[論文レビュー] Adversarial point perturbations on 3D objects

Daniel Liu, Ronald Yu+1 more|arXiv (Cornell University)|Aug 16, 2019

Adversarial Robustness in Machine Learning参考文献 16被引用数 10

ひとこと要約

本稿では、人間の目で識別できないことと、物体の表面における均一な点分布を最適化することを目的とした、3次元点群分類のための4つの新しい敵対的攻撃手法を提案する。これらの攻撃は、既存の防御を効果的に回避し、最先端のネットワークにおいても高い成功確率を達成しており、3次元ディープラーニングモデルにおける深刻な脆弱性を示している。

ABSTRACT

The importance of training robust neural network grows as 3D data is increasingly utilized in deep learning for vision tasks, like autonomous driving. We examine this problem from the perspective of the attacker, which is necessary in understanding how neural networks can be exploited, and thus defended. More specifically, we propose adversarial attacks based on solving different optimization problems, like minimizing the perceptibility of our generated adversarial examples, or maintaining a uniform density distribution of points across the adversarial object surfaces. Our four proposed algorithms for attacking 3D point cloud classification are all highly successful on existing neural networks, and we find that some of them are even effective against previously proposed point removal defenses.

研究の動機と目的

• 人間に対して目立たない形で3次元点群分類器を操作できるように、敵対的攻撃を設計する方法を調査すること。
• 物体の表面全体に均一な点密度を維持する最適化ベースの攻撃戦略を開発し、現実性と隠密性を高めること。
• 3次元ビジョンモデルにおける点削除に基づく既存の防御に対する、これらの攻撃の有効性を評価すること。
• 標的摂動下における現在の3次元ニューラルネットワークの耐性限界を理解すること。

提案手法

• 著者らは、点群の幾何的整合性を保ちながら、知覚可能性を最小化する最適化問題として敵対的攻撃を定式化する。
• 3次元オブジェクトの表面にわたる点の均一な分布を維持する制約を導入し、攻撃の現実性を向上させる。
• 4つの異なるアルゴリズムを提案し、それぞれがL2やL∞ノルムの摂動を最小化するという、異なる最適化目的を解決する。
• 攻撃は入力点群に直接適用され、全体の形状を変更せずに分類器を誤導するように座標を変更する。
• 複数のディープラーニングアーキテクチャを用いて、標準的な3次元分類ベンチマークで手法を評価する。
• 点の除去や再重み付けを行う従来の防御に対して、その耐性を評価する。

実験結果

リサーチクエスチョン

• RQ1 3次元点群における敵対的摂動は、どのようにして高確率の攻撃を達成しながらも、人間の目で識別できないようにできるか？
• RQ2 均一な点密度制約は、3次元敵対的攻撃の有効性と現実性をどの程度向上させるか？
• RQ3 これらの攻撃は、3次元ディープラーニングモデルにおける既存の点削除に基づく防御を回避できるか？
• RQ4 異なる最適化目的は、3次元空間における敵対的例の耐性と転送性にどのように影響するか？

主な発見

• 提案された攻撃は、複数の3次元分類ネットワークで高い成功確率を達成しており、モデル間での強い転送性を示している。
• 一部の攻撃は、局在性に基づいて点を削除する防御に対しても効果を示しており、現在の耐性戦略の限界を示している。
• 最適化ベースのアプローチにより、物体の表面における均一な点分布が成功裏に維持されており、現実性と隠密性が向上している。
• 攻撃は知覚可能性を極めて効果的に低減しており、視覚的または単純なヒューリスティクスでは検出が困難である。