[論文レビュー] On Isometry Robustness of Deep 3D Point Cloud Models under Adversarial Attacks

Yue Zhao, Yuwei Wu+2 more|arXiv (Cornell University)|Feb 27, 2020

Adversarial Robustness in Machine Learning参考文献 49被引用数 5

ひとこと要約

本稿は、トムソンサンプリングおよび制限等長性（RIP）に基づく摂動を用いて、3次元点群モデルに対する新規のブラックボックスおよびホワイトボックスの敵対的攻撃を提案する。等長変換に対する極めて高い脆弱性が示され、目立たない回転（±2.81°）に対しても95%を超える攻撃成功率を達成しており、強力な転送性を示し、最先端の3次元モデルにおける重要な耐性のギャップを露呈している。

ABSTRACT

While deep learning in 3D domain has achieved revolutionary performance in many tasks, the robustness of these models has not been sufficiently studied or explored. Regarding the 3D adversarial samples, most existing works focus on manipulation of local points, which may fail to invoke the global geometry properties, like robustness under linear projection that preserves the Euclidean distance, i.e., isometry. In this work, we show that existing state-of-the-art deep 3D models are extremely vulnerable to isometry transformations. Armed with the Thompson Sampling, we develop a black-box attack with success rate over 95% on ModelNet40 data set. Incorporating with the Restricted Isometry Property, we propose a novel framework of white-box attack on top of spectral norm based perturbation. In contrast to previous works, our adversarial samples are experimentally shown to be strongly transferable. Evaluated on a sequence of prevailing 3D models, our white-box attack achieves success rates from 98.88% to 100%. It maintains a successful attack rate over 95% even within an imperceptible rotation range $[\pm 2.81^{\circ}]$.

研究の動機と目的

• 等長変換（回転、平行移動、反射を含む）に対する深層3次元点群モデルの耐性を調査すること。
• 攻撃成功率を最大化するための回転角選択を最適化するために、トムソンサンプリングを活用した効率的なブラックボックス攻撃フレームワークを構築すること。
• 制限等長性（RIP）およびスペクトルノルムに基づく摂動を用いて、等長性を保ちつつモデルの誤分類を最大化するホワイトボックス攻撃を提案すること。
• 複数の3次元モデル間での敵対的サンプルの転送性を評価し、自動運転車などの実世界システムにおける実用的影響を検討すること。
• 現在の3次元データ拡張技術が、等長性に基づく敵対的攻撃に対して防御にどの程度有効であるかを検証すること。

提案手法

• 攻撃成功率が高い領域において回転角を高い確率でサンプリングするように、ブラックボックス設定でトムソンサンプリングを用い、ランダムサーチに比べて効率を向上させる。
• 点群の内在的幾何構造を変更せずに、単一の角度でパrameter化された回転行列を用いて等長変換を適用する。
• 摂動が $ A^T A - I $ のスペクトルノルムによって制約される制限等長性（RIP）に基づくホワイトボックス攻撃フレームワークを導入し、変換が等長性に近いまま保たれることを保証する。
• 摂動の大きさをスペクトルノルムで測定し、2次元画像の敵対的攻撃における $ L_p $ ノルムと同等の普遍的かつ公平な指標を提供する。
• ModelNet40データセット上で、多様な3次元モデルの耐性を評価するために、回転および反射に基づく攻撃（TSIおよびCTRI）を適用する。
• ランダム $ p $-回転を用いたデータ拡張防御を評価し、敵対的条件下でのモデルの正確性と耐性のトレードオフを検証する。

実験結果

リサーチクエスチョン

• RQ1 最先端の3次元点群モデルは、特に小さな回転に対して、等長性を保つ敵対的攻撃に対してどの程度脆弱であるか？
• RQ2 トムソンサンプリングは、最小限のクエリコストで3次元モデルに対する効率的なブラックボックス敵対的攻撃を設計するために効果的に利用可能か？
• RQ3 等長性制約下で生成された敵対的サンプルは、異なる3次元アーキテクチャ間でどの程度強い転送性を示すか？
• RQ4 制限等長性下でスペクトルノルムに基づく摂動は、幾何的忠実性を保ちつつ、モデルを効果的に誤分類できるか？
• RQ5 等長性に基づく攻撃に対する防御を目的とした標準的な3次元データ拡張技術を適用した場合、正確性と耐性のトレードオフはどのようになるか？

主な発見

• ブラックボックスのトムソンサンプリングに基づく攻撃は、ModelNet40において全評価対象モデルで最大1000クエリで95.66%を超える攻撃成功率を達成した。
• スペクトルノルムに基づく摂動を用いたホワイトボックス攻撃は、±2.81°（すなわち $[-rac{ heta}{64}, rac{ heta}{64}]$）の目立たない回転下でも、複数の3次元モデルで98.88%～100%の攻撃成功率を達成した。
• 本手法で生成された敵対的サンプルは強い転送性を示し、現在の3次元モデルが等長性を保つ攻撃に対して根本的な脆弱性を有することを示している。
• スペクトルノルムの摂動が0.068未満であっても、全テスト対象モデルで98.11%を超える攻撃成功率を維持した。
• 標準的な3次元データ拡張（例：ランダム回転、ジッター、スケーリング）は、本研究で提案された攻撃、特にCTRIベースの攻撃に対して十分な防御を提供できなかった。
• $ p riangleq 0.1 $ から $ 0.3 $ のランダム $ p $-回転拡張により、TSI攻撃の成功率は約80%に低下したが、モデルの正確性は90%以上を維持した。これは、実用的な防御のトレードオフを示している。