💻 computer science

Topo-ADV: Generating Topology-Driven Imperceptible Adversarial Point Clouds

تقدم هذه الورقة البحثية Topo-ADV، وهو أول إطار عمل للهجوم الخصومي القائم على الطوبولوجيا للسحب النقطية ثلاثية الأبعاد، والذي يستفيد من الهومولوجيا المستمرة لتوليد اضطرابات غير محسوسة تحقق معدلات نجاح هجوم تصل إلى 100% من خلال استغلال الثغرات الهومولوجية بدلاً من الخصائص الهندسية التقليدية.

المؤلفون الأصليون: Gayathry Chandramana Krishnan Nampoothiry, Raghuram Venkatapuram, Anirban Ghosh, Ayan Dutta

نُشر 2026-04-15

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Gayathry Chandramana Krishnan Nampoothiry, Raghuram Venkatapuram, Anirban Ghosh, Ayan Dutta

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

الفكرة الكبرى: التلاعب بـ "شكل الأشياء"

تخيل أن لديك روبوتاً يمكنه النظر إلى جسم ثلاثي الأبعاد (مثل كرسي أو سيارة) مكون من آلاف النقاط الصغيرة (سحابة نقاط - "point cloud") وإخبارك فوراً ما هو هذا الجسم. هذا الروبوت ذكي جداً، لكن الباحثين في هذه الورقة البحثية اكتشفوا نقطة ضعف سرية: الروبوت لا ينظر فقط إلى الشكل؛ بل ينظر إلى "الهيكل العظمي" لهذا الشكل.

عادةً، يحاول المخترقون خداع هذا الروبوت عن طريق تحريك النقاط قليلاً، مثل تحريك بضع حبات رمل على الشاطئ لجعل قلعة رملية تبدو وكأنها كومة من التراب. يُسمى هذا هجوماً هندسياً (Geometric Attack).

أما Topo-ADV فهو مختلف. فبدلاً من مجرد تحريك الرمل، يقوم بتغيير الاتصال (Connectivity) لقلعة الرمل. الأمر يشبه إضافة نفق مخفي داخل القلعة سراً، أو تحويل كتلة صلبة إلى حلقة مجوفة. بالنسبة لعينك البشرية، تبدو القلعة كما هي تماماً. ولكن بالنسبة لعقل الروبوت "الطوبولوجي"، فقد تغيرت هوية الجسم بشكل جذري.

المفهوم الجوهي: الطوبولوجيا مقابل الهندسة

لفهم هذا، دعونا نستخدم تشبيه كوب القهوة مقابل الدونات.

الهندسة (Geometry) تتعلق بالحجم الدقيق، وانحناء المقبض، وسماكة السيراميك. إذا قمت بضغط الكوب، تتغير الهندسة.
الطوبولوجيا (Topology) تتعلق بـ "الثقوب". كوب القهوة يحتوي على ثقب واحد (المقبض). الدونات تحتوي على ثقب واحد (المركز). الكرة (مثل الكرة الأرضية) تحتوي على صفر ثقوب.

في الرياضيات، كوب القهوة والدونات هما في الواقع "نفس الشيء" لأن كلاهما يحتوي على ثقب واحد بالضبط. يمكنك مطّ كوب قهوة ليصبح على شكل دونات دون تمزيقه.

اكتشاف الورقة البحثية:
وجد الباحثون أن نماذج الذكاء الاصطناعي ثلاثية الأبعاد (مثل PointNet و DGCNN) تعتمد بشكل كبير على عد هذه "الثقوب" والدوائر للتعرف على الأشياء.

الهجوم: يقوم Topo-ADV بإجراء تغييرات صغيرة وغير مرئية على سحابة النقاط تؤدي إلى إنشاء أو تدمير هذه "الثقوب".
النتيجة: يرى الذكاء الاصطناعي "ثقباً" حيث لا ينبغي أن يكون هناك ثقب (أو العكس)، فيفكر قائلاً: "أوه، هذا ليس كرسياً بعد الآن؛ إنه بيانو!" رغم أن الجسم يبدو متطابقاً بالنسبة للإنسان.

كيف يعمل الهجوم (الوصفة)

بنى الباحثون أداة تسمى Topo-ADV. فكر فيها كطاهٍ يحاول خبز كعكة تبدو مثالية ولكن طعمها يشبه الحذاء. عليهم موازنة ثلاثة مكونات:

"الخدعة" (التصنيف الخاطئ): الهدف هو جعل الذكاء الاصطناعي يخمن التسمية الخاطئة (مثلاً، تسمية طائرة بأنها بيانو).
"السحر" (الطوبولوجيا): يستخدمون أداة رياضية تسمى الاستمرارية الهومولوجية (Persistent Homology). تخيل هذا كـ "رؤية بالأشعة السينية" تعد كيف توجد الحلقات والفقاعات بأحجام مختلفة. يقوم الهجوم بتعديل النقاط خصيصاً لتغيير هذه الأعداد.
"التنكر" (عدم القدرة على الإدراك): هذا هو الجزء الأهم. يجب أن تكون التغييرات صغيرة جداً بحيث لا تستطيع العين البشرية رؤيتها. تضمن الأداة أن النقاط لا تتحرك بعيداً، وألا يبدو السطح متعرجاً، وأن تظل كثافة النقاط كما هي.

