[論文レビュー] Extending Adversarial Attacks and Defenses to Deep 3D Point Cloud Classifiers

Daniel Liu, Ronald Yu+1 more|arXiv (Cornell University)|Jan 10, 2019

Adversarial Robustness in Machine Learning参考文献 28被引用数 18

ひとこと要約

本稿では、3次元点群分類器における敵対的ロバスト性を調査し、2次元画像ベースの敵対的攻撃（例：FGSM や反復勾配法）を PointNet や PointNet++ を用いて3次元点群に拡張している。これらのモデルが目に見えない摂動に対して脆弱であることを示している一方で、点群の幾何的・トポロジカルな性質を活用する構造に配慮した防御（例：外れ値除去や顕著点フィルタリング）により、より容易に防御可能であることも示している。

ABSTRACT

3D object classification and segmentation using deep neural networks has been extremely successful. As the problem of identifying 3D objects has many safety-critical applications, the neural networks have to be robust against adversarial changes to the input data set. There is a growing body of research on generating human-imperceptible adversarial attacks and defenses against them in the 2D image classification domain. However, 3D objects have various differences with 2D images, and this specific domain has not been rigorously studied so far. We present a preliminary evaluation of adversarial attacks on deep 3D point cloud classifiers, namely PointNet and PointNet++, by evaluating both white-box and black-box adversarial attacks that were proposed for 2D images and extending those attacks to reduce the perceptibility of the perturbations in 3D space. We also show the high effectiveness of simple defenses against those attacks by proposing new defenses that exploit the unique structure of 3D point clouds. Finally, we attempt to explain the effectiveness of the defenses through the intrinsic structures of both the point clouds and the neural network architectures. Overall, we find that networks that process 3D point cloud data are weak to adversarial attacks, but they are also more easily defensible compared to 2D image classifiers. Our investigation will provide the groundwork for future studies on improving the robustness of deep neural networks that handle 3D data.

研究の動機と目的

• PointNet や PointNet++ などの3次元点群分類器が、敵対的攻撃に対してどれほど脆弱であるかを調査すること。
• 既存の2次元敵対的攻撃手法（例：FGSM や反復勾配攻撃）を3次元点群データに拡張すること。
• 異なる3次元点群モデル間でのブラックボックス転送攻撃の有効性を評価すること。
• 点群の幾何的・トポロジカルな性質を活用するシンプルな構造に配慮した防御を提案・分析すること。
• 3次元点群分類器が2次元画像分類器と比較して、なぜ本質的に敵対的例に対してよりロバストである可能性があるかを理解すること。

提案手法

• 点群座標に対する勾配を計算し、$L_2$ または $L_\infty$ ノルムで摂動を適用することで、3次元点群に白ボックス敵対的攻撃（例：FGSM や反復勾配）を適応した。
• 攻撃者がモデルのパラメータにアクセスできない状況を想定し、あるモデルで生成した敵対的例を別のモデルに適用するブラックボックス転送攻撃を拡張し、アーキテクチャ間での転送性を評価した。
• 外れ値除去、顕著点フィルタリング、敵対的訓練を含む防御を提案し、ロバスト性を向上させた。
• PointNet や PointNet++ におけるマックスプーリングを用いて、特定の点が勾配に基づく攻撃から隠れるようにし、摂動の効果を低下させた。
• 攻撃の成功確率を、クリーンな点群と事前処理済み点群の両方で測定し、知覚可能性とロバスト性を評価することで防御の有効性を評価した。
• 点群の内在的な幾何的構造と、マックスプーリングが防御能力を高める役割を分析した。

実験結果

リサーチクエスチョン

• RQ1 PointNet や PointNet++ などの3次元点群分類器は、2次元画像設定から拡張された敵対的攻撃に対して、どの程度脆弱であるか？
• RQ2 攻撃者がモデルのパrameterにアクセスできない状況下で、ブラックボックス転送攻撃は3次元点群分類器をどれほど効果的にだますことができるか？
• RQ3 外れ値や顕著点の除去といったシンプルな構造に配慮した防御は、敵対的摂動に対して著しくロバスト性を向上させることができるか？
• RQ4 勾配ベースの攻撃に対して同程度脆弱であるにもかかわらず、なぜ3次元点群分類器は2次元画像分類器よりも容易に防御可能であるのか？
• RQ5 PointNet におけるマックスプーリングのようなアーキテクチャ的要素は、敵対的ロバスト性にどのように寄与するのか？

主な発見

• FGSM や反復勾配法などの白ボックス敵対的攻撃は、目に見えない摂動で最小限の変更で3次元点群を誤分類するのに成功した。
• ブラックボックス転送攻撃の結果、ある3次元モデル（例：PointNet）で生成した敵対的例が、別のモデル（例：PointNet++）を効果的にだますことができ、3次元空間における転送性が確認された。
• 敵対的訓練は著しくロバスト性を向上させ、敵対的に訓練された PointNet は通常訓練されたモデルからの攻撃に対しても耐性を示した。
• 外れ値除去と顕著点フィルタリングは、入力データを意思決定境界から遠ざけ、局所的な点群構造を回復させることで、敵対的攻撃の成功率を低下させた。
• PointNet や PointNet++ におけるマックスプーリングは、特定の点が勾配を受けることがなく、結果として直接摂動を加えられなくなるため、勾配ベースの攻撃から隠れる役割を果たした。
• クリーンな点群に内在する幾何的事前知識、マックスプーリング、および点フィルタリングの組み合わせにより、3次元点群分類器は2次元画像分類器と比較して、より防御可能であることが示された。