[论文解读] Poisoning MorphNet for Clean-Label Backdoor Attack to Point Clouds

Guiyu Tian, Wenhao Jiang+2 more|arXiv (Cornell University)|May 11, 2021

Adversarial Robustness in Machine Learning参考文献 43被引用 10

一句话总结

Poisoning MorphNet 是首个针对 3D 点云识别模型的干净标签后门攻击方法。它通过联合优化重建损失与分类损失，实现样本自适应触发器生成，并引入一种新型孤立点抑制损失，在 ModelNet40 和 ShapeNetCoreV2 上实现了高攻击成功率（82.4% mASR），同时可规避光谱特征和数据增强防御机制。

ABSTRACT

This paper presents Poisoning MorphNet, the first backdoor attack method on point clouds. Conventional adversarial attack takes place in the inference stage, often fooling a model by perturbing samples. In contrast, backdoor attack aims to implant triggers into a model during the training stage, such that the victim model acts normally on the clean data unless a trigger is present in a sample. This work follows a typical setting of clean-label backdoor attack, where a few poisoned samples (with their content tampered yet labels unchanged) are injected into the training set. The unique contributions of MorphNet are two-fold. First, it is key to ensure the implanted triggers both visually imperceptible to humans and lead to high attack success rate on the point clouds. To this end, MorphNet jointly optimizes two objectives for sample-adaptive poisoning: a reconstruction loss that preserves the visual similarity between benign / poisoned point clouds, and a classification loss that enforces a modern recognition model of point clouds tends to mis-classify the poisoned sample to a pre-specified target category. This implicitly conducts spectral separation over point clouds, hiding sample-adaptive triggers in fine-grained high-frequency details. Secondly, existing backdoor attack methods are mainly designed for image data, easily defended by some point cloud specific operations (such as denoising). We propose a third loss in MorphNet for suppressing isolated points, leading to improved resistance to denoising-based defense. Comprehensive evaluations are conducted on ModelNet40 and ShapeNetcorev2. Our proposed Poisoning MorphNet outstrips all previous methods with clear margins.

研究动机与目标

• 为解决当前缺乏专为 3D 点云数据设计的后门攻击方法的问题，这些数据易受数据饥渴训练和污染的影响。
• 开发一种干净标签后门攻击方法，确保触发器在视觉上不可察觉，同时在点云模型上实现高攻击成功率。
• 通过设计领域特定的损失函数，提升对点云特异性防御（如去噪和光谱特征检测）的抵抗能力。
• 实现样本自适应的触发器生成，使其根据单个输入样本自适应调整，相比通用触发器可降低可检测性。

提出的方法

• 采用神经网络架构，以良性点云和目标类别标签作为输入，生成带有样本自适应触发器的污染点云。
• 通过联合损失函数优化，结合重建损失（以保持良性样本与污染样本之间的视觉相似性）和分类损失（以使模型误分类为目标类别）。
• 引入第三项损失项以抑制孤立点，增强对点云去噪防御的鲁棒性。
• 通过高频细节操作隐式实现光谱分离，将触发器嵌入到细粒度特征中。
• 利用模型特定的归纳偏置，规避基于 PCA 的光谱特征过滤等防御机制。
• 通过条件化于目标标签，支持灵活的、类别条件化的污染样本生成，实现无需微调的多类别攻击。

实验结果

研究问题

• RQ1 鉴于点云独特的几何与结构特性，能否有效设计出针对 3D 点云识别模型的干净标签后门攻击？
• RQ2 如何在点云中嵌入触发器，使其在视觉上不可察觉，同时仍能高效引发误分类？
• RQ3 现有防御机制（如数据增强和光谱特征检测）在多大程度上可被样本自适应后门攻击规避？
• RQ4 与通用触发器相比，使用样本自适应触发器机制是否能显著提升隐蔽性并增强抗检测能力？
• RQ5 能否使后门攻击对点云特异性防御（如去噪）具备鲁棒性，而这类防御对图像基攻击无效？

主要发现

• Poisoning MorphNet 在 ModelNet40 上的干净标签设置下实现了 82.4% 的平均攻击成功率（mASR），显著优于适配至点云的图像基后门方法。
• 数据增强（尤其是随机旋转）使 mASR 降低至 53.9%，但攻击仍具高度有效性，表明现有防御机制效果有限。
• 光谱特征检测方法平均仅能检测到 38.03% 的候选污染样本，远低于先前工作的 93.3%，证明其具备强大的规避能力。
• Neural Cleanse 未能检测出受污染模型，其异常指数低于 2（感染阈值），原因在于样本自适应触发器缺乏通用扰动模式。
• 孤立点抑制损失在消融实验中被证实显著提升了对去噪类防御的抵抗能力。
• 由于污染样本中缺乏主导且共享的光谱分量，该方法成功规避了多种检测机制，包括基于 PCA 的滤波和异常值检测。