العملية:

يأخذ الكمبيوتر نموذجاً نظيفاً ثلاثي الأبعاد (مثل طائرة).
يحسب "البصمة الطوبولوجية" (عدد الثقوب/الحلقات).
يبدأ في تحريك النقاط في اتجاه محدد لتغيير تلك البصمة.
يتحقق: "هل ارتبك الذكاء الاصطناعي؟ هل لا يزال يبدو كطائرة بالنسبة للإنسان؟"
يكرر العملية آلاف المرات حتى يجد "الدفعة" المثالية وغير المرئية التي تكسر عقل الذكاء الاصطناعي.

النتائج: سيد التنكر

اختبر الباحثون هذا على مجموعات بيانات شهيرة (مثل ModelNet40، التي تحتوي على نماذج ثلاثية الأبعاد لأشياء يومية).

معدل النجاح: نجح Topo-ADV في خداع الذكاء الاصطناعي بنسبة 99% إلى 100%. لقد حول الطائرات إلى بيانو، والكراسي إلى أجهزة كمبيوتر محمولة، والسيارات إلى دراجات نارية.
عدم المرئية: عندما قاسوا مدى "وضوح" الهجوم، كان Topo-ADV أفضل بكثير من الطرق السابقة.
- تشبيه: إذا كانت الهجمات الأخرى تشبه رسم شارب على صورة (يمكنك رؤية التغيير)، فإن Topo-ADV يشبه تغيير الحمض النووي للشخص بحيث يبدو مختلفاً قليلاً بالنسبة لماسح ضوئي، لكنه لا يزال يبدو تماماً كما هو بالنسبة لعينيك.
الواقع الحقيقي: لقد نجح الأمر حتى على البيانات الحقيقية الفوضوية (ScanObjectNN) التي تحتوي على ضجيج وفوضى في الخلفية، مما يثبت أنه ليس مجرد خدعة للنماذج الحاسوبية المثالية.

لماذا يهم هذا؟

هذه الورقة البحثية هي بمثابة جرس إنذار لمجتمع سلامة الذكاء الاصطناعي.

ظننا أننا في أمان: افترضنا أنه إذا بدا الجسم كما هو، فسيتعرف عليه الذكاء الاصطناعي بنفس الطريقة. يثبت Topo-ADV أن المظاهر قد تكون خداعة.
ثغرة جديدة: كنا نعلم أن الذكاء الاصطناعي يمكن خداعه بتحريك البكسلات (في الصور ثنائية الأبعاد) أو تحريك النقاط (في ثلاثية الأبعاد). الآن نعلم أن الذكاء الاصطناعي يمكن خداعه بتغيير بنية الجسم نفسه.
الدفاع المستقبلي: لجعل الذكاء الاصطناعي أكثر أماناً، لا يمكننا فقط التحقق مما إذا كان الجسم يبدو صحيحاً. نحتاج إلى تعليم الذكاء الاصطناعي تجاهل هذه "الخدع الطوبولوجية" الدقيقة أو تعلم التعرف على أن كرسياً يحتوي على نفق مخفي لا يزال كرسياً.

الملخص في جملة واحدة

Topo-ADV هو نوع جديد من الخدع الرقمية التي تغير "الهيكل العظمي" غير المرئي لجسم ثلاثي الأبعاد لخداع الذكاء الاصطناعي ليرى شيئاً آخر، كل ذلك مع الحفاظ على مظهر الجسم طبيعياً تماماً للعين البشرية.

إليك ملخص تقني مفصل لورقة البحث بعنوان: "TOPO-ADV: توليد سحب نقاط عدائية مدفوعة بالتوبولوجيا (الطبوغرافية)."

1. بيان المشكلة

تعد الشبكات العصبية العميقة (DNNs) لفهم السحب النقطية ثلاثية الأبعاد (مثل PointNet و DGCNN) فعالة للغاية في التصنيف والتقسيم، لكنها تظل عرضة للهجمات العدائية.

