构建高熵流量防御：基于 Python 的连接层白噪声混淆与对抗性机器学习实践
人工智能项目
构建高熵流量防御：基于 Python 的连接层白噪声混淆与对抗性机器学习实践
以 mld_chaffing_v2.py 虚幻镜项目为例，讲解加密元数据泄漏、信息熵、分布距离、混淆矩阵、空闲窗口微脉冲和性能测试取舍。
人工智能项目

构建高熵流量防御：基于 Python 的连接层白噪声混淆与对抗性机器学习实践

阅读信息

难度: 进阶 阅读时间: 16 分钟
  • Python
  • Traffic Analysis
  • Adversarial ML
  • Networking
打开知识图谱
虚幻镜项目装饰图：黑色背景中的粉色镜像眼睛和防御法阵
虚幻镜：把流量观察者看到的稳定轮廓打散成更难分类的噪声形状。

这篇文章以本地项目 mld_chaffing_v2.py，也就是“虚幻镜”为核心，记录一次高熵流量防御实验：如何在不触碰真实业务内容的前提下，利用 Python 监测连接状态，并在空闲窗口注入语义化微脉冲，让外部观察者看到的流量统计特征变得更不稳定。

本文只讨论防御研究、隐私保护和系统工程取舍。公开内容会保留架构、指标和脱敏代码片段，不发布本地控制口令、真实节点拓扑或可直接复用的完整运行配置。

一、问题背景：加密隐藏内容，但不隐藏形状

TLS/SSL 能保护 payload，不让中间观察者直接读到正文、请求参数或响应内容。但流量分析并不一定需要解密正文。深度包检测系统和机器学习流量分类器经常观察的是另一组特征：包长分布、请求间隔、突发持续时间、上下行比例、连接生命周期、TLS record 尺寸变化以及空闲期长度。

这就是 metadata leak。一个服务即使全程加密，也可能因为“流量形状”稳定而被识别。例如，视频流、网页浏览、代码仓库同步和交互式终端在 payload 加密后仍然呈现不同的统计轮廓。传统加密解决的是内容保密，不能自动解决流量指纹问题。

“虚幻镜”的核心思路很简单：不去破解或修改加密协议，而是在连接层观测到系统空闲时，主动加入小规模、随机化、语义上接近正常 Web 请求的 chaff traffic。它更像一个防御性噪声层，用来降低固定流量模式对分类器的可见度。

二、理论基础：信息熵和对抗性机器学习

流量分类器通常会把一段会话切成特征向量，例如：

  • 单位时间内的上下行字节数
  • 请求突发之间的间隔
  • 小包和大包的比例
  • 连接建立、空闲、关闭的节奏
  • 短连接、长连接和重试行为的分布

这些特征可以交给随机森林、梯度提升树、神经网络或时序模型。模型不需要知道明文，只要某类应用的统计模式足够稳定，就能学习到可分离边界。

信息熵可以用来描述特征分布的不确定性。香农熵公式写作：

H(X) = - sum p(x_i) * log2(p(x_i))

如果某个流量模式高度规律，观测者更容易预测下一段时间的行为，熵相对较低。引入受控随机噪声后，包长、间隔、请求方法和短连接出现位置会更难预测。对机器学习分类器来说，这相当于在传输观测层制造对抗性样本：原始流量仍然可用，但外部提取到的特征被扰动。

这里的关键不是“流量越乱越好”。噪声过大，会浪费带宽、增加延迟，也会变成另一种醒目的指纹。更合理的策略是只在空闲窗口低频触发，并限制每次微脉冲的响应读取量。

三、数学验证：熵、分布距离与混淆矩阵

要证明这类防御“有用”，不能只说流量看起来更随机。更严谨的目标是：在同样的采样窗口中，让分类器对目标流量的可分性下降，同时把额外带宽和延迟控制在可接受范围内。

先把一段流量窗口抽象为特征向量 X，标签 Y 表示“目标流量”或“背景流量”。未加 chaff 时，目标流量的特征分布记为 P_t(X)，背景流量记为 P_b(X)。理想分类器能否识别目标，取决于这两个分布相隔多远，而不取决于 payload 是否加密。

如果 chaff 噪声的特征分布近似背景 Web 行为，记为 C(X)，并且它以比例 alpha 混入目标窗口，那么被观察到的目标分布可以写成：

Q_t(X) = (1 - alpha) * P_t(X) + alpha * C(X)

