[论文解读] On Adversarial Robustness of 3D Point Cloud Classification under Adaptive Attacks

Jiachen Sun, Karl Koenig+3 more|arXiv (Cornell University)|Nov 24, 2020

Adversarial Robustness in Machine Learning参考文献 54被引用 5

一句话总结

该论文指出，如最大池化等固定池化操作会削弱三维点云分类中的对抗训练（AT），并提出DeepSym——一种可学习的、基于排序的对称池化层，可提升模型鲁棒性。DeepSym在对抗训练下将对抗准确率提升至47.0%，相比标准PointNet高出28.5%，相比强基线模型高出6.5%。

ABSTRACT

3D point clouds play pivotal roles in various safety-critical applications, such as autonomous driving, which desires the underlying deep neural networks to be robust to adversarial perturbations. Though a few defenses against adversarial point cloud classification have been proposed, it remains unknown whether they are truly robust to adaptive attacks. To this end, we perform the first security analysis of state-of-the-art defenses and design adaptive evaluations on them. Our 100% adaptive attack success rates show that current countermeasures are still vulnerable. Since adversarial training (AT) is believed as the most robust defense, we present the first in-depth study showing how AT behaves in point cloud classification and identify that the required symmetric function (pooling operation) is paramount to the 3D model's robustness under AT. Through our systematic analysis, we find that the default-used fixed pooling (e.g., MAX pooling) generally weakens AT's effectiveness in point cloud classification. Interestingly, we further discover that sorting-based parametric pooling can significantly improve the models' robustness. Based on above insights, we propose DeepSym, a deep symmetric pooling operation, to architecturally advance the robustness to 47.0% under AT without sacrificing nominal accuracy, outperforming the original design and a strong baseline by 28.5% ($\sim 2.6 imes$) and 6.5%, respectively, in PointNet.

研究动机与目标

• 评估当前最先进防御方法在三维点云分类中对自适应攻击的真实鲁棒性。
• 研究对称函数——特别是池化操作——如何影响三维模型中对抗训练（AT）的有效性。
• 识别固定池化（如MAX、SUM）在AT中的局限性，并探索参数化、可学习池化机制的优势。
• 设计并评估DeepSym，一种新型对称池化操作，可在不牺牲正常准确率的前提下提升对抗鲁棒性。

提出的方法

• 使用投影梯度下降（PGD）执行100%自适应的白盒攻击，以测试现有防御方法的鲁棒性。
• 在对抗训练下，系统性地进行消融实验，比较固定池化（MAX、SUM、MEDIAN）与参数化池化（ATT、PMA、SoftPool、FSPool）的性能。
• 提出DeepSym，一种可学习的、基于排序的池化机制，通过将深度神经网络融入对称函数以增强特征聚合。
• 将DeepSym集成到PointNet及其他主干网络中，替代标准池化层，同时保持排列不变性。
• 使用不同攻击步数（PGD-1、PGD-20、PGD-200）的PGD-based对抗训练方法进行训练，并在ModelNet10和ModelNet40上进行评估。
• 测量推理时间、参数量和GPU显存使用量，以评估DeepSym的计算开销。

实验结果

研究问题

• RQ1 当前三维点云分类的防御方法是否真正对自适应攻击具有鲁棒性，还是依赖于梯度混淆？
• RQ2 固定池化操作（如MAX、SUM）如何影响三维点云模型中对抗训练的有效性？
• RQ3 参数化、可学习的池化机制能否在对抗训练下提升对抗鲁棒性？
• RQ4 基于排序的池化对三维点云分类器的鲁棒性和准确率有何影响？
• RQ5 能否设计一种新型对称池化层，在不降低正常性能的前提下增强对抗鲁棒性？

主要发现

• 所有评估的最先进防御方法，包括DUP-Net和GvG-PointNet++，在100%成功率下被自适应攻击攻破，表明其依赖于梯度混淆。
• 固定池化操作（如MAX和SUM池化）由于缺乏可学习性和灵活性，固有地限制了对抗训练的有效性。
• 基于排序的参数化池化操作（如SoftPool和PMA）相比MAX池化，将对抗准确率显著提升7.3%，且未损害正常准确率。
• DeepSym在ModelNet40上使用PGD-200时达到47.0%的对抗准确率，相比标准MAX池化提升28.5%，相比SoftPool提升6.5%。
• DeepSym在ModelNet10上保持了优异的正常准确率（88.5%），并在多种PGD攻击设置和数据集上展现出一致的鲁棒性提升。
• DeepSym的计算开销适中——推理时间为3.10ms，参数量为1.4M，尽管增加了复杂性，但仍具有实际可行性。