神经形态安全测试：对抗脉冲注入与失效边界评估

这几年做神经形态计算的项目，我一直有个感觉：大家聊功耗、聊延时、聊准确率，聊得热火朝天，可一旦聊到安全测试，会议室能安静下来几个钟头。神经形态系统看起来“新”，但安全问题恰恰是它最容易被忽视的软肋。尤其是我自己搭过一个简单的脉冲神经网络（SNN）分类器之后才意识到，在脉冲序列上做手脚，哪怕只是把几个脉冲的时间戳挪一挪、删掉几个关键脉冲，系统的输出就可能完全变样。这种攻击方式叫对抗脉冲注入，它和传统AI对抗样本逻辑不同，威胁面更大、隐蔽性更强，而现有的测试方法基本兜不住。

这篇文章我会先把神经形态系统为什么“天生带伤”讲清楚，再拆解对抗脉冲注入的具体攻击手法，然后重点聊聊我认为应该采用的测试新范式——从静态准确率验证转向面向失效边界的安全性评估。最后给一个能直接上手跑的最小测试基线和一些踩坑记录。适合做SNN算法、神经形态芯片安全验证、以及边缘AI可靠性设计的同行参考，看完至少能知道该从哪里开始搭自己的测试方案。

1. 神经形态系统为何“天生带伤”：事件驱动的另一面

1.1 脉冲神经网络的基本盘：事件驱动与时间编码

神经形态计算的核心载体是脉冲神经网络，它模拟生物神经元的工作方式：神经元不是持续输出数值，而是通过“发放脉冲”来传递信息。神经元内部的膜电位像一个小电容，子阈值区间的电位变化大致可以描述为τ·dv/dt = -(v - v_rest) + I(t)，输入电流慢慢给电容充放电，一旦膜电位跨过发放阈值，神经元就输出一个脉冲，然后电位重置。这个过程在硬件上非常省电，因为大部分时间神经元都在“静默”，没有事件，就不做计算。

这个“事件驱动”特性，对应着时间编码。传统CNN里的激活值是一个连续实数，代表某种特征的强度；而SNN里的信息编码在脉冲的时序关系中——某个神经元在什么时候发放、两个神经元发放的相对间隔、一段时间内脉冲的频率等等。我在实际测试里最常用的两类编码是速率编码和时间编码：速率编码看的是单位时间内的脉冲数，容错性稍好；时间编码则更精确，甚至只关注首个脉冲的时间点，抗噪能力更弱，但信息密度高。

这条设计路线的好处非常直观：低功耗、高并行、适合事件相机这类异步传感器。但它也埋了一颗雷——时间维度本身就是攻击面。传统模型处理的是静态数值，攻击者要扰动的是像素值或特征值；SNN处理的是动态事件流，攻击者只要扰动脉冲的时间关系，效果完全等价于在传统模型上改输入。

我常用一个比喻：传统DNN像审阅一份完整文件，每个字都有固定位置；SNN则像听一段摩尔斯电码，某个点是“滴”还是“嗒”、出现在哪一秒，比“有没有声”更重要。你把电码里的一个点提前两拍发出去，接收方理解的意思就可能完全不同。

1.2 安全盲区集中在哪三处

我做了几轮攻击测试后，发现神经形态系统的安全盲区不是分散的，而是集中在三个地方：

第一是时间敏感度高。SNN的分类决策依赖脉冲的时序模式，对时间扰动异常敏感。我自己的测试场景里，把输入脉冲整体延迟两个时间步，一个原本92%准确率的SNN分类模型直接掉到31%。这在传统CNN上几乎不可能发生，因为像素平移两个位置对卷积特征影响很小，但在SNN里，时序结构一旦改变，整个神经元的累积状态轨迹就变了。