在一个简化但很有解释力的二分类模型中，假设背景分布就是 C(X)，且两类先验概率相等。Bayes 最优分类器的错误率为：

P_error* = 1/2 * (1 - TV(P_t, P_b))

这里 TV 是 total variation distance。混入同一个背景噪声后：

TV(Q_t, C)
= TV((1 - alpha)P_t + alpha C, C)
= (1 - alpha) * TV(P_t, C)

所以：

P_error*(after)
= 1/2 * (1 - (1 - alpha)TV(P_t, C))
= P_error*(before) + alpha * TV(P_t, C) / 2

这个推导给出一个明确结论：在这个混合模型成立时，只要 alpha > 0 且目标流量原本可分，最优分类器的理论错误率会上升。它不是绝对匿名性的证明，但能说明“把目标分布拉向背景分布”为什么会降低分类器上限。

再看一个可复算的小例子。假设我们只看“请求间隔”这个特征，并把间隔分成四个桶：很短、短、中、长。目标流量原本高度集中：

P_t = [0.70, 0.20, 0.08, 0.02]
C   = [0.25, 0.25, 0.25, 0.25]
alpha = 0.25
Q_t = 0.75 * P_t + 0.25 * C
    = [0.5875, 0.2125, 0.1225, 0.0775]

香农熵从 H(P_t)=1.229 bits 上升到 H(Q_t)=1.583 bits。同时，目标分布和背景分布之间的 Jensen-Shannon divergence 从 0.199 bits 降到 0.102 bits，total variation distance 从 0.450 降到 0.3375。对应的 Bayes 最优错误率从 27.5% 上升到 33.1%。

最后用混淆矩阵解释如何在真实实验里判定效果。假设有 100 个目标窗口和 100 个背景窗口，分类器用于判断“是否为目标流量”。未启用 chaff 时：

预测目标 预测背景
真实目标 TP = 90 FN = 10
真实背景 FP = 12 TN = 88

对应指标是：

Accuracy  = (TP + TN) / N = (90 + 88) / 200 = 89.0%
Precision = TP / (TP + FP) = 90 / 102 = 88.2%
Recall    = TP / (TP + FN) = 90 / 100 = 90.0%
F1        = 2PR / (P + R)  = 89.1%

如果启用 chaff 后，分类器更难识别目标，可能得到：

预测目标 预测背景
真实目标 TP = 62 FN = 38
真实背景 FP = 25 TN = 75 
Accuracy  = (62 + 75) / 200 = 68.5%
Precision = 62 / 87 = 71.3%
Recall    = 62 / 100 = 62.0%
F1        = 66.3%

这组数字不是当前线上系统的实测结果，而是说明实验设计应该怎样写。真正的验证应该比较开启和关闭 chaff 时的混淆矩阵、ROC-AUC、F1、JS divergence、额外带宽、CPU 占用和 p95 延迟。只有当分类指标明显下降，而用户侧成本仍可接受时，才能说这套策略在该数据集和该分类器上有效。

四、mld_chaffing_v2.py 的实际架构

当前 v2 原型不是一个 TCP payload 改写器，也不是透明代理。它的实际实现更克制：通过 Clash 兼容控制 API 读取实时上下行速率，当隧道进入低速空闲状态时，用本地代理发出小型 HTTP GET 或 HEAD 请求。

核心参数是可读的：

LOCAL_PROXY = "http://127.0.0.1:<local-proxy-port>"
CLASH_API_URL = "http://127.0.0.1:<controller-port>"
IDLE_THRESHOLD_BPS = 15360  # 15 KB/s

脚本用一个后台线程持续读取 /traffic 流式接口，把 current_down_bps 和 current_up_bps 更新为当前速率。主循环每 0.5 秒检查一次状态；如果上下行都低于 15 KB/s，就等待 0.1 到 0.3 秒的 jitter，再启动一个短线程发射微脉冲。

if current_down_bps < IDLE_THRESHOLD_BPS and current_up_bps < IDLE_THRESHOLD_BPS:
    time.sleep(random.uniform(0.1, 0.3))
    threading.Thread(target=fire_micro_pulse, daemon=True).start()

