[논문 리뷰] Adversarial point perturbations on 3D objects

Daniel Liu, Ronald Yu외 1명|arXiv (Cornell University)|2019. 08. 16.

Adversarial Robustness in Machine Learning참고 문헌 16인용 수 10

한 줄 요약

이 논문은 3D 포인트 클라우드 분류를 위한 네 가지 새로운 적대적 공격 방법을 제안하며, 인간이 감지하기 어려운 방식과 물체 표면에서 균일한 점 분포를 최적화한다. 이러한 공격은 기존의 방어 기법을 효과적으로 우회하며 최신 네트워크에서 높은 성공률을 기록하여 3D 딥러닝 모델의 심각한 취약성을 드러낸다.

ABSTRACT

The importance of training robust neural network grows as 3D data is increasingly utilized in deep learning for vision tasks, like autonomous driving. We examine this problem from the perspective of the attacker, which is necessary in understanding how neural networks can be exploited, and thus defended. More specifically, we propose adversarial attacks based on solving different optimization problems, like minimizing the perceptibility of our generated adversarial examples, or maintaining a uniform density distribution of points across the adversarial object surfaces. Our four proposed algorithms for attacking 3D point cloud classification are all highly successful on existing neural networks, and we find that some of them are even effective against previously proposed point removal defenses.

연구 동기 및 목표

• 적대적 공격가 3D 포인트 클라우드 분류기를 조작할 수 있도록 인간에게 감지되지 않도록 설계할 수 있는 방법을 탐구하는 것.
• 표면에서 균일한 점 밀도를 유지하는 최적화 기반의 공격 전략을 개발하여 현실성과 은밀함을 향상시키는 것.
• 3D 비전 모델에서 점 제거 기반 방어 기법에 대한 이러한 공격의 효과를 평가하는 것.
• 대상 공격에 대한 현재 3D 신경망의 내성 한계를 이해하는 것.

제안 방법

• 저자들은 인간의 감지 가능성을 최소화하면서 포인트 클라우드의 기하학적 일관성을 유지하는 최적화 문제로 적대적 공격를 수립한다.
• 3D 물체 표면 전반에 걸쳐 점의 균일한 분포를 유지하기 위한 제약 조건을 도입하여 공격의 현실성을 향상시킨다.
• L2 또는 L∞ 노름의 변형을 최소화하는 등의 서로 다른 최적화 목표를 해결하는 네 가지의 서로 다른 알고리즘이 제안된다.
• 공격는 입력 포인트 클라우드에 직접 적용되며, 전체 형태를 변경하지 않고도 분류기를 오도하도록 좌표를 수정한다.
• 다양한 딥러닝 아키텍처를 사용하여 표준 3D 분류 벤치마크에서 방법을 평가한다.
• 기존의 점 제거 또는 재가중치 기반 방어 기법에 대한 저항력을 평가하기 위해 시험한다.

실험 결과

연구 질문

• RQ1 3D 포인트 클라우드에 대한 적대적 변형은 어떻게 인간에게 감지되지 않게 하면서도 높은 공격 성공률을 유지할 수 있는가?
• RQ2 균일한 점 밀도 제약 조건은 3D 적대적 공격의 효과성과 현실성에 어느 정도 기여하는가?
• RQ3 이러한 공격는 기존의 점 제거 기반 방어 기법을 우회할 수 있는가?
• RQ4 다양한 최적화 목표는 3D 공간에서 적대적 예제의 내성과 이식 가능성에 어떤 영향을 미치는가?

주요 결과

• 제안된 공격는 여러 3D 분류 네트워크에서 높은 성공률을 기록하며, 다양한 모델 간 강력한 이식 가능성을 보였다.
• 일부 공격는 점의 중요도 기반으로 점을 제거하는 방어 기법에도 효과를 유지하여 현재의 내성 전략에 한계가 있음을 시사한다.
• 최적화 기반 접근법은 물체 표면에서 균일한 점 분포를 성공적으로 유지하여 현실성과 은밀함을 향상시켰다.
• 공격는 시각적 감지나 단순 히وري스틱 기반 감지에 매우 효과적으로 감지 가능성을 최소화하여, 탐지하기 어려운 수준이었다.