[论文解读] Adversarial point perturbations on 3D objects

Daniel Liu, Ronald Yu+1 more|arXiv (Cornell University)|Aug 16, 2019

Adversarial Robustness in Machine Learning参考文献 16被引用 10

一句话总结

本文提出了四种针对3D点云分类的新型对抗性攻击方法，旨在优化不可察觉性与物体表面点的均匀分布。这些攻击能够有效规避现有防御机制，在最先进神经网络上实现高成功率，揭示了3D深度学习模型中的关键脆弱性。

ABSTRACT

The importance of training robust neural network grows as 3D data is increasingly utilized in deep learning for vision tasks, like autonomous driving. We examine this problem from the perspective of the attacker, which is necessary in understanding how neural networks can be exploited, and thus defended. More specifically, we propose adversarial attacks based on solving different optimization problems, like minimizing the perceptibility of our generated adversarial examples, or maintaining a uniform density distribution of points across the adversarial object surfaces. Our four proposed algorithms for attacking 3D point cloud classification are all highly successful on existing neural networks, and we find that some of them are even effective against previously proposed point removal defenses.

研究动机与目标

• 研究如何设计对抗性攻击，以操纵3D点云分类器，同时对人类保持不可察觉。
• 开发基于优化的攻击策略，以在物体表面保持均匀的点密度，从而增强真实感与隐蔽性。
• 评估这些攻击对现有基于点移除的防御机制在3D视觉模型中的有效性。
• 理解当前3D神经网络在目标扰动下的鲁棒性极限。

提出的方法

• 作者将对抗性攻击形式化为优化问题，以最小化感知度，同时保持点云的几何一致性。
• 引入约束条件，以在3D物体表面保持点的均匀分布，从而提升攻击的真实感。
• 提出四种不同的算法，每种解决不同的优化目标，例如最小化扰动的L2或L∞范数。
• 直接将攻击应用于输入点云，通过修改坐标来误导分类器，而不改变整体形状。
• 在标准3D分类基准上，使用多种深度学习架构评估该方法。
• 针对先前通过移除或重新加权点来实现的防御方法进行测试，评估其鲁棒性。

实验结果

研究问题

• RQ1 如何使3D点云上的对抗性扰动保持不可察觉，同时实现高攻击成功率？
• RQ2 均匀点密度约束在多大程度上提升了3D对抗性攻击的有效性与真实感？
• RQ3 这些攻击能否绕过3D深度学习模型中现有的基于点移除的防御机制？
• RQ4 不同的优化目标在多大程度上影响了3D空间中对抗性样本的鲁棒性与可迁移性？

主要发现

• 所提出的攻击在多个3D分类网络上实现了高成功率，表现出强大的模型间可迁移性。
• 部分攻击即使在针对显著性点进行移除的防御机制下仍具有效性，表明当前鲁棒性策略存在局限。
• 基于优化的方法成功在物体表面保持了均匀的点分布，增强了真实感与隐蔽性。
• 攻击在最小化感知度方面极为有效，使其在视觉上或通过简单启发式方法均难以察觉。