第二是稀疏计算导致单脉冲权重大。脉冲流是稀疏的，一条输入序列里真正携带信息的脉冲可能只占很少一部分。这造成一种“杠杆效应”：攻击者不需要大面积扰动，只需要精准地删除或插入极少数关键脉冲，就能推翻整个决策。用传统对抗样本的思路去理解，相当于在输入里修改几个像素就骗过模型，只不过脉冲域里这几个“像素”还是动态的、分布在不同时间步上的。

第三是异步与低功耗约束限制了自检测能力。系统为了省电，神经元大部分时间不工作，运行期监控手段也有限。攻击者把恶意脉冲混在正常脉冲流里，在稀疏序列中极难被发现；如果攻击脉冲来自传感器端或通信总线，软件层面的监控往往直到输出错误才意识到出事了。

所以，神经形态系统的问题不是“会不会被攻击”，而是“攻击路径太多、检测窗口太小”。做安全测试，不能照搬传统深度学习的那些流程，得先理解这些结构性的脆弱点，再设计针对性的验证方法。

2. 对抗脉冲注入攻击解剖：从连续对抗到离散时序对抗

2.1 对抗样本如何在脉冲域“翻译”

传统对抗样本的核心思想是：在输入空间找到一个微小的扰动向量，方向指向模型决策边界的另一侧。图像上的表现就是加一层人眼几乎不可见的噪声，模型却把“猫”识别成“狗”。

这个思路迁移到脉冲域时，需要做一次“翻译”：图像是连续像素值，而脉冲输入是离散事件。攻击者不能简单地加一个小的像素偏移，他需要在时间轴上决定三件事：让哪个脉冲发生偏移、偏移多少、是删除还是新增。本质上，对抗扰动从“连续空间中的微小向量”变成了“离散事件流上的结构编辑”。

这带来两个变化。第一个是攻击的工程实现方式变了，传统梯度下降在脉冲序列上不直接可用，因为脉冲发放函数并不可微；第二个是攻击的隐蔽性变强了，人眼可以察觉图像上加噪声后的轻微模糊，但很难察觉事件流里某个脉冲提前了10毫秒。

2.2 三类主流注入方式

我在测试里主要关注三类注入方式，基本覆盖了从输入到参数的攻击路径。

时序扰动是最直接的一类。攻击者对输入脉冲序列做三件事：把一部分脉冲整体延后或提前；删除掉若干关键脉冲；或者在稀疏的时间隙里插入伪造的脉冲。以延迟攻击为例，我实现的方法很简单：选中一部分非零脉冲，把它们的时间戳向后挪若干个时间步，再删掉原位置的脉冲。这种攻击很容易让采用时间编码的SNN失去原有输入的意义，因为模型依赖的“相对时序”被破坏了。

参数篡改针对的是模型本身。突触权重、神经元阈值、膜时间常数这些参数只要发生微小偏移，就会改变脉冲发放的时间。尤其是在神经形态硬件上，攻击者可以通过故障注入、寄存器位翻转或者恶意固件来修改存储的参数。和输入扰动相比，参数篡改更隐蔽，因为它不改变任何输入，却会诱导模型在遇到特定输入时系统性出错。这类攻击的可怕之处在于：常规输入测试下准确率可能只掉百分之零点几，但遇上对抗性输入，错误率会瞬间放大。

结构性注入是我最近比较关注的一类。攻击者不再单独操作脉冲序列，而是从硬件层面直接注入受控的脉冲包，比如通过供电侧干扰、总线耦合或者额外的输入通道，让一组设计好的脉冲序列直接进入神经网络的某一层。结构性注入的破坏力在于它可以绕过输入预处理，直接作用于网络内部状态，即使输入端的防御机制做得再完善也没用。

三者的区别可以简单总结成一句话：时序扰动改输入，参数篡改改模型，结构性注入改运行环境，但最终目标都指向同一个结果——让脉冲发放的时间模式偏离正常轨迹。

2.3 攻击路径与威胁模型

做安全测试之前，一定要先建威胁模型，否则测试就是乱打。我按攻击者的能力圈了一个四象限作为参考。

这张表的价值在于帮助定位测试边界。我自己做测试时，通常先选一个明确的接触面来设计攻击，比如只做输入层攻击，或者只做参数层攻击，避免混在一起导致问题难定位。实际部署中，攻击者很可能组合使用多种路径，这就需要测试范式具备层次化的能力，而不是单点测一下就收工。

