🛑 貼紙攻擊 → 自駕車看不見 STOP
這是對抗樣本史上最著名的物理世界案例之一。
它證明：
只要貼幾張貼紙，就能讓 AI 交通標誌辨識失效。
📜 事件背景
2017 年，研究團隊發表論文：
Robust Physical-World Attacks on Deep Learning Visual Classification
主要作者包含
Kevin Eykholt 等人。
研究目標：
👉 檢驗對抗樣本是否能在「真實世界」成立
因為先前攻擊多為：
- 2D 圖像
- 數位像素
🔥 實驗流程
1️⃣ 基準測試
將正常 STOP 標誌輸入模型：
👉 模型正確辨識為 STOP
2️⃣ 設計貼紙（optimization）
研究者利用梯度方法設計：
- 黑白貼紙
- 彩色貼紙
- 類 graffiti pattern
條件：
- 人類仍可辨識 STOP
- 攝影距離變化
- 視角變化
- 光線變化
👉 物理魯棒對抗樣本
3️⃣ 貼到真實標誌
將貼紙貼在 STOP 標誌邊角與文字附近。
外觀看起來：
👉 像普通塗鴉
4️⃣ 模型結果
從不同距離與角度拍攝：
模型誤判為：
- speed limit
- yield
- warning sign
錯誤率可達：
80%+
🧠 為何有效？
🎯 1️⃣ 高維決策邊界
神經網路的分類邊界：
- 極度複雜
- 高維非線性
小 pattern → 可能跨越邊界
🎯 2️⃣ 局部紋理偏好
CNN 常依賴：
👉 texture
👉 局部 pattern
而非：
👉 全局形狀
因此：
貼紙 → 改變 texture statistics
→ 模型錯誤
🎯 3️⃣ 對抗 patch 機制
貼紙實際上是：
Adversarial patch
特性：
- 局部區域
- 位置可變
- 視角魯棒
🚗 為何震撼？
因為它意味：
❗ AI 視覺可被「低成本物理攻擊」
不需：
- 入侵系統
- 改變模型
- 網路攻擊
只需：
👉 貼紙
❗ 自駕車安全疑慮
潛在風險：
- 路標誤判
- 行車決策錯誤
- 交通事故
因此自駕領域開始研究：
- sensor fusion
- adversarial training
- multi-view reasoning
🔬 後續影響
這篇論文直接催生：
👉 physical adversarial ML
👉 robust perception research 👉 trustworthy AI vision
並成為 AI 安全經典教材案例。
🧠 哲學含義
這個案例再次指出：
AI 不理解 STOP 的「語意」
而是：
👉 統計 pattern matching
只要 pattern 改變：
👉 語意崩潰
⭐ 一句話總結
貼紙攻擊顯示：AI 視覺不是理解世界，而是在高維統計邊界上脆弱地分類。