微脉冲不是固定大小的空包，而是带随机 query padding 的普通 Web 请求。当前实现使用 15 到 450 字符的随机 padding，并按 8:2 的权重混合 GET 和 HEAD。GET 请求只读取一个很小的响应块后关闭连接，目的是让观测层看到完整的“请求 + 小响应”轮廓，同时避免持续消耗带宽。

method = random.choices(["GET", "HEAD"], weights=[80, 20], k=1)[0]
padding = random_ascii(random.randint(15, 450))

if method == "GET":
    response = session.get(url_with_padding, timeout=5, stream=True)
    next(response.iter_content(chunk_size=1024), None)
    response.close()

工程上我更关心三点：第一，secret 不应该写死在源码里，应改成环境变量；第二，目标列表需要白名单化，避免对不合适的站点制造无意义请求；第三，日志默认应该脱敏，不能把本地代理、控制 API 或真实出口拓扑写进公开文件。

五、拓扑设计：连接层分流，而不是逐包重排

“虚幻镜”更适合放在连接层策略旁边，而不是做底层 packet-level 路由。逐包重排很容易带来乱序、重传、延迟抖动和调试困难；连接层分流则把一次连接完整交给一个出口，保持 TCP 语义稳定。

在双节点设计里，可以把主干出口和备用出口看作两个连接级目标：正常情况下优先走主干节点；当主干延迟、失败率或出口策略异常时，新连接切到备用节点。已经建立的连接不强行拆分，避免把一个应用会话拆成多个不可预测的路径。

这类设计的优点是：

  • 延迟更可控：不需要在客户端或服务端重组乱序包。
  • 故障边界清楚：一个出口异常时，只影响新连接调度。
  • 逃生机制简单：备用出口可以作为紧急路径，不参与常规高频切换。
  • 噪声策略独立：chaff 线程只负责空闲期扰动，不直接接管业务流。

这也是为什么我不会在公开文章里写真实节点地址、出口规则或完整代理配置。真正值得公开的是架构边界：连接层调度负责可用性，chaff 层负责统计扰动，二者不要互相耦合。

六、压力测试和性能取舍

这类防御一定有成本。即使每次微脉冲只读取 1 KB 响应，也会带来额外连接、DNS/TLS/HTTP 开销、Python 线程调度和内存分配。第一版 v2 的公开参数如下：

参数 当前值 意义
空闲阈值 15 KB/s 只在低速窗口触发，避免影响真实业务流
状态检查间隔 0.5 秒 在响应速度和 CPU 唤醒之间折中
jitter 0.1 – 0.3 秒 避免固定节拍形成新指纹
padding 长度 15 – 450 字符 扰动 URL 长度和请求尺寸
GET/HEAD 权重 80 / 20 混合请求形态，限制无效下载
GET 响应读取 约 1 KB 保留响应轮廓，但控制带宽损耗

更完整的压力测试应该记录 CPU 占用、常驻内存、线程峰值、每分钟微脉冲数量、失败重试次数、对真实下载和网页打开延迟的影响。当前文章不虚构尚未采集的跑分；配套资源里放了脱敏测试记录模板和分类器评估模板，后续跑完真实压测后可以直接补表。

如果要把原型推进到更高并发，工程方向会是：把线程模型改成 asyncio，对目标池做速率限制，所有 secret 改成环境变量，增加本地熔断器，并限制每分钟最大微脉冲数量。系统层面则关注文件描述符限制、连接跟踪容量、DNS 缓存和 Python 对象生命周期，而不是盲目增大发射频率。

七、总结：防御性混淆是长期工程，不是魔法开关

流量分析和防御性混淆会长期互相演进。分类器可以学习更复杂的时间序列特征，防御系统也可以加入更细粒度的噪声控制、连接层调度和异常反馈。真正稳健的系统不应该只依赖一个脚本，而应该把加密、可用性、出口健康检查、日志最小化、噪声预算和用户体验一起设计。

mld_chaffing_v2.py 的价值在于它把问题拆成了一个可以实验的最小系统：读取实时速率、判断空闲窗口、发射受控微脉冲、观察成本和收益。下一步更适合做成可复现实验：用固定输入流量、固定采样窗口和公开指标比较开启/关闭 chaff 前后的特征分布。