3. 安全测试新范式：从“测准不准”到“测边界稳不稳”

3.1 传统测试逻辑为什么兜不住

传统神经网络测试的核心指标是准确率、精确率、召回率，偶尔测一下延迟。这些指标评估的是“平均情况下的表现”，但安全测试关注的是“极端情况下的崩溃边界”。精确率98%的模型，可能在一个特定强度的脉冲注入下掉到20%，而常规测试完全测不出来。

原因在于测试数据的分布。正常测试数据采样自训练数据分布，攻击输入恰恰落在训练分布之外——低概率、高破坏性。随机采样一万张测试图也未必能撞上一个精心构造的对抗样本。传统软件测试里我们有边界值分析、等价类划分，但神经网络测试很难直接套用，因为输入空间太大，高维决策边界又过于复杂。

神经形态系统还多一层麻烦：它的状态是随时间演化的。传统CNN无论输入什么，输出是静态概率分布；SNN的输出则依赖整段时间窗口内的脉冲序列，同一个脉冲模式放在不同时间相位，结果就可能不同。这意味着测试不能只看最终输出，还要关注时间轨迹。只测“准不准”是不够的，得测“稳不稳”——也就是系统在多大扰动下仍然保持可靠的决策边界。

3.2 三层次安全测试体系

针对神经形态系统的特点，我建议采用三层次的安全测试体系：输入层测试、参数层测试、运行层测试。

输入层测试是基础。目标是对输入脉冲序列施加各种扰动，观察模型输出变化。具体手段包括时间抖动测试：给每个脉冲的时间戳加一个随机的或指定的偏移；脉冲删减测试：随机或按重要性删除一部分脉冲；脉冲插入测试：在空白时间步里插入伪造脉冲；组合扰动测试：同时使用多种方式，更接近真实攻击。

输入层测试的难点在于扰动强度的标定。扰动太弱，测不出问题；扰动太强，模型本来就会挂，没有参考意义。正确的做法是先找到“决策崩溃边界”：从小到大逐步增加扰动比例或时间偏移量，记录准确率变化的曲线，找到准确率急剧下降的拐点。这个拐点对应的扰动强度，比单一准确率数字更有价值。

参数层测试针对的是模型本身的鲁棒性。通过在权重、阈值、时间常数上注入微小扰动，模拟硬件故障或恶意篡改。操作手段可以直接做参数加噪声、参数位翻转，也可以借助故障注入工具对仿真模型做定点化误差模拟。参数层测试的指标不是简单看最终准确率，而是看参数扰动后的决策漂移程度，尤其要关注会不会出现“一个参数被改，某类输入系统性误判”的情况。

运行层测试注意系统在攻击过程中的动态行为。这一步在纯软件仿真里容易被忽略，但在实际硬件上特别重要。运行层监测的指标包括：脉冲发放总量的异常变化、能量消耗轨迹的偏移、神经元激活分布的熵变。这些指标可以作为在线攻击检测的基础。我自己做测试时，会同时统计正常输入和攻击输入下的总发放次数，攻击后发放量通常会显著偏离基线分布，而这类信号正好可以做实时告警。

3.3 评估指标体系怎么定

安全测试不能只给一个“通过/不通过”的结论，而是要量化评估系统的脆弱面。我在实践中常用的指标集中在这几个维度。

我建议在测试报告里把这些指标在统一模板下输出，并且标注临界点。比如“准确率在脉冲延迟3步内保持高于95%，在延迟5步时跌到60%”，这就指明了系统的可靠运行边界，也让开发团队知道该如何分配防御资源。

