[論文レビュー] A Backdoor Attack against 3D Point Cloud Classifiers

Zhen Xiang, David J. Miller+3 more|arXiv (Cornell University)|Apr 12, 2021

Adversarial Robustness in Machine Learning参考文献 55被引用数 6

ひとこと要約

本稿では、3次元点群分類器に対する背後攻撃の初の提案を行う。小さな最適化された点クラスタを背後パターンとして埋め込むことで、耐性のある背後攻撃を実現した。攻撃は最小87%の成功率を達成し、最新の点群異常検出器や前処理手法に対しても効果を示し、点の挿入数を最小限に抑えつつ、被害者モデルのアーキテクチャや重みにアクセスせずに効果を発揮する。

ABSTRACT

Vulnerability of 3D point cloud (PC) classifiers has become a grave concern due to the popularity of 3D sensors in safety-critical applications. Existing adversarial attacks against 3D PC classifiers are all test-time evasion (TTE) attacks that aim to induce test-time misclassifications using knowledge of the classifier. But since the victim classifier is usually not accessible to the attacker, the threat is largely diminished in practice, as PC TTEs typically have poor transferability. Here, we propose the first backdoor attack (BA) against PC classifiers. Originally proposed for images, BAs poison the victim classifier's training set so that the classifier learns to decide to the attacker's target class whenever the attacker's backdoor pattern is present in a given input sample. Significantly, BAs do not require knowledge of the victim classifier. Different from image BAs, we propose to insert a cluster of points into a PC as a robust backdoor pattern customized for 3D PCs. Such clusters are also consistent with a physical attack (i.e., with a captured object in a scene). We optimize the cluster's location using an independently trained surrogate classifier and choose the cluster's local geometry to evade possible PC preprocessing and PC anomaly detectors (ADs). Experimentally, our BA achieves a uniformly high success rate (> 87%) and shows evasiveness against state-of-the-art PC ADs.

研究の動機と目的

• 自動運転などの安全が求められる応用分野における3次元点群分類器がデータ汚染攻撃に対して脆弱であるという問題に取り組む。
• 既存のテスト時回避攻撃の限界を克服する。これらの攻撃は被害者モデルの知識を必要とし、転送性が低い。
• ピxlsが存在せず、特徴抽出の面で2次元画像とは根本的に異なる点群の幾何的性質に適合した、3次元点群向けの背後パターンを設計する。
• 一般的な点群前処理（例：ランダムサンプリング）や異常検出器に対して、背後攻撃が耐性を持つことを保証する。
• 攻撃効果を最大化するために、背後クラスタの空間的位置と局所的幾何構造を最適化する手法を開発する。

提案手法

• 3次元点群分類器に特化した新しい背後パターンとして、『背後点』—すなわち、小さな点クラスタを3次元点群に挿入する—を提案する。
• 攻撃者が別途訓練した代替分類器を用いて、背後クラスタの空間的位置を最適化し、被害者モデルが学習可能であることを保証する。
• 周囲の点群と一致するように、背後クラスタの局所的幾何構造（例：密度や分布）を最適化し、異常検出器による検出を回避する。
• 訓練セット内のすべてのソースクラス点群から背後クラスタまでの平均距離を最小化する目的関数を用いて、空間的位置の最適化を統合する。
• 訓練中に、清浄なソースクラスサンプルに最適化された背後クラスタを追加し、ターゲットクラスに再ラベル付けすることで、被害者のデータセットを汚染する。
• 点サブサンプリングや異常検出メカニズムを含む、さまざまな前処理条件でのテストを通じて、耐性を確保する。

実験結果

リサーチクエスチョン

• RQ1 ピxlsが存在せず、点群の幾何的性質が特徴抽出において根本的に異なることから、3次元点群分類器に対して背後攻撃を効果的に設計できるか。
• RQ2 3次元DNNが学習可能であり、一般的な点群前処理や異常検出に耐性を持つ背後パターンをどのように構築できるか。
• RQ3 背後クラスタの空間的位置と局所的幾何構造が、攻撃成功率と回避能力に与える影響は何か。
• RQ4 空間最適化パrameter ε の選択が、背後攻撃の学習可能性とデータサンプリングに対する耐性のトレードオフに与える影響は何か。
• RQ5 点群異常検出器などの実世界の防御を設けた場合、提案された背後攻撃がどの程度高い成功率を維持できるか。

主な発見

• 提案された背後攻撃は、評価されたすべての設定で最小89%の成功率を達成し、わずか5点の挿入でも有効である。
• 点異常検出器が導入されている場合でも、15点以上の背後点が挿入されていれば、検出器が3点未満のクラスタを削除する傾向にかかわらず、80%以上の成功率を維持する。
• 点サブサンプリングの下でも攻撃は有効であり、背後点が5点のみの場合、ランダムな削除により成功率が約50%低下するが、依然として効果的である。
• パrameter ε が大きくなるほど、背後クラスタの最適な空間的位置は、注目対象から離れるが、大きな ε 値はバウンディングボックスのクリッピングにより、背後クラスタが最終的な点群から除外されるリスクを伴う。
• ε = 0.005 の場合、背後クラスタは物体に非常に近接して配置され、高いスパイアシーと耐性を実現しながら89%の成功率を達成する。
• 背後クラスタの局所的幾何構造の最適化により、前処理や検出に対する耐性が著しく向上し、複数の防御メカニズムにおいて一貫した性能を示した。