引言
深度学习系统被广泛应用于各种对安全性要求极高的领域，比如生物特征识别、异常检测以及内容审核（Laishram, Shaheryar, Lee, Jung, 2025；Priyanka, Mala, 2026；Stettler, Lappe, Giese, 2025），但它们仍然容易受到对抗性攻击的影响（Braun, Cohen, Rokach, 2025；Wang, Sun, Li, Yuan, Ni, Hossain, Poor, 2023）。这种脆弱性使得算法的鲁棒性与实际的安全需求之间存在巨大差距。同时，这也引出了一个在对抗性学习中很少被探讨的决策问题：防御方必须在各种运营限制条件下选择合适的防御策略，而攻击方则会根据防御方的策略调整自己的攻击方式。
目前大多数研究都是通过提升某种特定攻击方法的成功率来评估攻击效果（Pelekis等人，2025）。虽然这种方法有助于进行性能对比，但它往往将攻击和防御视为相互独立的进程，因而忽视了二者之间的制约关系以及战略上的互动。此外，这类研究也无法体现理性攻击者会如何根据防御方的选择调整自己的攻击策略，或者攻击者为何不采用单一攻击方法而是结合多种攻击手段（QIA，2026）。而且，更强大的攻击和防御方案通常需要通过复杂的计算机制来实现，但这些方案的成本与收益却很少被量化分析（Feng, Fan和Sun，2026）。从实际部署的角度来看，这种差距更为明显。在真实的安保系统中，系统的对抗鲁棒性是由算法的有效性、攻击者与防御者之间的战略依赖关系、信息不对称以及运营成本共同决定的。关于动态目标防御的博弈论研究表明，有效的防御需要在攻击者与防御者的相互依赖关系以及成本约束下选择合理的策略（Tan等人，2023）。最近的蜜罐防御研究则进一步强调了在攻击者与防御者互动不确定的情况下需要选择适应性强的策略（Tan等人，2025）。然而，这些研究主要聚焦于网络防御场景，而对抗性学习领域至今仍缺乏一个统一的框架，用于分析适应性攻击策略、防御部署、信息限制以及经济因素是如何共同影响系统的鲁棒性的。
在已部署的安保系统中，防御方通常会长期使用某一配置，而攻击方则可以在探测系统后调整自己的攻击策略。因此，关键问题并非哪种攻击方法单独来看最强大，而是在战略互动背景下，哪些攻击与防御策略才是最具经济合理性的。我们通过为攻击选项设定一个初始分布，并限定攻击者偏离该初始分布的程度——即信息预算，来建模攻击者的适应性。这样的设计既考虑了现实中攻击者适应能力的限制，又保持了理性响应的理论基础。
从这个视角出发，Kullback–Leibler（KL）鲁棒的Stackelberg经济风险分析模型（KLEAR）旨在确定：当攻击者在KL散度预算的限制下采取最优反应时，防御方应该选择哪种防御配置（Cui等人，2024）。我们将这种互动关系建模为一个Stackelberg博弈（Lin, Tian, Lan, Zhao, Wei, 2025；Merkle, Samsinger, Sch?ttle, Pevny, 2024），其中防御方作为领导者，攻击方作为追随者，通过选择KL鲁棒的最优混合策略来做出反应。这个Stackelberg博弈的解具有清晰的经济学意义：对于任何固定的防御配置，攻击方都会在初始分布的KL邻域内选择最优的混合响应，以此最大化自身的预期收益，这可以被看作是对各种攻击选项的信息论融合处理。预见到攻击方的这种反应，防御方会选择能够使其预期损失最小的配置，最终形成的均衡状态是由对抗激励、信息限制以及战略承诺共同决定的。
我们在多种攻击场景下应用KLEAR模型，并研究了在不同游戏参数条件下的均衡结果。研究结果揭示了不同的策略状态转换规律，展示了信息预算与攻击发生频率是如何共同影响攻击者构成、防御方部署策略以及有限期内的经济权衡的。此外，KLEAR还提供了一个通用框架，能够整合多种攻击和防御选项，便于在统一的博弈论与经济学模型中进行比较分析。其主要贡献如下。
1) 为对抗性学习提供了信息论层面的安全博弈模型。我们将对抗行为建模为具有明确KL信息预算的顺序型领导者-追随者Stackelberg博弈中的资源分配问题。
2) 提出了具有融合解释的KL鲁棒最优响应的封闭形式解。我们推导出了攻击方的KL鲁棒响应的封闭形式表达式，并将得到的混合策略解释为对各种攻击选项的信息约束下的融合权重。
3) 考虑了有限请求量条件下的成本-收益分析。我们将固定的准备成本以及每次请求带来的收益和损失纳入有限期目标函数中，从而可以对防御部署的投入回报及盈亏平衡点进行分析。
4) 进行了场景模拟与相图分析。我们绘制了不同策略状态转换的相图，并在多种攻击场景下应用该模型，分析了不同参数条件下的战略结果。