3.4 五步落地一个安全测试流程

理论说再多，不如一套能直接执行的流程。我目前用的流程分五步。

第一步，威胁模型定义。明确系统部署场景、攻击者能力假设和需要保护的目标。这一步不做好，后面的测试就是无的放矢。我习惯用一个表格把涉及方、攻击路径、可接受风险等级列清楚。

第二步，基线数据采集。在正常输入下运行系统，收集准确率、脉冲发放统计、能量消耗等数据分布，建立基线。基线和正常测试的区别在于要记录方差和极端值，不是为了拿一个平均分，而是为了后续对比“异常”和“正常”。

第三步，攻击生成与注入。针对威胁模型选择攻击类型，生成攻击负载，注入系统。这一步会用到白盒方法（比如基于代理梯度逼近脉冲梯度）和黑盒方法（比如差分进化搜索时序扰动），后面实操部分会展开。

第四步，测量与边界搜索。这是核心环节。逐步调节攻击强度，找到系统的失效边界，测量上一节提到的各项指标。边界搜索的目标不是“测一次成功”，而是“画出反应曲线”。

第五步，修复与再验证。针对发现的脆弱点做防御加固，比如输入脉冲过滤、参数完整性校验、运行期异常检测等，然后重新走一遍测试流程确认效果。安全测试不是一次性的，要在每次模型更新后回归执行。

这套流程看起来不复杂，真正的差距在执行细节上。下面我用一个最小的可运行示例，把前四步串起来，方便直接参考。

4. 实操：搭一个最小对抗脉冲注入测试基线

4.1 选型：为什么先选SpikingJelly

神经形态方向的仿真框架不少，我推荐从SpikingJelly开始。原因很实在：它基于PyTorch，API风格接近传统深度学习，团队对新手友好，而且内置了代理梯度（surrogate gradient）支持，后续做白盒攻击评估时不用自己从零造轮子。Norse和Brian2也可以，但Brian2更适合神经元级别的计算模型研究，Norse的生态相对薄一些。如果是针对Intel Loihi这类特定硬件做评测，Lava是更贴近硬件的选择，但通用性不如SpikingJelly。

我的原则是：先跑通对抗脉冲注入的“最小闭环”，再根据实际部署环境迁移到更贴近硬件的框架。上来就追求逼真模拟，反而容易被环境配置拖垮进度。

4.2 目标模型：一个三层SNN分类器

先定义一个简单的三层SNN分类器，用LIF神经元，输入为脉冲序列。这里用MNIST子集规模的数据做演示，时间步长设为16。

import torch import torch.nn as nn from spikingjelly.activation_based import neuron, functional class SimpleSNN(nn.Module): def __init__(self, T=16, num_classes=10, input_dim=784): super().__init__() self.T = T self.fc1 = nn.Linear(input_dim, 128) self.lif1 = neuron.LIFNode() self.fc2 = nn.Linear(128, 32) self.lif2 = neuron.LIFNode() self.fc3 = nn.Linear(32, num_classes) def forward(self, x): # x: [T, B, C, H, W] 或 [T, B, input_dim] out = 0 for t in range(self.T): y = self.fc1(x[t]) y = self.lif1(y) y = self.fc2(y) y = self.lif2(y) y = self.fc3(y) out = out + y return out / self.T

训练完成后记得固定模型参数并切换到测试模式。这里有个细节：评估时每跑完一个batch要调用functional.reset_net(model)，清空LIF神经元的膜电位和发放状态，否则上一个batch的时序状态会污染下一批数据。这个细节我踩过坑，不重置的话，攻击评估结果会严重失真。