القيود الحالية: تركز الهجمات العدائية ثلاثية الأبعاد الحالية بشكل أساسي على التلاعب الهندسي (تغيير إحداثيات النقاط، أو المتجهات السطحية، أو الانحناء). تفترض هذه الطرق ضمنياً أن الحفاظ على الشكل الهندسي العالمي يحافظ على الهوية الدلالية للكائن.
الفجوة: يتجاهل هذا الافتراض التوبولوجيا الهندسية — وهي الخصائص البنيوية الجوهرية للشكل، مثل المكونات المتصلة، والدوائر (loops)، والأنفاق، والتجاويف. يفترض المؤلفون أن المصنفات ثلاثية الأبعاد تعتمد ضمنياً على الإشارات التوبولوجية، وأن التلاعب بـ البنية الهومولوجية للكائن يمكن أن يؤدي إلى تصنيف خاطئی حتى عندما تكون التشوهات الهندسية غير محسوسة للبشر.
الهدف: تطوير أول إطار عمل لهجوم عدائي يهدف صراحةً إلى تحسين التباعد التوبولوجي مع الحفاظ على عدم الإدراك الهندسي.

2. المنهجية: Topo-ADV

إن Topo-ADV هو إطار عمل قابل للتفاضل من البداية إلى النهاية (end-to-end differentiable) يدمج الهومولوجيا المستمرة (أداة من تحليل البيانات التوبولوجية) مباشرة في حلقة التحسين العدائي.

أ. المكونات الأساسية

وحدة الهومولوجيا المستمرة القابلة للتفاضل:
- يقوم الأسلوب ببناء ترشيح (filtration) لـ معقد ألفا (Alpha complex) من السحابة النقطية لحساب الهومولوجيا المستمرة حتى البعد 2 (التقاط المكونات، والدوائر، والفراغات).
- نظرًا لأن مخططات الاستمرار هي مجموعات متعددة وليست قابلة للتفاضل بشكل مباشر، يستخدم الأسلوب وحدة تضمين قابلة للتعلم ( $\phi$ ). تقوم هذه الوحدة بتحويل أزواج الولادة-الموت $(b_i, d_i)$ إلى أزواج الولادة-الاستمرار $(b_i, p_i)$ ، ومعالجتها عبر شبكة MLP، ووزنها بناءً على استمرارها ( $p_i$ ) لإنشاء تمثيل متجه قابل للتفاضل $\phi(P)$ .
أهداف التحسين:
يقلل الهجوم من دالة خسارة مجمعة $\mathcal{L} = \lambda_1 \mathcal{L}_{\text{cls}} + \lambda_2 \mathcal{L}_{\text{PH}} + \lambda_3 \mathcal{L}_{\text{geom}}$ :
- خسارة التصنيف ( $\mathcal{L}_{\text{cls}}$ ): خسارة هامش Carlini–Wagner لإجبار المصنف على إخراج تسمية خاطئة بثقة عالية.
- الخسارة التوبولوجية ( $\mathcal{L}_{\text{PH}}$ ):
  - خسارة التباعد: تعاقب التشابه بين تضمينات الاستمرار للسحابة الأصلية والعدائية.
  - التلاعب الاتجاهي: جدول مرحلي ثنائي (تدمير $\leftarrow$ إنشاء) يعمل بنشاط على تقصير أو إطالة أعمار الميزات التوبولوجية لزعزعة أو إنشاء هياكل هومولوجية محددة.
- التنظيم الهندسي ( $\mathcal{L}_{\text{geom}}$ ): يضمن بقاء السحابة المضطربة معقولة بصريًا. ويتضمن ذلك:
  - مسافة تشامفر (Chamfer Distance): تحد من الإزاحة العالمية للنقاط.
  - اتساق المتجهات السطعية (Normal Consistency): يحافظ على اتجاه المستوى المماسي المحلي.
  - اتساق الانحناء (Curvature Consistency): يحافظ على بنية السطح من الدرجة الثانية.
  - نعومة لابلاتشيان (Laplacian Smoothness): يثبط الضوضاء عالية التردد.
إجراء التحسين:
- يستخدم الاشتقاق المتدرج المسقط (PGD).
- الإسقاطات: بعد كل خطوة تدرج، يتم إسقاط الاضطرابات على المستوى المماسي للسطح الأصلي (لإزالة المكونات العمودية التي تمنع "رفع" النقاط عن السطح) وتُقيد ضمن ميزانية $\ell_2$ ( $\epsilon$ ).
- الجدول المرحلي الثنائي: يبدأ التلاعب التوبولوجي بمرحلة "التدمير" (إضعاف الميزات الموجودة) تليها مرحلة "الإنشاء" (تشكيل هياكل جديدة) لضمان تطور محكوم.