配套脱敏资源可以在 资源库 查看，包括架构说明和去除 secret 的代码片段。英文读者可以打开 英文版文章。

FAQ

这是不是在修改真实 TCP payload？

当前 v2 不是 payload 改写器。它不解密、不重写业务连接，而是在空闲窗口额外发出小型语义请求，改变外部可见的统计轮廓。

为什么不用纯随机字节？

纯随机字节本身也可能显得异常。当前实验选择接近普通 Web 行为的微脉冲，是为了让噪声更像正常客户端背景流量，而不是制造另一个稳定指纹。

这会不会影响速度？

会有额外开销，所以必须有空闲阈值、jitter、读取上限和熔断策略。任何 chaff 系统都应该先测量成本，再决定是否常驻启用。

内部链接

相关阅读

补基础 CIFAR-10 Tiny CNN 教程：用 C 语言实现小型卷积神经网络图像分类

用单文件 C 程序完成 CIFAR-10 小型 CNN 图像分类，讲解数据格式、网络结构、训练命令、loss、accuracy、常见错误和改进方向。

 继续下一篇 AI 安全威胁建模：用 NIST AML、MITRE ATLAS 和 OWASP 建立攻防地图

用 NIST Adversarial ML、MITRE ATLAS 和 OWASP LLM Top 10 建立 AI 安全威胁模型，覆盖资产、攻击面、证据和剩余风险。

 学习路线 AI 学习路线

按顺序阅读 AI 基础、机器学习、CNN、流量防御和 AI 安全内容。

 配套资源 资源库

下载文章配套代码、数据集、图示、模型文件和说明。

 专题页 学生 AI 项目

把手写数字、浏览器实验台和 CNN 项目串成作品集路线。

搜索问题

常见问题

这篇文章适合谁读？

这篇文章适合想用 进阶 难度理解“构建高熵流量防御：基于 Python 的连接层白噪声混淆与对抗性机器学习实践”的读者，预计阅读时间约 16 分钟，重点覆盖 Python, Traffic Analysis, Adversarial ML, Networking。

读完后下一步应该看什么？

推荐下一步阅读“AI 安全威胁建模：用 NIST AML、MITRE ATLAS 和 OWASP 建立攻防地图”，这样可以把当前知识点接到更完整的学习路线里。

这篇文章有没有可运行代码或配套资源？

有。页面里的运行说明、资源卡片和下载入口会指向复现实验所需的命令、数据、代码或说明文件。

这篇文章和整个网站的学习路线有什么关系？

它会通过文章上下文、学习路线、资源库和项目时间线连接到同一主题下的其他内容。

文章上下文

人工智能项目

从 AI、机器学习、训练评估、神经网络到 Python 小实战、手写数字识别、CIFAR-10 CNN、对抗性流量防御和 AI 安全攻防，按顺序建立基础。

难度: 进阶 阅读时间: 16 分钟
  • Python
  • Traffic Analysis
  • Adversarial ML
  • Networking

继续下一步

继续：AI 安全威胁建模
先补基础 打开资源
对应语言版本 Building High-Entropy Traffic Defenses: Python-Based Connection-Level Obfuscation and Adversarial ML Practices
可分享摘要 构建高熵流量防御：基于 Python 的连接层白噪声混淆与对抗性机器学习实践

