Topo-ADV: Generating Topology-Driven Imperceptible Adversarial Point Clouds

1. Planteamiento del Problema

Las redes neuronales profundas para la comprensión de nubes de puntos 3D han logrado un gran éxito en tareas como clasificación y reconocimiento. Sin embargo, son altamente vulnerables a perturbaciones adversarias.

• Limitación de los métodos actuales: La mayoría de los ataques existentes se centran en la manipulación geométrica (desplazamiento de coordenadas, curvatura, densidad de muestreo), asumiendo implícitamente que preservar la fidelidad de la forma global mantiene la identidad semántica del objeto.
• La brecha: Estos enfoques ignoran una propiedad fundamental de las formas 3D: su topología geométrica (componentes conectados, bucles, túneles y cavidades). El artículo propone que las redes neuronales dependen de señales topológicas y que manipular la estructura homológica puede inducir errores de clasificación incluso si las distorsiones geométricas son imperceptibles.

2. Metodología: Topo-ADV

El autor presenta Topo-ADV, un marco de ataque adversarial de extremo a extremo que utiliza la homología persistente como objetivo de optimización explícito.

Componentes Clave:

1. Módulo de Homología Persistente Diferenciable:

   • Se calcula la homología persistente (hasta dimensión 2) utilizando la filtración de Complejo Alpha.
   • Los diagramas de persistencia (multiconjuntos de pares nacimiento-muerte) se convierten en representaciones diferenciables mediante un embebido aprendible (MLP) que pondera las características por su "vida útil" (persistencia).
   • Esto permite el flujo de gradientes desde la señal topológica hacia la nube de puntos.

2. Función de Pérdida Compuesta:
   El ataque optimiza simultáneamente tres objetivos:

   • Pérdida de Divergencia Topológica ($\mathcal{L}_{div}$): Penaliza la similitud entre la firma topológica de la nube limpia y la adversaria.
   • Manipulación Direccional ($\mathcal{L}_{dir}$): Modula las vidas útiles de las clases de homología. Opera en dos fases:
     • Fase de Destrucción: Acorta las vidas útiles dominantes para desestabilizar características topológicas existentes.
     • Fase de Creación: Aumenta las vidas útiles para fomentar nuevas estructuras estables.
   • Pérdida de Clasificación ($\mathcal{L}_{cls}$): Basada en el margen de Carlini-Wagner, busca reducir la confianza del clasificador en la etiqueta correcta.
   • Restricciones de Imperceptibilidad Geométrica ($\mathcal{L}_{geom}$): Incluye distancia de Chamfer, consistencia de normales, consistencia de curvatura y suavidad Laplaciana para asegurar que la perturbación sea visualmente plausible y respete la geometría local.

3. Procedimiento de Optimización:

   • Utiliza Descenso de Gradiente Proyectado (PGD).
   • Aplica dos proyecciones tras cada actualización de gradiente:
     1. Proyección al plano tangente (elimina componentes normales para evitar levantar puntos fuera de la superficie).
     2. Proyección a una bola $\ell_2$ (limita la magnitud de la perturbación por punto).

3. Contribuciones Principales

• Nuevo Modelo de Amenaza: Introduce el primer ataque adversarial impulsado por topología para el aprendizaje profundo de nubes de puntos 3D, estableciendo la manipulación topológica como una nueva superficie de vulnerabilidad.
• Marco de Optimización Conjunta: Desarrolla un sistema que equilibra la manipulación topológica, el éxito de la clasificación errónea y la fidelidad geométrica.
• Evaluación Exhaustiva: Se prueba en conjuntos de datos estándar (ModelNet40, ShapeNet Part, ScanObjectNN) y arquitecturas de víctimas (PointNet, DGCNN).

4. Resultados Experimentales

Los experimentos demuestran que Topo-ADV supera a los métodos del estado del arte (SOTA) en varios aspectos:

• Tasa de Éxito del Ataque (ASR): Logra tasas de éxito cercanas al 100% en todos los conjuntos de datos y modelos probados (ej. 99.86% en ModelNet40 con PointNet, 100% en DGCNN).
• Imperceptibilidad Superior:
  • Aunque manipula la topología, mantiene una fidelidad geométrica excepcional.
  • En la métrica de Distancia Uniforme (que mide la consistencia de la densidad de muestreo local), Topo-ADV supera drásticamente a los métodos existentes. Por ejemplo, en ModelNet40 con PointNet, reduce la distancia uniforme de 0.2883 (HiT-ADV) a 0.0121, una mejora de un orden de magnitud.
  • Muestra una mayor fidelidad de superficie (menor distancia de Chamfer y Hausdorff) en comparación con métodos anteriores como CFG.
• Robustez en Datos Reales: En el conjunto de datos ScanObjectNN (ruido real, oclusiones), mantiene un 100% de ASR con baja distorsión geométrica.
• Análisis de Perturbación: El ataque induce cambios significativos en la entropía de persistencia de la dimensión 2 (huecos/voids), indicando que altera principalmente estructuras topológicas de orden superior.

5. Significado e Impacto

• Vulnerabilidad Oculta: El trabajo revela que la homología persistente es una superficie de vulnerabilidad previamente inexplorada en el aprendizaje profundo 3D. Los modelos actuales son frágiles ante cambios sutiles en la estructura global (topología) incluso cuando la apariencia local (geometría) se mantiene intacta.
• Cambio de Paradigma: Desplaza el enfoque de los ataques adversariales de la manipulación puramente geométrica a la optimización consciente de la topología.
• Implicaciones de Seguridad: Dado que las perturbaciones son geométricamente indistinguibles para los humanos pero catastróficas para los modelos, esto plantea riesgos significativos para aplicaciones críticas como la conducción autónoma, la robótica y la realidad aumentada, donde la integridad topológica de los objetos es crucial.

En conclusión, Topo-ADV demuestra que la topología es un vector de ataque potente y que la defensa de los sistemas 3D debe considerar no solo la geometría, sino también la estructura homológica de los datos.