4.3 脉冲注入攻击器实现

现在实现一个最小攻击器，核心功能是对输入脉冲序列做三类扰动：延迟脉冲、删除脉冲、插入脉冲。为了直观，我用一个attack_pulses函数统一控制攻击类型和强度。

def attack_pulses(spike_tensor, attack_type="delay", ratio=0.3, shift_steps=2): """ spike_tensor: [B, T, N] 或 [T, B, N] attack_type: "delay" / "delete" / "insert" ratio: 被攻击脉冲占全部非零脉冲的比例 shift_steps: 延迟攻击的时间偏移步数 """ if spike_tensor.dim() == 3 and spike_tensor.shape[0] == 16: # [T, B, N] spike_tensor = spike_tensor.permute(1, 0, 2) # -> [B, T, N] injected = spike_tensor.clone() B, T, N = injected.shape nonzero_idx = torch.nonzero(injected) # [num_pulse, 3]，列对应 B,T,N num_pulse = nonzero_idx.shape[0] num_attack = int(num_pulse * ratio) if num_pulse == 0 or num_attack == 0: return spike_tensor, 0.0 selected = nonzero_idx[torch.randperm(num_pulse)[:num_attack]] if attack_type == "delay": for b, t, n in selected: new_t = min(T - 1, t.item() + shift_steps) injected[b, new_t, n] = 1.0 injected[b, t, n] = 0.0 elif attack_type == "delete": for b, t, n in selected: injected[b, t, n] = 0.0 elif attack_type == "insert": for b, t, n in selected: insert_t = torch.randint(0, T, (1,)).item() injected[b, insert_t, n] = 1.0 else: raise ValueError(f"Unknown attack_type: {attack_type}") # 统计平均时间扰动强度 perturb_steps = [] for b, t, n in selected: if attack_type == "delay": perturb_steps.append(shift_steps) elif attack_type == "delete": perturb_steps.append(1) # 删除按强度1计入 elif attack_type == "insert": perturb_steps.append(1) avg_intensity = torch.mean(torch.tensor(perturb_steps, dtype=torch.float32)).item() if perturb_steps else 0.0 return injected, avg_intensity

这个攻击器写得比较朴素，但已经足够用来验证系统脆弱性。实际测试时，我会把ratio从0.05逐步增加到0.7，观察准确率的变化曲线。注意插入攻击的随机时间戳可能落在本来没有脉冲的地方，会导致脉冲总数增加，这在能量监测指标里能被识别出来。

4.4 测试循环与报告输出

攻击器就绪后，核心测试循环很简单：分别加载干净数据和被攻击数据，评估准确率，计算攻击成功率，输出表格。

def evaluate(model, loader, T): model.eval() correct = 0 total = 0 total_spike_count = 0 with torch.no_grad(): for data, label in loader: data = data.reshape(-1, T, data.shape[1]) # 如果数据是 [B, T, N]，需要转成 [T, B, N] data = data.permute(1, 0, 2) out = model(data) pred = out.argmax(dim=1) correct += (pred == label).sum().item() total += label.size(0) total_spike_count += (data > 0).sum().item() functional.reset_net(model) acc = correct / total avg_spike_count = total_spike_count / total return acc, avg_spike_count def run_safety_test(model, loader, T=16): clean_acc, clean_spike = evaluate(model, loader, T) print(f"clean: acc={clean_acc:.4f}, avg_spike={clean_spike:.2f}") results = [] for attack_type in ["delay", "delete", "insert"]: for ratio in [0.1, 0.3, 0.5, 0.7]: attacked_loader = build_attacked_loader(loader, attack_type, ratio, T) attacked_acc, attacked_spike = evaluate(model, attacked_loader, T) asr = max(0.0, clean_acc - attacked_acc) spike_dev = (attacked_spike - clean_spike) / max(clean_spike, 1e-6) results.append({ "attack_type": attack_type, "ratio": ratio, "acc": attacked_acc, "asr": asr, "spike_deviation": spike_dev }) print(f"{attack_type} ratio={ratio}: acc={attacked_acc:.4f}, asr={asr:.4f}, spike_dev={spike_dev:.2f}") return results

跑完之后，我会把结果整理成表格，重点关注两个东西：一是准确率剧烈下降的“临界比例”，二是攻击后的发放率异常方向。插入攻击通常让发放量显著上升，删除攻击反而可能让整体发放率下降，这两类信号都可以作为运行期检测器的候选特征。

