[論文レビュー] Geometry-Aware Generation of Adversarial Point Clouds

Yuxin Wen, Jiehong Lin+3 more|arXiv (Cornell University)|Dec 24, 2019

3D Shape Modeling and Analysis被引用数 10

ひとこと要約

本稿では、表面の滑らかさと均一性を促進する幾何学的注意の正則化項を組み合わせた、3D点群向けの幾何学的注意のあり方の敵対的攻撃手法GeoA³を提案する。この手法は、ターゲット分類誤りを誘導する損失関数と組み合わせることで、人間が認識しにくい、滑らかで防御に強い敵対的点群を生成する。生成された敵対的点群は、合成的および物理的攻撃評価の両方で、先行研究を上回る性能を示し、より現実的で防御に強いものとなっている。

ABSTRACT

Machine learning models have been shown to be vulnerable to adversarial examples. While most of the existing methods for adversarial attack and defense work on the 2D image domain, a few recent attempts have been made to extend them to 3D point cloud data. However, adversarial results obtained by these methods typically contain point outliers, which are both noticeable and easy to defend against using the simple techniques of outlier removal. Motivated by the different mechanisms by which humans perceive 2D images and 3D shapes, in this paper we propose the new design of \emph{geometry-aware objectives}, whose solutions favor (the discrete versions of) the desired surface properties of smoothness and fairness. To generate adversarial point clouds, we use a targeted attack misclassification loss that supports continuous pursuit of increasingly malicious signals. Regularizing the targeted attack loss with our proposed geometry-aware objectives results in our proposed method, Geometry-Aware Adversarial Attack ($GeoA^3$). The results of $GeoA^3$ tend to be more harmful, arguably harder to defend against, and of the key adversarial characterization of being imperceptible to humans. While the main focus of this paper is to learn to generate adversarial point clouds, we also present a simple but effective algorithm termed $Geo_{+}A^3$-IterNormPro, with Iterative Normal Projection (IterNorPro) that solves a new objective function $Geo_{+}A^3$, towards surface-level adversarial attacks via generation of adversarial point clouds. We quantitatively evaluate our methods on both synthetic and physical objects in terms of attack success rate and geometric regularity. For a qualitative evaluation, we conduct subjective studies by collecting human preferences from Amazon Mechanical Turk. Comparative results in comprehensive experiments confirm the advantages of our proposed methods.

研究の動機と目的

• 既存の3D敵対的攻撃手法が生じる顕著な点の外れ値の問題を解決すること。
• 2D画像とは根本的に異なる3D形状の認識における人間の知覚をモデル化することで、敵対的点群の不自然さを低減すること。
• 表面の滑らかさと均一性という幾何的性質を保持する敵対的点群を生成することで、より現実的で検知しにくいものにすること。
• 再サンプリングや物理的3Dプリント後でも効果的な表面レベルの敵対的攻撃を実現する手法を開発すること。
• 生成された点群における表面レベルの敵対的効果を強化する新しい最適化フレームワーク、Geo⁺A³-IterNormProを提案すること。

提案手法

• 良性点群と敵対的点群の間で局所的な表面の曲率が一貫するよう促進する、新しい幾何学的注意の正則化項を提案する。
• ターゲット分類誤り損失と幾何学的注意の正則化項を組み合わせ、敵対的点群の生成をガイドする。
• 表面の滑らかさと均一性を明示的に促進する、$Geo_{+}A^{3}$ 目的関数を導入する。
• 反復的法線投影（IterNormPro）を用いて新しい目的関数を解き、表面レベルの敵対的効果を保持する $Geo_{+}A^{3}$-IterNormPro アルゴリズムを開発する。
• メッシュ再構築（Points2Surf）および再サンプリングまたは3Dプリントを用いて、敵対的表面の物理的実現可能性と耐性を評価する。
• スキャンされたプリント物体を含む、合成的および物理的評価パイプラインを併用し、物理的変換後の攻撃成功率を検証する。

実験結果

リサーチクエスチョン

• RQ1 滑らかさや均一性といった幾何的表面特性を組み込むことで、敵対的点群の不自然さを低減できるか？
• RQ2 幾何学的注意の目的関数で敵対的生成を正則化することで、単純な外れ値除去防御に対する耐性が向上するか？
• RQ3 提案手法は、メッシュ再構築や再サンプリング後でも攻撃効果を維持できる敵対的点群を生成できるか？
• RQ4 3Dプリントやスキャンを含む物理世界における敵対的攻撃において、提案手法は有効か？
• RQ5 新しい目的関数 $Geo_{+}A^{3}$ は、先行手法と比較して、より優れた表面レベルの敵対的効果をもたらすか？

主な発見

• GeoA³は、PointNet、PointNet++、DGCNNモデルにおいて、特に物理的攻撃設定下でベースライン手法よりも高い攻撃成功率を達成した。
• 物理的評価では、15体中11体のプリント済み・スキャン済みの敵対的オブジェクトがPointNet分類器を正しく攻撃に成功し、物理的変換に対する耐性を確認した。
• 提案された $Geo_{+}A^{3}$-IterNormPro 法は、全テストモデルにおいて、Tsaiら[34]と比較して攻撃成功率と幾何的規則性の両面で優れた性能を示した。
• Amazon Mechanical Turkによる主観的評価では、GeoA³が生成した敵対的点群は、先行手法のものよりも自然に感じられ、ノイズが少ないとの評価が得られた。
• 図8および図9における視覚的およびメッシュ品質分析から、GeoA³が生成した敵対的点群は、顕著な表面の不規則性や外れ値が著しく少ないことが示された。
• 幾何的表面特性を敵対的生成に組み込むことで、より現実的で検知しにくい敵対的例が得られることを示した。