tf.gradienttape不能直接对输入张量求导，因其默认不追踪tf.constant等不可训练张量，需用tape.watch(x)或tf.variable封装；fgsm中epsilon需匹配输入范围，配合tf.sign(gradient)扰动并裁剪；pgd需@tf.function加速但注意shape固定；必须用model(x)而非model.predict()以保障梯度连通。
为什么 tf.GradientTape 里不能直接对输入张量求导？
因为默认情况下，tf.Tensor（尤其是 tf.constant 或模型输入）不是可训练变量，tf.GradientTape 不会追踪其变化。你调用 tape.gradient(loss, x) 时如果 x 没被明确设为可追踪，结果就是 None 或报错 ValueError: Cannot differentiate a constant。
解决办法很简单：把输入封装成 tf.Variable，或者用 tape.watch(x) 主动声明追踪。
- 推荐用
tape.watch(x)——轻量、语义清晰，适合一次性攻击（如 FGSM） - 若需多次迭代更新（如 PGD），用
tf.Variable(x, trainable=True)更自然 - 注意别在
watch后又把x转成constant，否则追踪失效
FGSM 攻击中 epsilon 和 sign(gradient) 怎么配合才有效？
FGSM 的核心是单步扰动：x_adv = x + epsilon * tf.sign(gradient)。但实际中容易忽略三点：
-
epsilon是像素级扰动上限（通常 0.01～0.1），单位必须和模型输入一致（例如归一化到 [0,1] 的图像，epsilon=0.03合理；若输入是 [-1,1]，同样值会导致翻倍扰动） -
tf.sign(gradient)对零梯度返回 0，可能导致部分像素不扰动——这不是 bug，是设计使然；如需更鲁棒，可用tf.sign(gradient + 1e-12) - 务必做裁剪：
tf.clip_by_value(x_adv, 0.0, 1.0)，否则对抗样本超出合法范围，模型前向可能出 NaN 或预测崩坏
PGD 攻击为何要反复调用 @tf.function 内的梯度计算？
PGD 是多步迭代优化，每步都要前向→损失→反向→更新。如果不加 @tf.function，Python 解释器开销会让 10 步 PGD 比 FGSM 还慢好几倍。
Python 3.14.2是Python编程语言在2025年12月5日发布的稳定版本，属于3.14系列的第二个维护更新。该版本包含了18项修复，重点解决了多进程、数据类及正则表达式等模块的回归问题，并修复了CVE-2025-12084等安全漏洞。此版本标志着自由线程模式（移除GIL）正式获得官方支持，是Python发展的重要里程碑。
但要注意副作用：
-
@tf.function会将首次调用的输入 shape 编译进图，所以x的 batch 维度最好固定（比如总用batch_size=1做单图攻击） - 别在
@tf.function外修改被追踪的tf.Variable，否则图缓存失效，退化成 eager 模式 - 调试时先关掉
@tf.function，确认逻辑正确后再加——梯度在图模式下报错信息更难读
用 tf.keras.Model.predict 还是 model(x) 获取 logits？
必须用 model(x)（即 call 方法），不能用 model.predict()。后者绕过 GradientTape，无法构建梯度路径，且内部含预处理/后处理逻辑（如 softmax），干扰攻击目标。
典型错误写法：pred = model.predict(x); loss = tf.keras.losses.categorical_crossentropy(y_true, pred) → loss 对 x 不可导。
- 正确做法：用
logits = model(x, training=False)，再算 loss（如tf.nn.softmax_cross_entropy_with_logits） - 如果模型最后一层是 softmax，记得用
from_logits=False，否则数值不稳定 - 验证是否可导：打印
tape.gradient(loss, x)看是否为None或 shape 匹配
对抗样本的成败，往往卡在第一个 None 梯度上；而这个 None，八成是因为忘了 tape.watch() 或误用了 .predict()。
Python免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 Python 的核心概念和高级技巧！