5. 常见问题与排查技巧实录

5.1 注入攻击后准确率几乎不变

这个问题我一开始也遇到过，明明攻击参数设得挺强，结果准确率纹丝不动。排查下来主要是三个原因。一是目标模型采用了速率编码而非时间编码，速率编码对脉冲整体时序偏移不敏感，因为模型看的是统计计数，挪几个时间步影响不大。二是模型过拟合了训练集中的脉冲模式，抗扰能力意外地强，这种情况可以加大扰动幅度验证是否到了边界。三是攻击器实现有误，比如选中的非零脉冲在后续循环里被再次选中，导致操作没有真正执行。

排查方法很简单：先用极端参数测试，比如把所有脉冲全部删除，看准确率是否掉到接近随机水平。如果连删除全部脉冲都不掉点，那就不是攻击器的问题，而是模型编码方式的问题，建议换时间编码更强的基底模型。

5.2 仿真太慢，测试根本跑不完

SNN的时间步展开让训练和推理比传统网络慢得多，如果每步都做16个时间步循环，参数扫描会非常耗时。我的经验是先把时间步长降到8或4来做快速验证，确定攻击方向和参数范围后再用完整时间步长做正式评估。另一个技巧是优先用小批量和小网络跑边界搜索，比如首层隐藏层降到32个神经元，先把曲线趋势跑出来，再在正式模型上验证关键点。

如果使用GPU，记得把输入张量统一放到CUDA上，并且关闭梯度计算。很多人测试时模型还开着requires_grad=True，虽然结果不影响，但显存和计算量都会白白浪费。

5.3 想用梯度做白盒攻击，结果不稳定

SNN的脉冲发放函数不可微，直接套用FGSM、PGD这类梯度攻击方法会失效。一个常用方案是用代理梯度（surrogate gradient）来近似脉冲发放函数的导数，SpikingJelly自带的ATan或Sigmoid代理函数就够用。但代理梯度容易让攻击方向偏离真实决策边界，我在实践中最常用的反而是黑盒方法：用差分进化或简单的随机搜索去探索脉冲时间偏移组合。

黑盒方法虽然迭代次数多，但稳定性好很多。具体做法是把攻击参数编码成一个向量，比如每个被修改脉冲的时间偏移量，然后以攻击成功率为适应度函数做迭代搜索。对于测试来说不追求全局最优，只要找到一组能稳定降低准确率的攻击参数，就足够暴露系统的脆弱性了。

5.4 硬件本身的噪声把攻击效果淹没了

在仿真环境里调好的攻击参数，搬到真实神经形态芯片上可能完全失效，原因在于硬件本身有阈值噪声、时间戳抖动和温度漂移。攻击造成的脉冲偏移往往只有几个时间步，如果硬件噪声本身就有一个时间步左右的抖动，攻击信号容易被吞掉。

针对这个问题，我在测试流程里增加了一个“硬件噪声标定”步骤：先在正常输入下采集多次运行结果，估算输出分布的方差，再设定攻击强度的最低阈值，确保注入强度大于噪声上界的3倍以上。这样测出的结果才不是硬件随机性造成的假象，也才能真实反映系统在对抗攻击下的表现。同时，这也提醒我们：真实硬件的鲁棒性评估不能只看仿真，一定要做硬件在环测试，但前提是先把噪声底数摸清楚。

我个人在实际项目中的体会是，神经形态安全测试最大的障碍不是工具不够，而是意识不到位。多数团队把准确率当成唯一关心的指标，测完就上线，等系统被人用对抗脉冲注入打穿才追悔莫及。测试新范式的核心不在于替代传统准确率评估，而是在它之外增加一条“边界探索”的路径——把系统逼到墙角，看看它什么时候会崩、怎么崩、崩了之后能不能恢复。先给模型做一次完整的注入测试，你会重新认识自己写的那套系统的真实可靠度。