[论文解读] On The Adversarial Robustness of 3D Point Cloud Classification

Jiachen Sun, Karl Koenig+3 more|arXiv (Cornell University)|May 4, 2021

Adversarial Robustness in Machine Learning参考文献 21被引用 14

一句话总结

本文识别出现有3D点云分类防御机制中的关键漏洞，针对最先进方法实现了100%的攻击成功率。研究揭示，对称池化操作——尤其是新提出的深度对称池化层（DeepSym）——在对抗训练下显著提升了对抗鲁棒性，在PointNet上实现了47.01%的鲁棒准确率，且未牺牲干净准确率。

ABSTRACT

3D point clouds play pivotal roles in various safety-critical fields, such as autonomous driving, which desires the corresponding deep neural networks to be robust to adversarial perturbations. Though a few defenses against adversarial point cloud classification have been proposed, it remains unknown whether they can provide real robustness. To this end, we perform the first security analysis of state-of-the-art defenses and design adaptive attacks on them. Our 100% adaptive attack success rates demonstrate that current defense designs are still vulnerable. Since adversarial training (AT) is believed to be the most effective defense, we present the first in-depth study showing how AT behaves in point cloud classification and identify that the required symmetric function (pooling operation) is paramount to the model's robustness under AT. Through our systematic analysis, we find that the default used fixed pooling operations (e.g., MAX pooling) generally weaken AT's performance in point cloud classification. Still, sorting-based parametric pooling operations can significantly improve the models' robustness. Based on the above insights, we further propose DeepSym, a deep symmetric pooling operation, to architecturally advance the adversarial robustness under AT to 47.01% without sacrificing nominal accuracy, outperforming the original design and a strong baseline by 28.5% (∼2.6×) and 6.5%, respectively, in PointNet.

研究动机与目标

• 评估现有防御方法在3D点云分类中对对抗攻击的真实鲁棒性。
• 探究为何对抗训练（AT）在3D点云模型中表现不佳。
• 明确池化操作在决定AT在3D分类中有效性方面的作用。
• 设计一种新型池化机制，以在不降低干净准确率的前提下提升对抗鲁棒性。
• 在对抗训练下实现3D点云分类的最先进鲁棒准确率。

提出的方法

• 采用自适应对抗攻击对最先进防御方法进行系统性安全分析，以评估其鲁棒性。
• 分析对抗训练在3D点云网络中的行为，识别出对称池化操作对鲁棒性的必要性。
• 对比固定池化操作（如MAX池化）与基于排序的参数化池化，评估其对对抗鲁棒性的影响。
• 提出DeepSym，一种可学习的对称池化层，通过保留空间顺序并实现结构化特征聚合，提升鲁棒性。
• 将DeepSym集成到PointNet中，并在对抗训练下训练模型，以评估其鲁棒性与原始准确率。
• 在标准基准上使用干净样本与对抗样本评估模型，以测量鲁棒准确率与泛化能力。

实验结果

研究问题

• RQ1 当前的3D点云分类防御是否真正能够抵御自适应对抗攻击？
• RQ2 为何对抗训练在3D点云分类模型中难以实现强鲁棒性？
• RQ3 不同池化操作如何影响对抗训练模型的鲁棒性？
• RQ4 可学习的对称池化机制是否能提升3D点云网络的对抗鲁棒性？
• RQ5 像DeepSym这样的新型池化设计能在多大程度上提升鲁棒准确率，同时不降低干净准确率？

主要发现

• 所有评估的最先进防御方法均被自适应攻击以100%成功率攻破，表明其缺乏真实鲁棒性。
• 固定池化操作（如MAX池化）削弱了3D点云分类中对抗训练的有效性。
• 与固定池化相比，基于排序的参数化池化操作显著提升了对抗鲁棒性。
• 所提出的DeepSym层在对抗训练下于PointNet上实现了47.01%的鲁棒准确率，相比原始模型提升了28.5%。
• 与强基线相比，DeepSym将鲁棒准确率提升了6.5%，同时保持了相同的干净准确率。
• 本研究证实，对称函数设计——特别是通过池化操作——是实现3D点云模型在对抗训练下高鲁棒性的关键。