀意識裡，這只是擲硬幣式的隨機二選一。但認知科學此前早就發現，人類大腦經常會在自己都毫無知覺的情況下，利用極其微弱的感官線索做決定。

這項實驗說明，人類視覺和深度神經網路在底層特徵提取上，可能存在比大家想像中更多的共性。

這也給模型對齊提供了一把尺子。如果某種計算機視覺架構對對抗樣本的敏感方式跟人類更接近，或許它在對抗真實世界的物理干擾時也會更加穩健。

為什麼重要

這項研究最大的價值，在於打破了機器視覺脆弱性與人類感知完全無關的假設。

對普通人來說，你現在不需要擔心有人在大街上立個牌子就把你催眠了。人類的高階認知依然穩如泰山，你一眼就能認出那是個花瓶或者停牌，不會像自動駕駛汽車那樣真把減速標誌當成限速牌。

但在互動介面和隱蔽操縱領域，這個發現需要引起警惕。既然微小的視覺擾動能在潛意識層面影響人類的偏好選擇，未來如果有人惡意利用這種技術微調廣告、推薦縮圖甚至是選票介面，人類在毫無知覺的情況下就可能產生某種決策偏向。

我們認為，DeepMind 這一步走得相當巧妙。他們沒有跟著大部隊去卷更大的引數或防守補丁，而是把對抗樣本從純粹的電腦保安問題，拉回到了認知科學和神經科學的交叉帶。

這也給以後的 AI 安全研究提了個醒：防禦對抗攻擊不僅是為了防止模型被駭客騙，也是為了弄清楚，我們在訓練模型理解世界的同時，是不是也在無意中製造出能夠潛移默化影響人類認知的心理學漏洞。