[논문 리뷰] Imperceptible Transfer Attack and Defense on 3D Point Cloud Classification

Daizong Liu, Wei Hu|arXiv (Cornell University)|2021. 11. 22.

Adversarial Robustness in Machine Learning인용 수 7

한 줄 요약

이 논문은 3D 포인트 클러스터 분류를 위한 비가시적 전이 공격(ITA)을 제안하며, 국소 표면의 법선 방향으로 점을 변형하고 적대적 변환 모델을 사용하여 비가시성과 전이 가능성 모두를 향상시킨다. 방어 전략은 잠재 공간 유사성 제약을 도입하여 화이트박스 및_BLK박스 공격에 대한 강건성을 크게 향상시킨다.

ABSTRACT

Although many efforts have been made into attack and defense on the 2D image domain in recent years, few methods explore the vulnerability of 3D models. Existing 3D attackers generally perform point-wise perturbation over point clouds, resulting in deformed structures or outliers, which is easily perceivable by humans. Moreover, their adversarial examples are generated under the white-box setting, which frequently suffers from low success rates when transferred to attack remote black-box models. In this paper, we study 3D point cloud attacks from two new and challenging perspectives by proposing a novel Imperceptible Transfer Attack (ITA): 1) Imperceptibility: we constrain the perturbation direction of each point along its normal vector of the neighborhood surface, leading to generated examples with similar geometric properties and thus enhancing the imperceptibility. 2) Transferability: we develop an adversarial transformation model to generate the most harmful distortions and enforce the adversarial examples to resist it, improving their transferability to unknown black-box models. Further, we propose to train more robust black-box 3D models to defend against such ITA attacks by learning more discriminative point cloud representations. Extensive evaluations demonstrate that our ITA attack is more imperceptible and transferable than state-of-the-arts and validate the superiority of our defense strategy.

연구 동기 및 목표

• 기하학적 구조를 유지하면서 다양한 모델 간에 일반화되는 강력하고 비가시적인 3D 포인트 클러스터 공격의 부족을 해결한다.
• 기존 화이트박스 공격의 한계를 극복한다. 이러한 공격은 눈에 띄는 왜곡(예: 이방점, 비균일 분포)을 유발하며 전이 가능성도 낮다.
• 구분 가능한 잠재 표현을 학습함으로써 비가시적이고 전이 가능한 적대적 공격에 대한 강건성을 향상시키는 방어 메커니즘을 개발한다.
• 공격 생성 과정에서 구조적 왜곡에 대한 내성을 확보하여, 적대적 예제의 블랙박스 모델로의 일반화 능력을 향상시킨다.
• 법선 기반 변형을 통해 기하학적 맥락을 유지하면 비가시성과 전이 가능성 둘 다 향상됨을 입증한다.

제안 방법

• 국소 표면 이웃 영역의 법선 방향으로 점의 변형을 제약하여 기하학적 일관성과 감소된 가시성을 확보한다.
• 유해한 구조적 왜곡을 생성하고 적대적 예제가 이를 저항하도록 하는 적대적 변환 모델을 도입하여 전이 가능성 향상.
• 잠재 특징 공간에서 내부 클래스의 응집성과 외부 클래스의 분리성을 강조하는 유사성 제약 조건을 포함한 적대적 훈련 기반의 방어 전략 설계.
• 주성분 분석(PCA)을 적용하여 잠재 특징 분포를 시각화하고, 제안된 방어 전략이 적대적 특징을 정상 클러스터에 다시 끌어당긴다는 것을 보여준다.
• 대상 손실을 사용한 기울기 유도 최적화를 적용하여, 알려지지 않은 블랙박스 설정에서도 효과를 유지하는 적대적 예제를 생성한다.
• 정상 및 적대적 포인트 클러스터의 조합을 사용하여 방어 모델을 훈련하고, 잠재 공간에서 클래스 내 응집성과 클래스 간 이질성을 강화한다.

실험 결과

연구 질문

• RQ1 3D 포인트 클러스터를 국소 법선 방향으로 변형하는 것이 비가시성을 크게 향상시키면서도 높은 공격 성공률를 유지할 수 있는가?
• RQ2 학습된 적대적 변환 모델에 대한 저항성을 강제로 부여함으로써, 알려지지 않은 블랙박스 모델로의 적대적 예제의 전이 가능성은 향상되는가?
• RQ3 정상 및 적대적 특징 간의 잠재 공간 유사성 제약 조건이 화이트박스 및 블랙박스 공격에 대한 강건성을 향상시킬 수 있는가?
• RQ4 전이 기반 공격 하에서 제안된 방어 전략은 순수 적대적 훈련 및 이전의 방어 방법에 비해 어떤 정도 강건성이 뛰어나게 되는가?
• RQ5 표면의 매끄러움과 가장자리 유지 등의 기하학적 특성이 비가시성과 전이 가능성에 얼마나 기여하는가?

주요 결과

• 제안된 ITA 공격은 DGCNN에서 41.88%의 전이 기반 공격 성공률를 기록하여 최신 기술인 GeoA(37.59%) 및 3D-ADV(31.37%)를 능가한다.
• PointNet++ 모델에서는 ITA가 55.19%의 전이 성공률를 기록하여 FGSM(37.64%) 및 3D-ADV(42.75%)보다 뚜렷이 높다.
• 제안된 방어 전략을 적용한 결과, 블랙박스 설정에서 DGCNN의 공격 성공률는 25.24%로 떨어지며, 순수 적대적 훈련을 사용한 경우 56.14%였던 것과 비교해 크게 감소하였다.
• 잠재 공간 제약 조건을 적용한 방어 모델은 기존의 순수 적대적 훈련 대비 전이 기반 공격의 성공률를 최대 30%까지 감소시켰다.
• PCA를 활용한 잠재 특징 시각화 결과, 제안된 방어 전략이 적대적 특징을 정상 클러스터에 더 가깝게 끌어당긴다는 것을 확인하였다. 이는 개선된 구분 능력의 특징 표현을 의미한다.
• 잠재 공간 내의 내부 및 외부 클래스 제약 손실은 강건성을 확보하는 데 필수적이며, 이들의 부재는 공격 성공률가 상당히 높아지는 결과를 초래한다.