[论文解读] A Backdoor Attack against 3D Point Cloud Classifiers

Zhen Xiang, David J. Miller+3 more|arXiv (Cornell University)|Apr 12, 2021

Adversarial Robustness in Machine Learning参考文献 55被引用 6

一句话总结

本文提出首个针对3D点云分类器的后门攻击，通过注入一个小型、经过优化的点簇作为鲁棒的后门模式。该攻击在仅插入少量点且无需访问受害者模型架构或权重的情况下，仍能实现至少87%的成功率，并对最先进的点云异常检测器和预处理技术保持有效性。

ABSTRACT

Vulnerability of 3D point cloud (PC) classifiers has become a grave concern due to the popularity of 3D sensors in safety-critical applications. Existing adversarial attacks against 3D PC classifiers are all test-time evasion (TTE) attacks that aim to induce test-time misclassifications using knowledge of the classifier. But since the victim classifier is usually not accessible to the attacker, the threat is largely diminished in practice, as PC TTEs typically have poor transferability. Here, we propose the first backdoor attack (BA) against PC classifiers. Originally proposed for images, BAs poison the victim classifier's training set so that the classifier learns to decide to the attacker's target class whenever the attacker's backdoor pattern is present in a given input sample. Significantly, BAs do not require knowledge of the victim classifier. Different from image BAs, we propose to insert a cluster of points into a PC as a robust backdoor pattern customized for 3D PCs. Such clusters are also consistent with a physical attack (i.e., with a captured object in a scene). We optimize the cluster's location using an independently trained surrogate classifier and choose the cluster's local geometry to evade possible PC preprocessing and PC anomaly detectors (ADs). Experimentally, our BA achieves a uniformly high success rate (> 87%) and shows evasiveness against state-of-the-art PC ADs.

研究动机与目标

• 解决在自动驾驶等安全关键应用中，3D点云分类器面临的数据 poisoning 攻击的脆弱性问题。
• 克服现有测试时逃避攻击的局限性，后者需要了解受害者模型且迁移能力差。
• 设计一种适用于3D点云的后门模式，因为3D点云缺乏像素，其特征提取方式与2D图像有本质不同。
• 确保后门对常见点云预处理（例如随机采样）具有鲁棒性，并能规避异常检测。
• 开发一种方法，同时优化后门簇的空间位置和局部几何结构，以实现最大攻击效果。

提出的方法

• 提出“后门点”——即插入到3D点云中的小型点簇——作为专为3D点云分类器设计的新型后门模式。
• 使用攻击者独立训练的替代分类器，优化后门簇的空间位置，确保其可被受害者模型学习。
• 优化后门簇的局部几何结构（例如密度和分布），使其与周围点云匹配，从而规避异常检测器的检测。
• 通过目标函数实现空间位置优化，该函数最小化后门簇到训练集中所有源类别点云的平均距离。
• 在训练过程中通过向受害者的数据集中注入经过优化的后门簇并重新标记为目标类别的干净源类别样本，实现后门植入。
• 通过在各种预处理条件下进行测试，确保鲁棒性，包括点子采样和异常检测机制。

实验结果

研究问题

• RQ1 鉴于3D点云缺乏像素且具有独特的几何特性，能否有效设计针对3D点云分类器的后门攻击？
• RQ2 如何构建一种后门模式，使其既能被3D深度神经网络学习，又能对常见点云预处理和异常检测具有鲁棒性？
• RQ3 后门簇的空间位置和局部几何结构对攻击成功率和逃避能力有何影响？
• RQ4 空间优化参数ε的选择如何影响后门可学习性与数据采样鲁棒性之间的权衡？
• RQ5 在现实世界防御机制（如点云异常检测器）下，所提出的后门攻击在多大程度上能保持高成功率？

主要发现

• 在所有评估设置下，所提出的后门攻击成功率均达到至少89%，即使仅插入5个点也成立。
• 当部署点异常检测器时，若至少插入15个后门点，攻击成功率仍保持在80%以上，尽管检测器倾向于移除少于3个点的簇。
• 在点子采样条件下，攻击依然有效，当仅插入5个后门点时，成功率下降约50%，主要由于随机删除。
• 随着参数ε增大，后门簇的最佳空间位置会进一步远离目标物体，但较大的ε值可能因边界框裁剪而将后门排除在最终点云之外。
• 当ε = 0.005时，攻击成功率可达89%，同时使后门簇非常靠近物体，确保高度隐蔽性和鲁棒性。
• 对后门簇局部几何结构的优化显著提升了其对预处理和检测的抗性，如在多种防御机制下均表现出一致的高性能。