[論文レビュー] Adversarial shape perturbations on 3D point clouds

Daniel Liu, Ronald Yu+1 more|arXiv (Cornell University)|Aug 16, 2019

Adversarial Robustness in Machine Learning参考文献 38被引用数 5

ひとこと要約

本稿では、点のずれだけでなく物体形状の変形によって3次元点群を敵対的に摂動させる3つの新しい形状攻撃を紹介している。これらの攻撃は、従来の点削除防御を効果的に回避できることを示しており、PointNet++において最大99.6%の高い成功率を達成している。点をランダムに、外れ値として、または顕著な点として削除する防御が施された状況でも同様に有効である。これは3次元ディープラーニングの耐性に深刻な脆弱性を露呈している。

ABSTRACT

The importance of training robust neural network grows as 3D data is increasingly utilized in deep learning for vision tasks in robotics, drone control, and autonomous driving. One commonly used 3D data type is 3D point clouds, which describe shape information. We examine the problem of creating robust models from the perspective of the attacker, which is necessary in understanding how 3D neural networks can be exploited. We explore two categories of attacks: distributional attacks that involve imperceptible perturbations to the distribution of points, and shape attacks that involve deforming the shape represented by a point cloud. We explore three possible shape attacks for attacking 3D point cloud classification and show that some of them are able to be effective even against preprocessing steps, like the previously proposed point-removal defenses.

研究の動機と目的

• 従来の分布変動摂動を超えた形状ベースの敵対的攻撃に対する3次元点群分類器の脆弱性を調査すること。
• 現実的な前処理防御に対して効果を発揮するように、3次元オブジェクトの幾何的構造を変更する新たな敵対的攻撃手法を開発すること。
• 特に点削除技術を含む既存の防御の、形状に注意を向けた敵対的例に対する耐性を評価すること。
• 形状攻撃が、知覚的に不明瞭な分布変動攻撃に対して効果的な防御を回避できることを示すこと。
• 現在の防御メカニズムの限界を明らかにすることで、より頑健な3次元ディープラーニングモデルの設計に寄与すること。

提案手法

• 3次元点群の表面を点の再配置によって変形することで、物体の幾何的構造を変化させつつも意味的妥当性を保つ新しい3つの形状攻撃を提案。
• 3次元ニューラルネットワーク（例：PointNet、PointNet++、DGCNN）の分類損失を最大化するように、反復的勾配ベース最適化を用いる。この際、形状変形の制約を課す。
• 点の再サンプリング数や摂動点数を変化させることで、形状攻撃と分布変動攻撃のブレンド戦略を採用し、耐性のトレードオフを調査。
• ランダム点削除、外れ値削除、顕著点削除などのさまざまな防御機構を用いて攻撃を評価し、耐性を検証。
• 点削除防御に対する耐性を模擬するため、反復ごとに524点をランダムにドロップする修正版反復的勾配攻撃を適用。
• 標準的な3次元点群データセットと標準アーキテクチャを用いて攻撃を検証し、さまざまな摂動の大きさ（ε）と防御設定における成功率を測定。

実験結果

リサーチクエスチョン

• RQ1 点削除防御が施された状況でも、形状ベースの敵対的攻撃が3次元点群分類器を効果的にだますことができるか？
• RQ2 点削除防御下において、形状攻撃の成功率は分布変動攻撃と比べてどうか？
• RQ3 ランダム点、外れ値、顕著点の削除といった既存の防御は、幾何的形状摂動に対してどの程度効果を発揮するか？
• RQ4 摂動の大きさ（ε）が、形状攻撃の知覚可能性と成功率に与える影響はどの程度か？
• RQ5 攻撃プロセス中にランダムに点をドロップすることで、点削除防御に対する耐性が向上するか？

主な発見

• 反復的勾配$L_2$攻撃は、防御なしの状況でPointNetでは99.7%、PointNet++では100.0%の成功率を達成。点削除が施された状況では成功率が低下したが、依然として高い水準を維持。
• 摂動＋再サンプリング形状攻撃は、ε=3の条件下でPointNetでは98.7%、PointNet++では99.6%の成功率を達成。顕著点削除防御が施された状況でも同様に高い性能を示した。
• 顕著点削除防御に対して、摂動＋再サンプリング攻撃はPointNet++で92.3%の成功率を維持。これはベースライン攻撃よりも顕著に高い水準であった。
• 反復ごとに524点をランダムにドロップすることで、防御付きPointNetにおける反復的勾配$L_2$攻撃の成功率は98.6%から98.5%に低下したが、PointNet++やDGCNNにはほとんど影響がなかった。
• 知覚可能性と耐性のトレードオフが明らかになった。形状攻撃は大きな変形に比べて知覚的に不明瞭であるが、点削除防御に対して分布変動攻撃よりも効果的である。
• 結果から、点削除防御は物体の幾何的構造を変更する形状攻撃に対しては効果を発揮しないことが示され、現在の防御戦略に深刻なギャップがあることが明らかになった。