[論文レビュー] On The Adversarial Robustness of 3D Point Cloud Classification

Jiachen Sun, Karl Koenig+3 more|arXiv (Cornell University)|May 4, 2021

Adversarial Robustness in Machine Learning参考文献 21被引用数 14

ひとこと要約

本稿は、3次元点群分類における既存防御の重大な脆弱性を特定し、最先端手法に対して100%の攻撃成功率を示した。また、対称的プーリング操作、特に新規の深層対称プーリング層（DeepSym）が、 adversarial training における敵対的ロバストネスを顕著に向上させることを明らかにした。PointNet においては、クリーンな精度を損なわずに、47.01% のロバスト精度を達成した。

ABSTRACT

3D point clouds play pivotal roles in various safety-critical fields, such as autonomous driving, which desires the corresponding deep neural networks to be robust to adversarial perturbations. Though a few defenses against adversarial point cloud classification have been proposed, it remains unknown whether they can provide real robustness. To this end, we perform the first security analysis of state-of-the-art defenses and design adaptive attacks on them. Our 100% adaptive attack success rates demonstrate that current defense designs are still vulnerable. Since adversarial training (AT) is believed to be the most effective defense, we present the first in-depth study showing how AT behaves in point cloud classification and identify that the required symmetric function (pooling operation) is paramount to the model's robustness under AT. Through our systematic analysis, we find that the default used fixed pooling operations (e.g., MAX pooling) generally weaken AT's performance in point cloud classification. Still, sorting-based parametric pooling operations can significantly improve the models' robustness. Based on the above insights, we further propose DeepSym, a deep symmetric pooling operation, to architecturally advance the adversarial robustness under AT to 47.01% without sacrificing nominal accuracy, outperforming the original design and a strong baseline by 28.5% (∼2.6×) and 6.5%, respectively, in PointNet.

研究の動機と目的

• 3次元点群分類における敵対的攻撃に対する既存防御の真正のロバストネスを評価すること。
• 3次元点群モデルにおいて、adversarial training (AT) が最適に機能しない理由を調査すること。
• プーリング操作が、3次元分類における AT の有効性を決定づける役割を特定すること。
• クリーンな精度を低下させることなく敵対的ロバストネスを向上させる新しいプーリング機構を設計すること。
• adversarial training の下で、3次元点群分類における最先端のロバスト精度を達成すること。

提案手法

• 適応的敵対的攻撃を用いて、最先端の防御のシステマティックなセキュリティ分析を実施し、そのロバストネスを評価する。
• 3次元点群ネットワークにおける adversarial training の挙動を分析し、ロバストネスを確保するために対称的プーリング操作の必要性を同定する。
• 固定プーリング（例：MAXプーリング）とソートに基づくパラメトリックプーリングを比較し、敵対的ロバストネスに与える影響を評価する。
• 空間的順序を保持し、構造化された特徴集約を通じてロバストネスを向上させる、学習可能な対称的プーリング層 DeepSym を提案する。
• DeepSym を PointNet に統合し、adversarial training の下でモデルを訓練し、ロバストネスと通常精度を評価する。
• クリーンな例と敵対的例の両方を用いて、標準ベンチマークでモデルを評価し、ロバスト精度と一般化性能を測定する。

実験結果

リサーチクエスチョン

• RQ1 3次元点群分類の現在の防御は、適応的敵対的攻撃に対して真にロバストであるのか？
• RQ2 なぜ adversarial training は3次元点群分類モデルで強いロバストネスを達成できないのか？
• RQ3 異なるプーリング操作は、adversarial training で訓練されたモデルのロバストネスにどのように影響するのか？
• RQ4 学習可能な対称的プーリング機構は、3次元点群ネットワークにおける敵対的ロバストネスを向上させることができるか？
• RQ5 DeepSym のような新しいプーリング設計は、クリーンな精度を損なわずに、どの程度ロバスト精度を向上させることができるのか？

主な発見

• 評価されたすべての最先端防御が、適応的攻撃によって100%の成功率で破られた。これは、それらが真正のロバストネスを欠いていることを示している。
• 固定プーリング（例：MAXプーリング）は、3次元点群分類における adversarial training の有効性を弱める。
• ソートに基づくパラメトリックプーリングは、固定プーリングに比べて敵対的ロバストネスを顕著に向上させる。
• 提案された DeepSym レイヤーは、adversarial training の下で PointNet に対して 47.01% のロバスト精度を達成し、元のモデルに比べて 28.5% の向上を示した。
• DeepSym は強力なベースラインに比べてロバスト精度を 6.5% 向上させたが、同じクリーン精度を維持した。
• 本研究は、特にプーリングを通じた対称関数設計が、3次元点群モデルにおける adversarial training での高いロバストネスを達成するために極めて重要であることを確認した。