Rethinking Gradient-based Adversarial Attacks on Point Cloud Classification

1. Planteamiento del Problema

A pesar del éxito de las Redes Neuronales Profundas (DNN) en el procesamiento de datos 3D (como nubes de puntos de LiDAR), estos modelos son extremadamente vulnerables a ataques adversarios. Los ataques basados en gradientes existentes, aunque efectivos, sufren de una falta de heterogeneidad en su estrategia de actualización:

• Actualización Uniforme: Aplican la misma magnitud de perturbación a todos los puntos y a todas las nubes de puntos, ignorando que la importancia del gradiente varía punto a punto y que la estructura geométrica difiere entre muestras.
• Consecuencias: Esto genera distorsiones locales excesivas (puntos "outliers") e inconsistencias globales, lo que hace que las perturbaciones sean perceptibles visualmente y menos "sigilosas" (imperceptibles), comprometiendo la evaluación realista de la robustez de los modelos.

2. Metodología Propuesta

Los autores proponen un marco de trabajo que mejora los ataques basados en gradientes mediante dos estrategias complementarias: WAAttack y SubAttack.

A. WAAttack (Ataque con Ponderación y Tamaño de Paso Adaptativo)

Este marco introduce dos mecanismos clave para refinar la optimización:

1. Mecanismo de Ponderación Punto a Punto:
   • Calcula la norma del gradiente para cada punto individualmente.
   • Asigna un peso ($\omega_i$) basado en la sensibilidad del punto a la decisión del modelo. Los puntos en regiones discriminativas reciben perturbaciones más fuertes, mientras que los puntos menos críticos se suprimen.
   • Objetivo: Mitigar el desequilibrio de las perturbaciones locales y mejorar la eficiencia del ataque.
2. Estrategia de Tamaño de Paso Adaptativo:
   • Ajusta dinámicamente el tamaño del paso ($\eta$) para cada muestra de nube de puntos basándose en la eficiencia de reducción de la pérdida (comparando la pérdida actual con una actualización tentativa).
   • Utiliza factores de amplificación ($\alpha$) y atenuación ($\beta$) para equilibrar la velocidad de convergencia y la estabilidad de la perturbación.
   • Objetivo: Adaptarse a la diversidad estructural entre diferentes nubes de puntos, evitando perturbaciones excesivas en muestras que requieren menos modificación.

B. SubAttack (Ataque por Subconjuntos)

Basado en WAAttack, esta variante busca mejorar la imperceptibilidad mediante la dispersión implícita:

• Particionamiento: Divide la nube de puntos de entrada en $K$ subconjuntos disjuntos de forma aleatoria en cada iteración.
• Selección Óptima: Evalúa combinaciones de estos subconjuntos calculando una puntuación compuesta ($S$) que equilibra la reducción de la pérdida de clasificación ($\Delta L_{cls}$) y la distorsión geométrica ($D$, medida por distancia de Chamfer, Hausdorff y norma $l_2$).
• Actualización Esparsa: Solo se perturban los puntos pertenecientes a la combinación de subconjuntos con la puntuación más alta.
• Objetivo: Evitar modificaciones redundantes en regiones irrelevantes, logrando un ataque efectivo con una menor huella visual.

3. Contribuciones Clave

1. Observación Crítica: Identifican que las perturbaciones uniformes fallan al no considerar la variabilidad en la importancia de los gradientes entre puntos y la diversidad estructural entre nubes de puntos.
2. Nuevo Marco (WAAttack): Proponen un enfoque de gradiente con ponderación dinámica y tamaños de paso adaptativos, junto con su variante mejorada SubAttack que selecciona combinaciones óptimas de sub-nubes de puntos.
3. Rendimiento Superior: Demuestran experimentalmente que su método logra un estado del arte (SOTA) en imperceptibilidad manteniendo una alta tasa de éxito de ataque, superando a métodos existentes como CIM y HiT-Adv.

4. Resultados Experimentales

Los experimentos se realizaron en dos conjuntos de datos estándar: ModelNet40 (modelos CAD sintéticos) y ScanObjectNN (escaneos del mundo real con oclusiones), atacando cuatro modelos de clasificación (PointNet, DGCNN, PCT, CurveNet).

• Tasa de Éxito (ASR): WAAttack y SubAttack alcanzaron tasas de éxito cercanas al 100% en la mayoría de los casos, igualando o superando a los métodos baselines.
• Imperceptibilidad (Distorsión Geométrica):
  • Redujeron significativamente las métricas de distorsión: Distancia de Chamfer ($D_c$), Distancia de Hausdorff ($D_h$) y norma $l_2$ ($D_l$).
  • Por ejemplo, en DGCNN con ModelNet40, SubAttack logró una $D_c$ de 2.89 (vs. 14.91 de SI-Adv) y una $D_h$ de 0.51 (vs. 1.96), manteniendo un ASR del 100%.
• Eficiencia Computacional: SubAttack y WAAttack mostraron tiempos de ejecución promedio (A.T) muy bajos, superando en velocidad a métodos complejos como HiT-Adv.
• Análisis de Ablación: Se confirmó que el término de ponderación reduce drásticamente la distorsión geométrica sin sacrificar el éxito, y que el tamaño de paso adaptativo mejora tanto la fuerza del ataque como la eficiencia. La elección óptima de $K=4$ subconjuntos en SubAttack ofreció el mejor equilibrio.

5. Significado e Impacto

Este trabajo es significativo porque redefine cómo se generan los ejemplos adversarios en el dominio 3D. Al pasar de una estrategia de "talla única" a una adaptativa y esparsa, el método logra:

• Evaluación de Robustez Más Rigurosa: Permite probar los límites reales de los modelos de percepción 3D con perturbaciones que son realmente imperceptibles para el ojo humano, evitando falsos positivos derivados de distorsiones geométricas obvias.
• Seguridad en Aplicaciones Críticas: Al mejorar la detección de vulnerabilidades sutiles en sistemas de conducción autónoma y navegación, ayuda a desarrollar modelos más seguros.
• Eficiencia: Ofrece un método que no solo es más sigiloso, sino también computacionalmente eficiente, facilitando su adopción en entornos de investigación y desarrollo prácticos.

En resumen, el artículo presenta una solución principista que equilibra la efectividad del ataque, la sigilosidad visual y la eficiencia computacional, superando las limitaciones de los enfoques de gradiente uniformes tradicionales.