刘奇旭，王君楠，尹捷，陈艳辉，刘嘉熹

（1.中国科学院信息工程研究所，北京 100093；2.中国科学院大学网络空间安全学院，北京 100049）

1 引言

网络入侵检测系统（NIDS,network intrusion detection system）是一种主动安全防护技术，通过实时监视网络流量，并与已知的攻击库进行匹配[1]，从而快速感知被监控网络中违背安全策略、危及系统安全的行为，是保障网络安全的重要手段。

黑客攻击手段的不断升级及网络数据的大规模增长，让传统基于规则的检测方法难以为继，系统占用资源过多、对未知攻击检测能力差、需要人工干预等缺点日益突出[2]。随着人工智能的蓬勃发展，基于机器学习（ML,machine learning）的异常检测逐渐成为主流NIDS 方案[3]。ML 算法的高速运算能力能够有效应对大规模网络流量，且ML 模型应对分类问题具有天然优势，其出色的泛化能力可使NIDS 具备一定检测未知恶意流量的能力。

机器学习作为一个复杂的计算系统，同样面临着安全性考验。2014 年，Szegedy 等[4]首次提出了对抗样本概念，发现可以通过在原始样本中加入精心构造的微小扰动从而误导ML 模型，并将这种形式的攻击命名为对抗攻击。随后Papernot 等[5]发现对抗样本具有在不同ML 模型之间迁移的特性。这一发现揭露了ML 技术在安全方面的极大缺陷，从而使人们更加谨慎看待ML 算法在其他领域的应用。2017年，Kurakin 等[6]用手机相机拍摄生成的洗衣机对抗样本照片，成功误导了TensorFlow Camera Demo 应用。2018 年，Alzantot[7]通过变动少量词汇成功攻击了情感分析和文本蕴含模型。2019 年，Qin 等[8]构造了人耳无法辨别的音频对抗样本。……