3. المساهمات الرئيسية

نموذج تهديد جديد: يقدم أول هجوم عدائي مدفوع بالتوبولوجيا للسحب النقطية ثلاثية الأبعاد، مما ينقل النموذج من مجرد الاضطرابات الهندسية إلى التلاعب التوبولوجي.
إطار عمل قابل للتفاضل: يقترح مسار عمل قابل للتفاضل من البداية إلى النهاية يقوم بتضمين مخططات الهومولوجيا المستمرة، مما يسمح بالتحسين القائم على التدرج للميزات التوبولوجية.
التحسين المشترك: يعمل في آن واحد على تحسين التصنيف، والتباعد التوبولوجي، وعدم الإدراك الهندسي، مما يثبت أن الهوية الدلالية يمكن كسرها عبر تغيير الهومولوجيا دون تشويه هندسي واضح.
أداء رائد (State-of-the-Art): أظهر أن الهجمات المدفوعة بالتوبولوجيا تحقق معدلات نجاح أعلى ودرجات أفضل في عدم الإدراك مقارنة بالطرق الهندسية الحالية.

4. النتائج التجريبية

تم تقييم الطريقة على ثلاث مجموعات بيانات مرجعية: ModelNet40، و ShapeNet Part، و ScanObjectNN (نسخة PB-T50-RS) من العالم الحقيقي، باستخدام PointNet و DGCNN كنماذج ضحية.

معدل نجاح الهجوم (ASR):
- حقق Topo-ADV نسبة نجاح ~100% عبر جميع مجموعات البيانات والنماذج الضحية.
- تفوق باستمرار أو ساوى الهجمات الهندسية الرائدة (مثل HiT-ADV، 3D-ADV، GeoA3).
عدم الإدراك (الأمان الهندسي):
- المسافة الموحدة (Uniform Distance): تفوق Topo-ADV بشكل كبير على جميع النماذج المرجعية. على سبيل المثال، في ModelNet40 مع PointNet، حقق مسافة موحدة قدرها 0.0121 مقارلة بـ 0.2883 لأفضل طريقة تالية (HiT-ADV)، مما يمثل تحسنًا بمقدار 23.8 ضعفًا. وهذا يشير إلى أن توزيع النقاط يظل متسقًا إحصائيًا مع الأصل.
- مسافة تشامفر (Chamfer Distance): في ModelNet40، قلل Topo-ADV المسافة إلى 0.0024 (مقابل 0.32 لـ CFG)، مما يظهر دقة سطحية فائقة.
- الانحناء (CSD): بينما كان CSD أعلى قليلاً من بعض النماذج المرجعية (مما يشير إلى تغيرات في الانحناء المحلي)، إلا أن المقايضة أدت إلى اضطراب عالمي طفيف لا يمكن للبشر تمييزه.
المتانة:
- ظل الهجوم فعالاً حتى مع تقليل الميزانيات الحسابية (عدد أقل من التكرارات) وعلى بيانات العالم الحقيقي الصاخبة (ScanObjectNN).
- دراسة الاستئصال (Ablation): تعمل الطريقة بفعالية حتى بدون إعادة التشغيل العشوائي ( $R=0$ )، محققة 99.47% ASR، مما يثبت أن مسار التحسين قوي.
التأثير التوبولوجي: أكد تحليل "إنتروبيا الاستمرار" أن Topo-ADV يعطل بشكل أساسي الهياكل التوبولوجية من الرتب العليا (تحديدًا $H_2$ ، الفراغات)، مما يؤكد أن الهجوم يستهدف البصمة الهومولوجية وليس مجرد الضوضاء.

5. الأهمية

الآثار الأمنية: يكشف هذا العمل عن سطح ثغرات لم يتم استكشافه من قبل في التعلم العميق ثلاثي الأبعاد. فهو يثبت أن المصنفات حساسة للغاية لـ البنية الهومولوجية للأجسام، وليس فقط لمظهرها الهندسي.
تحديات الدفاع: بما أن الاضطرابات غير مدركة هندسيًا (تحافظ على نعومة السطح وكثافته) ولكنها متميزة توبولوجيًا، فإن آليات الدفاع التقليدية التي تعتمد على التنعيم الهندسي أو إزالة الضوضاء قد تفشل.
الاتجاهات المستقبلية: تشير الورقة إلى أن النماذج ثلاثية الأبعاد القوية في المستقبل يجب أن تأخذ في الاعتبار صراحةً الثوابت التوبولوجية أثناء التدريب، متجاوزةً مجرد تعلم الميزات الهندسية البحتة.

باختالاف، يثبت Topo-ADV أن التلاعب بـ "شكل الثقوب" (التوبولوجيا) هو ناقل قوي وخفي لمهاجمة أنظمة الذكاء الاصماعي ثلاثية الأبعاد، مما يتحدى الافتراض بأن الدقة الهندسية تضمن الأمن الدلالي.