[论文解读] PointGuard: Provably Robust 3D Point Cloud Classification

Hongbin Liu, Jinyuan Jia+1 more|arXiv (Cornell University)|Mar 4, 2021

Adversarial Robustness in Machine Learning参考文献 38被引用 6

一句话总结

PointGuard 是首个针对涉及点修改、添加和删除的对抗性攻击，在 3D 点云分类任务中具备可证明鲁棒性的防御方法。它通过随机采样点并结合多数投票机制来认证鲁棒性，无需对基础分类器做任何假设，即可实现对扰动大小的紧密、最优的边界约束。

ABSTRACT

3D point cloud classification has many safety-critical applications such as autonomous driving and robotic grasping. However, several studies showed that it is vulnerable to adversarial attacks. In particular, an attacker can make a classifier predict an incorrect label for a 3D point cloud via carefully modifying, adding, and/or deleting a small number of its points. Randomized smoothing is state-of-the-art technique to build certifiably robust 2D image classifiers. However, when applied to 3D point cloud classification, randomized smoothing can only certify robustness against adversarially modified points. In this work, we propose PointGuard, the first defense that has provable robustness guarantees against adversarially modified, added, and/or deleted points. Specifically, given a 3D point cloud and an arbitrary point cloud classifier, our PointGuard first creates multiple subsampled point clouds, each of which contains a random subset of the points in the original point cloud; then our PointGuard predicts the label of the original point cloud as the majority vote among the labels of the subsampled point clouds predicted by the point cloud classifier. Our first major theoretical contribution is that we show PointGuard provably predicts the same label for a 3D point cloud when the number of adversarially modified, added, and/or deleted points is bounded. Our second major theoretical contribution is that we prove the tightness of our derived bound when no assumptions on the point cloud classifier are made. Moreover, we design an efficient algorithm to compute our certified robustness guarantees. We also empirically evaluate PointGuard on ModelNet40 and ScanNet benchmark datasets.

研究动机与目标

• 解决 3D 点云分类器在面对涉及点修改、添加和删除的对抗性攻击时的脆弱性问题。
• 开发一种防御机制，对四种攻击类型（修改、添加、删除和扰动）均具备可证明的鲁棒性保证。
• 在不假设底层点云分类器特性的情况下，实现紧密、最优的认证鲁棒性边界。
• 设计一种高效的算法，用于实际中计算认证鲁棒性。
• 在 ModelNet40 和 ScanNet 数据集上，通过实证验证 PointGuard 在性能上优于随机平滑与经验性防御方法。

提出的方法

• PointGuard 从原始 3D 点云中随机采样 k 个点，生成多个随机化版本。
• 通过在这些采样后的点云上使用基础分类器预测标签，并对结果进行多数投票，来预测原始点云的标签。
• 利用 Neyman-Pearson 引理推导认证扰动大小，以限制在对抗性扰动下标签发生变化的概率。
• 通过计算标签概率的下界和上界，推导出紧密、最优的认证鲁棒性阈值。
• 通过求解基于标签概率估计的优化问题，设计一种高效算法来计算认证鲁棒性。
• 基础分类器通过在采样后的输入上进行训练，以提升对随机采样输入的分类准确率，从而增强整体的认证性能。

实验结果

研究问题

• RQ1 能否设计一种防御方法，对四类 3D 点云对抗性攻击（修改、添加、删除和扰动）均实现可证明鲁棒性？
• RQ2 是否可能在不假设基础点云分类器特性的前提下，推导出在所有情况下均紧密的认证鲁棒性边界？
• RQ3 与基于加性噪声的随机平滑相比，基于采样的随机平滑在 3D 点云上的认证鲁棒性表现如何？
• RQ4 关键超参数 k、α 和 N 对认证准确率与鲁棒性的影响是什么？
• RQ5 PointGuard 的认证准确率是否能在实际中超越经验性防御与随机平滑方法？

主要发现

• PointGuard 在点扰动、修改和添加攻击下仍保持较高的认证准确率，而未经防御的分类器在这些攻击下的实际准确率几乎降至零。
• 在点删除攻击下，未经防御分类器的实际准确率甚至可能超过 PointGuard 的认证准确率，表明当前的删除攻击尚未强到足以突破该防御机制。
• PointGuard 在点修改攻击下的认证准确率显著优于随机平滑方法，表明采样策略在 3D 鲁棒性方面比加性噪声更有效。
• 通过在采样输入上训练基础分类器，可提升 PointGuard 的认证准确率，使其能更准确地分类采样后的输入。
• 较小的 k 值可通过降低采样到对抗性点的概率来增强对扰动的鲁棒性，但会以牺牲干净样本准确率为代价。
• 较大的 α 和 N 值可获得更紧的置信度边界，提升认证扰动大小，但当这些值足够大时，认证准确率将不再显著提升。