[論文レビュー] Imperceptible Transfer Attack and Defense on 3D Point Cloud Classification

Daizong Liu, Wei Hu|arXiv (Cornell University)|Nov 22, 2021

Adversarial Robustness in Machine Learning被引用数 7

ひとこと要約

本稿は、局所的な法線ベクトルに沿って点を摂動させ、敵対的変換モデルを用いて一般化性能を向上させることで、見えにくさと転送性を両立する3次元点群分類の見えない転送攻撃（ITA）を提案する。防御戦略では潜在空間における類似性制約を導入し、白ボックスおよびブラックボックス攻撃に対して顕著な耐性を向上させる。

ABSTRACT

Although many efforts have been made into attack and defense on the 2D image domain in recent years, few methods explore the vulnerability of 3D models. Existing 3D attackers generally perform point-wise perturbation over point clouds, resulting in deformed structures or outliers, which is easily perceivable by humans. Moreover, their adversarial examples are generated under the white-box setting, which frequently suffers from low success rates when transferred to attack remote black-box models. In this paper, we study 3D point cloud attacks from two new and challenging perspectives by proposing a novel Imperceptible Transfer Attack (ITA): 1) Imperceptibility: we constrain the perturbation direction of each point along its normal vector of the neighborhood surface, leading to generated examples with similar geometric properties and thus enhancing the imperceptibility. 2) Transferability: we develop an adversarial transformation model to generate the most harmful distortions and enforce the adversarial examples to resist it, improving their transferability to unknown black-box models. Further, we propose to train more robust black-box 3D models to defend against such ITA attacks by learning more discriminative point cloud representations. Extensive evaluations demonstrate that our ITA attack is more imperceptible and transferable than state-of-the-arts and validate the superiority of our defense strategy.

研究の動機と目的

• 幾何構造を保持し、複数モデルに一般化する耐障害性があり、見えにくい3次元点群攻撃の不足を解消すること。
• 顕著な歪み（例：外れ値、不均一な分布）を生じさせ、転送性が低い既存のホワイトボックス攻撃の限界を克服すること。
• 判別的な潜在表現を学習することで、見えにくい転送可能な敵対的攻撃に対して耐性を高める防御メカニズムを開発すること。
• 攻撃生成時に構造的歪みに対して耐性を持つように制約を課すことにより、敵対的例のブラックボックスモデルへの一般化を向上させること。
• 法線に基づく摂動によって幾何的文脈を保持することで、見えにくさと転送性の両方が向上することを示すこと。

提案手法

• 局所的な表面近傍の法線方向に点の摂動を制限することで、幾何的一致性を維持し、見えにくさを低減する。
• 有害な構造的歪みを生成する敵対的変換モデルを導入し、敵対的例がそれらに耐性を持つようにすることで、転送性を向上させる。
• クラス内コンパクト性とクラス間分離性の両方を潜在特徴空間に追加の類似性制約として組み込んだ防御戦略を設計する。
• 主成分分析（PCA）を用いて潜在特徴の分布を可視化し、提案された防御が敵対的特徴をクリーンクラスタに再接近させることを示す。
• ターゲット損失を用いた勾配誘導最適化を適用し、未知のブラックボックス環境下でも効果を保つ敵対的例を生成する。
• クリーン点群と敵対的点群の両方を用いて防御モデルを訓練し、潜在空間におけるクラス内類似性とクラス間相違性を強制する。

実験結果

リサーチクエスチョン

• RQ1 3次元点群を局所的な法線方向に摂動させることで、見えにくさを著しく向上させつつも、高い攻撃成功率を維持できるか？
• RQ2 学習された敵対的変換モデルに対して耐性を持つように敵対的例を制約することで、未知のブラックボックスモデルへの転送性が向上するか？
• RQ3 クリーン特徴と敵対的特徴の潜在空間における類似性制約により、ホワイトボックスおよびブラックボックス攻撃に対する耐性が向上するか？
• RQ4 本稿で提案する防御は、ヴァナ・アドバーサリアルトレーニングや先行防御手法と比較して、転送ベース攻撃下での耐性においてどのように差をつけるか？
• RQ5 表面の滑らかさやエッジの保持といった幾何的性質が、敵対的例の見えにくさと転送性にどの程度寄与するか？

主な発見

• 提案されたITA攻撃は、DGCNNにおいて41.88%の転送ベース攻撃成功率を達成し、最先端手法のGeoA（37.59%）や3D-ADV（31.37%）を上回る。
• PointNet++モデルでは、ITAが55.19%の転送成功率を達成し、FGSM（37.64%）や3D-ADV（42.75%）を著しく上回る。
• 提案された防御を用いることで、ブラックボックス設定下でのDGCNNにおける攻撃成功率は25.24%に低下するが、ヴァナ・アドバーサリアルトレーニングでは56.14%にとどまる。
• 潜在空間制約を備えた防御モデルは、ベースラインのアドバーサリアルトレーニングと比較して、転送ベース攻撃の成功率を最大30%まで低減する。
• PCAを用いた潜在特徴の可視化により、提案された防御が敵対的特徴をクリーンクラスタに近づけていることが示され、判別的表現の向上が裏付けられる。
• 潜在空間におけるクラス内・クラス間制約損失は、耐性を達成するために不可欠であり、それらが欠落すると攻撃成功率が著しく上昇する。