以 mld_chaffing_v2.py 虚幻镜项目为例，讲解加密元数据泄漏、信息熵、分布距离、混淆矩阵、空闲窗口微脉冲和性能测试取舍。

打开分享中心

配套资源

发表回复

项目时间线

已发布文章

  1. 人工智能基础学习路线：先理解什么是 AI、机器学习和深度学习 面向有编程基础的读者，梳理 AI、机器学习、深度学习的关系，并给出可执行的人工智能基础学习路线。
  2. 机器学习完整流程：从数据、特征到模型预测 从工程视角拆解机器学习完整流程：定义问题、理解数据、处理特征、训练模型、预测和评估。
  3. 机器学习算法怎么选：分类、回归、聚类和推荐场景对照表 用任务类型、数据规模、解释性和部署成本选择机器学习算法，覆盖逻辑回归、决策树、随机森林、K-means 和表格数据基线模型。
  4. 特征工程入门实战：用 scikit-learn 处理缺失值、类别变量和数值标准化 用 scikit-learn Pipeline 和 ColumnTransformer 完成特征工程，处理缺失值、类别变量、数值标准化，并避免数据泄漏。
  5. 模型训练与评估入门：损失函数、过拟合和准确率怎么理解 讲清楚模型训练中的参数、损失函数、梯度下降、过拟合，以及准确率、召回率、F1 等分类评估指标。
  6. 过拟合和欠拟合怎么解决：机器学习模型调优实战指南 用训练分数和验证分数判断过拟合与欠拟合，并通过模型复杂度、正则化、交叉验证和特征工程调整机器学习模型。
  7. 神经网络基础：从感知机到多层网络 从一个神经元讲起，解释权重、偏置、激活函数、前向传播、反向传播和典型神经网络训练循环。
  8. Python 人工智能小实战：用 scikit-learn 完成一个分类任务 使用 scikit-learn 内置教学数据集跑通一个分类任务，覆盖数据加载、拆分、标准化、训练、预测、评估和实验记录。
  9. 手写数字识别项目入门：先读懂 train.csv、test.csv 和标签结构 从项目文件结构入手，读懂手写数字训练集、测试集、标签列和 784 维像素输入，为后续 C 分类器和实验台打基础。
  10. 用 C 实现手写数字 Softmax 分类器：从 784 维像素到 submission.csv 结合当前项目源码，讲清楚 softmax 多分类、损失函数、梯度更新、混淆矩阵输出，以及 submission.csv 的生成过程。
  11. 手写数字实验记录：怎么把离线分类项目接进浏览器实验台 解释浏览器实验台为什么采用轻量预训练模型、它和离线 C 项目的关系，以及如何用样本浏览和手绘输入理解预测结果。
  12. CIFAR-10 Tiny CNN 教程：用 C 语言实现小型卷积神经网络图像分类 用单文件 C 程序完成 CIFAR-10 小型 CNN 图像分类，讲解数据格式、网络结构、训练命令、loss、accuracy、常见错误和改进方向。
  13. 构建高熵流量防御：基于 Python 的连接层白噪声混淆与对抗性机器学习实践 以 mld_chaffing_v2.py 虚幻镜项目为例，讲解加密元数据泄漏、信息熵、分布距离、混淆矩阵、空闲窗口微脉冲和性能测试取舍。
  14. AI 安全威胁建模：用 NIST AML、MITRE ATLAS 和 OWASP 建立攻防地图 用 NIST Adversarial ML、MITRE ATLAS 和 OWASP LLM Top 10 建立 AI 安全威胁模型，覆盖资产、攻击面、证据和剩余风险。
  15. 对抗样本与鲁棒评估：从 FGSM 公式到 scikit-learn 数字分类实验 从 FGSM 公式解释对抗样本，用 scikit-learn digits toy 实验评估 clean accuracy、perturbed accuracy 和扰动预算。
  16. 数据投毒与后门攻击防御：污染率、触发器和训练管线隔离 用 toy digits 实验解释数据投毒、后门触发器、attack success rate、数据来源审计和训练管线隔离。
  17. 模型隐私与模型窃取风险：成员推断、模型抽取和输出接口防护 用本地 toy 实验解释成员推断、模型抽取、membership AUC、surrogate fidelity、输出最小化和查询治理。
  18. LLM/RAG/Agent 安全：Prompt Injection、工具权限和边界感知防护 从 RAG 和 Agent 架构解释 prompt injection、外部数据降权、工具 allowlist、人工审批和边界感知防护。
  19. 人工智能 NLP 基础：词袋模型与 TF-IDF 详解 介绍自然语言处理中最基础的文本表示方法：词袋模型（Bag of Words）与 TF-IDF，理解它们的工作原理及优缺点。
  20. 循环神经网络 (RNN) 基础：处理序列数据的记忆力 理解 RNN 的核心思想、隐藏状态的作用，以及它在处理自然语言序列任务时的优势与挑战。
  21. Transformer 与自注意力机制：AI 领域的革命性突破 深入浅出地讲解 Transformer 架构的核心：自注意力机制（Self-Attention）及其运作方式。
  22. 用 C 从零实现 CIFAR-10 Tiny CNN：卷积、池化和反向传播 基于实际 cifar10_tiny_cnn.c 项目，讲解 CIFAR-10 数据格式、3x3 卷积、ReLU、最大池化、全连接层、softmax、反向传播和本地运行方式。

