[論文レビュー] Poisoning MorphNet for Clean-Label Backdoor Attack to Point Clouds

Guiyu Tian, Wenhao Jiang+2 more|arXiv (Cornell University)|May 11, 2021

Adversarial Robustness in Machine Learning参考文献 43被引用数 10

ひとこと要約

Poisoning MorphNet は、3次元点群認識モデル向けの最初のクリーンラベルバックドア攻撃手法である。再構成損失と分類損失の共同最適化に加え、新しい孤立点抑制損失を用いた、サンプルに適応するトリガー生成により、ModelNet40 および ShapeNetcorev2 においてスペクトル符号およびデータ拡張防御から検出を回避しながらも、高い攻撃成功率（82.4% mASR）を達成した。

ABSTRACT

This paper presents Poisoning MorphNet, the first backdoor attack method on point clouds. Conventional adversarial attack takes place in the inference stage, often fooling a model by perturbing samples. In contrast, backdoor attack aims to implant triggers into a model during the training stage, such that the victim model acts normally on the clean data unless a trigger is present in a sample. This work follows a typical setting of clean-label backdoor attack, where a few poisoned samples (with their content tampered yet labels unchanged) are injected into the training set. The unique contributions of MorphNet are two-fold. First, it is key to ensure the implanted triggers both visually imperceptible to humans and lead to high attack success rate on the point clouds. To this end, MorphNet jointly optimizes two objectives for sample-adaptive poisoning: a reconstruction loss that preserves the visual similarity between benign / poisoned point clouds, and a classification loss that enforces a modern recognition model of point clouds tends to mis-classify the poisoned sample to a pre-specified target category. This implicitly conducts spectral separation over point clouds, hiding sample-adaptive triggers in fine-grained high-frequency details. Secondly, existing backdoor attack methods are mainly designed for image data, easily defended by some point cloud specific operations (such as denoising). We propose a third loss in MorphNet for suppressing isolated points, leading to improved resistance to denoising-based defense. Comprehensive evaluations are conducted on ModelNet40 and ShapeNetcorev2. Our proposed Poisoning MorphNet outstrips all previous methods with clear margins.

研究の動機と目的

• 3次元点群データに特化したバックドア攻撃手法の不足に応えること。点群は学習に大量のデータを要し、汚染に弱い。
• トリガーの視覚的不可検知性を保ちつつ、点群モデルにおける高い攻撃成功率を達成するクリーンラベルバックドア攻撃を開発すること。
• 点群固有の防御、たとえばノイズ除去やスペクトル符号検出に対し、ドメイン特化の損失関数を設計することで耐性を高めること。
• 個々の入力サンプルに適応するトリガー生成を可能とし、普遍的トリガーと比較して検出可能性を低減すること。

提案手法

• 健全な点群とターゲットクラスラベルを入力とし、サンプルに適応するトリガーを内蔵した汚染済み点群を生成するニューラルネットワークアーキテクチャを採用する。
• 健全なサンプルと汚染済みサンプルの視覚的類似性を維持する再構成損失と、ターゲットクラスに誤分類させる分類損失を組み合わせた共同損失を最適化する。
• 孤立点の抑制を促進し、点群のノイズ除去防御に対する耐性を高めるために、第3の損失項を導入する。
• 高周波成分の操作を介してスペクトル分離を暗黙的に実現し、微細な特徴にトリガーを埋め込む。
• モデル固有のインダクティブバイアスを活用することで、PCAベースのスペクトル符号フィルタリングなどの防御から検出を回避する。
• ターゲットラベルに条件づけた柔軟な、クラス条件付きの汚染サンプル生成を可能とし、再トレーニングなしに多クラス攻撃を実現する。

実験結果

リサーチクエスチョン

• RQ1 点群が有する特徴的な幾何学的・構造的性質を考慮すると、3次元点群認識モデル向けに効果的なクリーンラベルバックドア攻撃を設計できるか？
• RQ2 どのようにしてトリガーを点群に埋め込むことで、視覚的に不可検知でありながらも、誤分類を高効率に引き起こせるか？
• RQ3 データ拡張やスペクトル符号検出といった既存の防御は、サンプルに適応するバックドア攻撃によってどの程度回避可能か？
• RQ4 普遍的トリガーと比較して、サンプルに適応するトリガー機構を用いることで、隠れ性および検出回避性が向上するか？
• RQ5 画像ベースの攻撃では効果が薄い点群固有の防御、たとえばノイズ除去に対して、バックドア攻撃を耐性させることは可能か？

主な発見

• Poisoning MorphNet は、クリーンラベル設定下で ModelNet40 において平均攻撃成功率（mASR）82.4% を達成し、点群に適応した画像ベースのバックドア手法を著しく上回った。
• データ拡張、特にランダム回転を施すと mASR は 53.9% に低下するが、依然として高い有効性を示しており、防御の効果が限定的であることを示している。
• スペクトル符号検出手法は、平均して候補セット内の 38.03% の汚染サンプルしか検出しなかったのに対し、先行研究では 93.3% であったため、強力な回避能力を示している。
• Neural Cleanse は、サンプルに適応するトリガーによる普遍的摂動パターンの欠如により、感染の閾値（2未満）を下回る異常指数を示し、バックドアモデルを検出できなかった。
• 孤立点抑制損失は、アブレーションスタディによりノイズ除去ベースの防御に対する耐性を顕著に向上させた。
• PCAベースのフィルタリングや外れ値検出といった複数の検出メカニズムを効果的に回避できた。これは、汚染サンプルに顕著な共通スペクトル成分が存在しないためである。