[論文レビュー] On Adversarial Robustness of 3D Point Cloud Classification under Adaptive Attacks

Jiachen Sun, Karl Koenig+3 more|arXiv (Cornell University)|Nov 24, 2020

Adversarial Robustness in Machine Learning参考文献 54被引用数 5

ひとこと要約

本論文は、MAXプーリングなどの固定プーリング操作が3次元点群分類における adversarial training (AT) を損なうことを特定し、ロバスト性を向上させるための学習可能でソーティングベースの対称プーリング層である DeepSym を提案する。DeepSym は AT 下で adversarial accuracy を 47.0% まで向上させ、標準の PointNet よりも 28.5%、強力なベースラインよりも 6.5% 高く達成した。

ABSTRACT

3D point clouds play pivotal roles in various safety-critical applications, such as autonomous driving, which desires the underlying deep neural networks to be robust to adversarial perturbations. Though a few defenses against adversarial point cloud classification have been proposed, it remains unknown whether they are truly robust to adaptive attacks. To this end, we perform the first security analysis of state-of-the-art defenses and design adaptive evaluations on them. Our 100% adaptive attack success rates show that current countermeasures are still vulnerable. Since adversarial training (AT) is believed as the most robust defense, we present the first in-depth study showing how AT behaves in point cloud classification and identify that the required symmetric function (pooling operation) is paramount to the 3D model's robustness under AT. Through our systematic analysis, we find that the default-used fixed pooling (e.g., MAX pooling) generally weakens AT's effectiveness in point cloud classification. Interestingly, we further discover that sorting-based parametric pooling can significantly improve the models' robustness. Based on above insights, we propose DeepSym, a deep symmetric pooling operation, to architecturally advance the robustness to 47.0% under AT without sacrificing nominal accuracy, outperforming the original design and a strong baseline by 28.5% ($\sim 2.6 imes$) and 6.5%, respectively, in PointNet.

研究の動機と目的

• 3次元点群分類における適応的攻撃に対して、最先端の防御手法の真のロバスト性を評価すること。
• 特にプーリング操作を含む対称関数が、3次元モデルにおける adversarial training (AT) の有効性に与える影響を調査すること。
• 固定プーリング（例：MAX、SUM）のATにおける限界を特定し、パラメトリックで学習可能なプーリング機構の利点を検討すること。
• nominal accuracy を損なわせることなくロバスト性を向上させる、新しい対称プーリング操作である DeepSym の設計と評価を行うこと。

提案手法

• PGD（Projected Gradient Descent）を用いて100%の適応的ホワイトボックス攻撃を設計・実行し、既存の防御のロバスト性をテストした。
• Adversarial Training 下で、固定プーリング（MAX、SUM、MEDIAN）とパラメトリックプーリング（ATT、PMA、SoftPool、FSPool）を体系的に比較するアブレーションスタディを実施した。
• 深層ニューラルネットワークを対称関数に統合することで特徴集約を強化する、学習可能でソーティングベースのプーリング機構である DeepSym を提案した。
• PointNet や他のバックボーンに DeepSym を統合し、標準のプーリング層を置き換えつつ、順序不変性を維持した。
• PGD-1、PGD-20、PGD-200 という異なる攻撃ステップ数を用いた PGD を用いた adversarial training を実行し、ModelNet10 および ModelNet40 で評価した。
• 推論時間、パラメータ数、GPUメモリ使用量を測定し、DeepSym の計算オーバーヘッドを評価した。

実験結果

リサーチクエスチョン

• RQ1 現在の3次元点群分類用防御は、適応的攻撃に対して真にロバストであるのか、それとも勾配の遮断（gradient obfuscation）に依存しているのか？
• RQ2 固定プーリング操作（例：MAX、SUM）は、3次元点群モデルにおける adversarial training の有効性にどのように影響を与えるか？
• RQ3 パラメトリックで学習可能なプーリング機構は、adversarial training 下でロバスト性を向上させることができるか？
• RQ4 ソーティングベースのプーリングは、3次元点群分類器のロバスト性と精度にどのような影響を与えるか？
• RQ5 nominal performance を劣化させることなく、adversarial robustness を向上させる新しい対称プーリング層を設計できるか？

主な発見

• 評価対象の最先端防御（DUP-Net や GvG-PointNet++ を含む）は、100%の成功率で適応的攻撃に失敗し、勾配の遮断に依存していることが示された。
• MAX や SUM プーリングなどの固定プーリング操作は、学習不能性と柔軟性の欠如により、adversarial training の有効性を本質的に制限する。
• ソーティングベースのパラメトリックプーリング（例：SoftPool や PMA）は、nominal accuracy を損なわせずに、MAX プーリングより adversarial accuracy を 7.3% まで向上させた。
• DeepSym は ModelNet40 で PGD-200 下で 47.0% の adversarial accuracy を達成し、標準の MAX プーリングより 28.5%、SoftPool よりも 6.5% の向上を達成した。
• DeepSym は ModelNet10 で高い nominal accuracy（88.5%）を維持しており、複数の PGD 攻撃設定およびデータセットで一貫したロバスト性の向上を示した。
• DeepSym の計算オーバーヘッドはわずかであり、推論時間は 3.10ms、パラメータ数は 1.4M にとどまり、追加の複雑性にもかかわらず実用的であることが分かった。