如何针对时序预测模型发起扰动攻击并评估其业务影响？

在金融、供应链和能源管理等领域，时序预测模型（如LSTM或Transformer）是核心决策依据。然而，这些模型对输入数据的微小、恶意修改异常敏感。评估时序模型的鲁棒性是模型部署阶段至关重要的环节。本文将聚焦于如何使用最经典的对抗攻击方法——快速梯度符号法（Fast Gradient Sign Method, FGSM）来生成时序扰动，并量化其对业务预测准确性的影响。

1. 时序预测模型的鲁棒性挑战

传统的对抗攻击主要针对图像分类模型，但时序数据具有序列依赖性、输入维度通常较小且具有严格的时域约束。FGSM的优势在于其计算效率高，能够生成沿着损失函数梯度方向最大化损失的扰动，使模型输出发生错误，但扰动本身（即注入的噪声）极小，不会引起常规的数据校验机制的注意。

2. 环境准备与目标模型构建

我们将使用PyTorch构建一个简单的LSTM模型，用于模拟时序预测任务。我们假设输入数据是归一化后的历史序列，模型目标是预测序列的下一个值。

import torch
import torch.nn as nn
import numpy as np
from sklearn.metrics import mean_absolute_error

# 定义一个简单的LSTM预测模型
class TimeSeriesLSTM(nn.Module):
    def __init__(self, input_size, hidden_size, output_size=1):
        super(TimeSeriesLSTM, self).__init__()
        self.hidden_size = hidden_size
        self.lstm = nn.LSTM(input_size, hidden_size, batch_first=True)
        self.fc = nn.Linear(hidden_size, output_size)

    def forward(self, x):
        # x shape: (batch_size, sequence_length, features)
        h0 = torch.zeros(1, x.size(0), self.hidden_size).to(x.device)
        c0 = torch.zeros(1, x.size(0), self.hidden_size).to(x.device)

        out, _ = self.lstm(x, (h0, c0))
        # 仅使用序列最后一个时间步的输出进行预测
        out = self.fc(out[:, -1, :])
        return out

# 模拟训练好的模型和数据
INPUT_SIZE = 1 # 仅一个特征维度
HIDDEN_SIZE = 50
SEQ_LEN = 10    # 序列长度

model = TimeSeriesLSTM(INPUT_SIZE, HIDDEN_SIZE)
# 载入一个虚拟的预训练权重
# model.load_state_dict(torch.load('model_weights.pth'))
model.eval() # 切换到评估模式

# 模拟测试数据: (Batch=1, Seq_Len=10, Features=1)
original_input = torch.tensor(np.random.rand(1, SEQ_LEN, INPUT_SIZE), dtype=torch.float32)
# 模拟真实目标值
target_output = torch.tensor([[0.85]], dtype=torch.float32)

3. 实现FGSM时序扰动攻击

FGSM通过计算损失函数关于输入数据的梯度，并根据梯度的符号方向对输入进行调整。公式为：$$x’ = x + \epsilon \cdot \text{sign}(\nabla_x J(\theta, x, y))$$。

对于时序数据，我们对整个输入序列张量执行此操作。

def fgsm_time_series_attack(model, input_data, true_label, epsilon):
    # 1. 确保输入数据需要梯度
    input_data.requires_grad = True

    # 2. 前向传播
    prediction = model(input_data)

    # 3. 计算损失 (使用MSE作为攻击目标)
    criterion = nn.MSELoss()
    loss = criterion(prediction, true_label)

    # 4. 反向传播，计算梯度
    model.zero_grad()
    loss.backward()

    # 5. 获取梯度的符号
    data_grad = input_data.grad.data
    sign_data_grad = data_grad.sign()

    # 6. 生成扰动后的数据
    perturbed_data = input_data + epsilon * sign_data_grad

    # 7. 可选：裁剪数据以保持在合法范围 (例如 0 到 1)
    perturbed_data = torch.clamp(perturbed_data, 0, 1)

    return perturbed_data, prediction.item()

# 设定扰动强度 (Epsilon)
EPSILON = 0.05 

# 执行攻击
perturbed_data, original_pred = fgsm_time_series_attack(
    model=model,
    input_data=original_input,
    true_label=target_output,
    epsilon=EPSILON
)

print(f"\n--- 攻击结果 ---")
print(f"原始输入预测值: {original_pred:.4f}")

# 评估攻击效果
model.eval()
final_pred_tensor = model(perturbed_data)
final_pred = final_pred_tensor.item()

print(f"扰动后输入预测值: {final_pred:.4f}")

# 计算绝对预测误差
original_error = abs(original_pred - target_output.item())
attack_error = abs(final_pred - target_output.item())

print(f"原始误差 (MAE): {original_error:.4f}")
print(f"攻击后误差 (MAE): {attack_error:.4f}")
print(f"误差增加百分比: {((attack_error - original_error) / original_error) * 100:.2f}%")

# 检查扰动大小（L-infinity范数）
perturbation_magnitude = torch.max(torch.abs(perturbed_data - original_input)).item()
print(f"最大扰动幅度 (Epsilon): {perturbation_magnitude:.4f} (应接近或等于 {EPSILON})")

4. 业务风险量化与评估

上述代码演示了通过一个微小的扰动（EPSILON = 0.05，即输入值变化不超过5%）如何显著放大预测误差。在实际业务中，这种误差的增加直接转化为风险：

1. 金融风控: 如果预测值是股票波动性或信用评分，微小的输入扰动可能导致错误的交易或风险等级判断，造成经济损失。
2. 供应链管理: 如果预测值是未来一周的商品需求量，攻击后误差增加100%可能导致库存积压或缺货，造成运营成本上升。

量化指标建议:

• MAE/MAPE 增加率: 衡量预测准确性损失的百分比。
• 业务决策偏移率: 统计在攻击后，模型输出是否跨越了关键业务决策阈值（例如，需求量是否超过安全库存线）。

通过对不同 EPSILON 值进行系统性测试，基础设施团队可以建立模型的“鲁棒性曲线”，从而确定在部署时需要设置的数据输入验证和异常检测的严格程度。

5. 部署侧的防御策略

为了提高模型的鲁棒性并减轻此类攻击的业务影响，可以在AI基础设施层面采取以下措施：

1. 输入清洗与验证: 严格限制输入数据的变化范围和速率，使用统计方法（如MAD或Isolation Forest）检测微小但高梯度的异常数据。
2. 对抗训练 (Adversarial Training): 在训练过程中，使用FGSM生成的扰动样本作为新的训练数据，提高模型对特定类型噪声的泛化能力。
3. 模型集成: 部署多个不同架构或训练数据的模型，通过集成投票机制来降低单个模型被定向攻击的风险。