[논문 리뷰] Poisoning MorphNet for Clean-Label Backdoor Attack to Point Clouds

Guiyu Tian, Wenhao Jiang외 2명|arXiv (Cornell University)|2021. 05. 11.

Adversarial Robustness in Machine Learning참고 문헌 43인용 수 10

한 줄 요약

Poisoning MorphNet는 3D 포인트 클라우드 인식 모델을 대상으로 하는 최초의 클린 레이블 백도어 공격 방법이다. 재구성 손실과 분류 손실의 공동 최적화를 통한 샘플 적응형 트리거 생성에 더해, 새로운 고립점 억제 손실을 도입하여, ModelNet40과 ShapeNetcorev2에서 스펙트럼 서명 및 데이터 증강 방어 수단을 회피하면서도 높은 공격 성공률(82.4% mASR)을 달성한다.

ABSTRACT

This paper presents Poisoning MorphNet, the first backdoor attack method on point clouds. Conventional adversarial attack takes place in the inference stage, often fooling a model by perturbing samples. In contrast, backdoor attack aims to implant triggers into a model during the training stage, such that the victim model acts normally on the clean data unless a trigger is present in a sample. This work follows a typical setting of clean-label backdoor attack, where a few poisoned samples (with their content tampered yet labels unchanged) are injected into the training set. The unique contributions of MorphNet are two-fold. First, it is key to ensure the implanted triggers both visually imperceptible to humans and lead to high attack success rate on the point clouds. To this end, MorphNet jointly optimizes two objectives for sample-adaptive poisoning: a reconstruction loss that preserves the visual similarity between benign / poisoned point clouds, and a classification loss that enforces a modern recognition model of point clouds tends to mis-classify the poisoned sample to a pre-specified target category. This implicitly conducts spectral separation over point clouds, hiding sample-adaptive triggers in fine-grained high-frequency details. Secondly, existing backdoor attack methods are mainly designed for image data, easily defended by some point cloud specific operations (such as denoising). We propose a third loss in MorphNet for suppressing isolated points, leading to improved resistance to denoising-based defense. Comprehensive evaluations are conducted on ModelNet40 and ShapeNetcorev2. Our proposed Poisoning MorphNet outstrips all previous methods with clear margins.

연구 동기 및 목표

• 데이터 소비가 심하고 오염에 취약한 3D 포인트 클라우드 데이터를 위해 특별히 설계된 백도어 공격 방법의 부족을 해결하기 위해.
• 트리거의 시각적 미비성은 유지하면서도 포인트 클라우드 모델에서 높은 공격 성공률을 확보할 수 있는 클린 레이블 백도어 공격을 개발하기 위해.
• 점군 전용 방어 수단인 정제 및 스펙트럼 서명 검출에 대한 저항력을 향상시키기 위해 도메인 특화 손실 함수를 설계하기 위해.
• 개별 입력 샘플에 적응하는 트리거 생성을 가능하게 하여, 보편적 트리거보다 감지 가능성 감소를 달성하기 위해.

제안 방법

• 정상 포인트 클라우드와 대상 클래스 레이블을 입력으로 받아, 샘플 적응형 트리거가 부착된 오염된 포인트 클라우드를 생성하는 신경망 아키텍처를 활용한다.
• 재구성 손실(정상 및 오염된 샘플 간의 시각적 유사성 유지를 위해)과 분류 손실(대상 클래스로 잘못 분류되게 하기 위해)을 조합한 공동 손실을 최적화한다.
• 고립점 억제를 위한 제3의 손실 항목을 도입하여, 포인트 클라우드 정제 방어 수단에 대한 강건성을 향상시킨다.
• 고주파 세부 정보 조작을 통해 암묵적으로 스펙트럼 분리 기법을 활용하여 트리거를 세밀한 특징에 통합한다.
• 모델별 인덕티브 바이어스를 활용하여 PCA 기반 스펙트럼 서명 필터링과 같은 방어 수단의 감지 회피를 도모한다.
• 대상 레이블 조건에 따라 유연하게 오염된 샘플을 생성함으로써, 재학습 없이도 다중 클래스 공격이 가능하도록 한다.

실험 결과

연구 질문

• RQ1 포인트 클라우드가 가지는 고유한 기하학적 및 구조적 특성 고려 시, 3D 포인트 클라우드 인식 모델에 대해 효과적으로 설계된 클린 레이블 백도어 공격가능한가?
• RQ2 어떻게 트리거를 포인트 클라우드에 통합하여, 시각적으로 미비하면서도 오분류를 매우 효과적으로 유도할 수 있는가?
• RQ3 데이터 증강 및 스펙트럼 서명 검출과 같은 기존 방어 수단은 샘플 적응형 백도어 공격에 얼마나 효과적으로 대응할 수 있는가?
• RQ4 샘플 적응형 트리거 메커니즘을 사용할 경우, 보편적 트리거 대비 도전성과 감지 회피 능력이 향상되는가?
• RQ5 이미지 기반 공격에 효과가 없는 포인트 클라우드 전용 방어 수단인 정제에 대해 백도어 공격이 강건하게 유지되는가?

주요 결과

• Poisoning MorphNet는 ModelNet40에서 클린 레이블 설정 하에 평균 공격 성공률(mASR) 82.4%를 달성하여, 포인트 클라우드에 적용된 이미지 기반 백도어 방법보다 뚜렷이 뛰어난 성능을 보였다.
• 특히 무작위 회전을 포함한 데이터 증강은 mASR를 53.9%로 낮추지만, 여전히 높은 공격 효과를 유지하여 방어 수단의 효율성에 한계가 있음을 시사한다.
• 스펙트럼 서명 검출 방법은 평균적으로 후보 집합 내 38.03%의 오염된 샘플만 탐지할 뿐이며, 이는 이전 연구에서의 93.3%에 비해 매우 낮은 탐지율을 보여, 강력한 감지 회피 능력을 입증한다.
• Neural Cleanse는 감염 여부 판단 기준인 임계값 이하인 2 이하의 이상치 지수를 기록하여, 샘플 적응형 트리거에서 기인한 보편적 변형 패tern이 없어 백도어 모델을 탐지하지 못했다.
• 고립점 억제 손실이 정제 기반 방어 수단에 대한 저항력을 크게 향상시킨다는 것이 추론 실험을 통해 확인되었다.
• 피자클러스터링 기반 필터링 및 이질점 탐지와 같은 다수의 감지 메커니즘을 성공적으로 회피할 수 있었으며, 이는 오염된 샘플에 주로 공통적인 스펙트럼 성분이 존재하지 않기 때문이다.