已公开资源

  1. Python AI 小实战代码说明 文章内包含可直接复制运行的 scikit-learn 分类脚本。
  2. digit_softmax_classifier.c 手写数字 softmax 分类器的 C 语言源码。
  3. train.csv.zip 手写数字训练集压缩包，包含 42000 条带标签样本。
  4. test.csv.zip 手写数字测试集压缩包，包含 28000 条待预测样本。
  5. sample_submission.csv 官方提交格式示例，可直接对照最终输出字段。
  6. submission.csv 当前 C 项目跑出的预测结果文件。
  7. digit-playground-model.json 浏览器实验台使用的轻量 softmax 演示模型与样本。
  8. digit-sample-grid.svg 从训练集中抽取的小型手写数字预览网格。
  9. 手写数字项目打包下载 包含源码、压缩数据、提交文件、浏览器模型和样本预览图。
  10. cifar10_tiny_cnn.c 源码 单文件 C 语言 tiny CNN，包含 CIFAR-10 读取、卷积、池化、softmax 和反向传播。
  11. model_weights.bin 样例权重 一次本地小样本运行生成的模型权重文件。
  12. test_predictions.csv 预测样例 CIFAR-10 tiny CNN 输出的测试预测样例。
  13. CNN 项目说明 PDF 配套 CNN 项目说明材料。
  14. 虚幻镜脱敏代码骨架 去除控制口令、真实节点和目标列表后的 mld_chaffing_v2.py 控制流程说明。
  15. 虚幻镜压力测试记录模板 用于记录 CPU、内存、线程峰值、微脉冲速率、延迟和错误数的脱敏 CSV 模板。
  16. 虚幻镜分类器评估模板 用于记录 TP、FN、FP、TN、accuracy、precision、recall、F1、ROC-AUC、熵和 JS 散度的 CSV 模板。
  17. 虚幻镜资源说明 说明公开资源为何只提供脱敏代码、测试模板和架构笔记。
  18. AI Security Lab 说明 说明 AI 安全攻防系列的安全边界、安装命令和 quick-run 实验。
  19. AI Security Lab 完整实验包 包含安全 toy scripts、结果 CSV、风险登记表、攻防矩阵和架构图。
  20. AI 安全风险登记表 面向 AI 威胁建模和上线评审的 CSV 风险登记模板。
  21. AI 攻防矩阵 把攻击面、toy demo、指标和防护控制映射到一张 CSV 表。
  22. AI Security Lab 架构图 展示威胁建模、鲁棒评估、数据完整性、模型隐私和 RAG 防护之间的关系。
  23. FGSM digits 鲁棒评估脚本 本地 digits 分类器的 FGSM-style 扰动和准确率下降实验。
  24. 数据投毒与后门 toy 脚本 用 digits 数据演示污染率、触发器和 attack success rate。
  25. 模型隐私与抽取 toy 脚本 输出 membership AUC、target accuracy、surrogate fidelity 和 surrogate accuracy。
  26. RAG prompt injection guard toy 脚本 用确定性 toy agent 演示外部数据降权和工具权限阻断。
  27. 深度学习专题分享图 用于分享深度学习 / CNN 专题页的 1200x630 SVG 图。
  28. 从零实现机器学习分享图 用于分享 K-means、Iris 和机器学习流程专题页的 1200x630 SVG 图。
  29. 学生 AI 项目分享图 用于分享手写数字、C 分类器和浏览器实验台专题页的 1200x630 SVG 图。
  30. CNN 卷积扫描动画 Remotion 生成的 8 秒短动画，展示 3x3 卷积核如何扫描输入并形成特征图。

当前学习路线

  1. 人工智能基础学习路线 学习路线节点
  2. 机器学习完整流程 学习路线节点
  3. 机器学习算法怎么选 学习路线节点
  4. 特征工程入门实战 学习路线节点
  5. 模型训练与评估入门 学习路线节点
  6. 过拟合和欠拟合怎么解决 学习路线节点
  7. 神经网络基础 学习路线节点
  8. Transformer 自注意力机制 学习路线节点
  9. LLM 可视化教学台 学习路线节点
  10. Python 人工智能小实战 学习路线节点
  11. 手写数字数据结构入门 学习路线节点
  12. 用 C 实现手写数字 Softmax 分类器 学习路线节点
  13. 手写数字实验台说明 学习路线节点
  14. CIFAR-10 Tiny CNN 教程 学习路线节点
  15. 高熵流量防御实验 学习路线节点
  16. AI 安全威胁建模 学习路线节点
  17. 对抗样本与鲁棒评估 学习路线节点
  18. 数据投毒与后门防御 学习路线节点
  19. 模型隐私与模型抽取防护 学习路线节点
  20. LLM/RAG/Agent 安全 学习路线节点

下一步计划

  1. 补充更多图像分类和误差分析案例
  2. 把常见指标整理成速查表
  3. 继续补充 AI 安全防御实验记录