Beyond Defenses: Manifold-Aligned Regularization for Intrinsic 3D Point Cloud Robustness

Resumen Técnico: Más allá de las Defensas: Regularización Alineada al Manifold para la Robustez Intrínseca de Nubes de Puntos 3D

Enunciado del Problema
A pesar de los avances en la clasificación de nubes de puntos 3D, las redes neuronales profundas (DNN) siguen siendo altamente frágiles ante ataques adversarios. Los mecanismos de defensa existentes, como la eliminación de valores atípicos, el entrenamiento adversario (AT) y la aumento de datos, operan principalmente a nivel de entrada o de optimización. Los autores argumentan que estos métodos pasan por alto la causa raíz geométrica de la fragilidad adversaria: una desalineación del manifold entre la geometría intrínseca de la superficie del objeto subyacente y la geometría latente aprendida por la red.

El artículo postula que las nubes de puntos 3D yacen sobre un manifold de baja dimensión incrustado en $\mathbb{R}^3$. Mientras que la estructura intrínseca (definida por distancias geodésicas, curvatura y continuidad de la superficie) representa la verdadera geometría del objeto, las arquitecturas estándar (por ejemplo, PointNet, DGCNN) aprenden espacios de características latentes donde la geometría está gobernada por métricas de similitud aprendidas y operaciones de agrupamiento. Cuando estas geometrías latentes se desalinean con el manifold intrínseco, la red trata el ruido de muestreo, las fluctuaciones de densidad y los cambios menores de punto de vista como características significativas. En consecuencia, pequeñas perturbaciones que preservan la geometría a lo largo del manifold de entrada inducen distorsiones desproporcionadas en el espacio de características, lo que lleva a clasificaciones erróneas.

Metodología: Reconocimiento de Puntos Alineado al Manifold (MAPR)
Para abordar esta desalineación sin depender del entrenamiento adversario ni de datos adicionales, los autores proponen el Reconocimiento de Puntos Alineado al Manifold (MAPR). Este marco consta de dos componentes complementarios diseñados para regularizar la geometría latente:

1. Aumento de Características Intrínsecas:
   El método enriquece las coordenadas de puntos crudas con características geométricas intrínsecas que capturan la estructura local del manifold. Estas características incluyen:

   • Estimaciones de Curvatura: Aproximadas utilizando el Laplaciano de paseo aleatorio aplicado a las coordenadas de los puntos para medir la desviación local respecto a los vecinos.
   • Descriptores de Difusión Multi-escala: Construidos mediante potencias de una matriz de adyacencia estocástica por filas en un grafo $k$-NN. Estos codifican cómo la geometría local y la densidad de muestreo se propagan a través de los vecindarios, proporcionando un descriptor intrínseco de grueso a fino.
     Estas características se concatenan con las coordenadas crudas para formar la entrada de la red base.

2. Regularización de Consistencia Intrínseca:
   Los autores introducen una función de pérdida de consistencia ($L_{cons}$) que penaliza las discrepancias entre la salida del modelo y la variación geométrica intrínseca correspondiente.

   • Mecanismo: Para una nube de puntos de entrada $X$, se genera una vista perturbada $X'$ (mediante una pequeña rotación aleatoria y jitter gaussiano). Se calculan características intrínsecas para ambas vistas.
   • Función de Pérdida: La pérdida minimiza la divergencia simétrica de Kullback-Leibler (KL) entre las distribuciones de clases predichas de $X$ y $X'$, normalizada por la norma de Frobenius de la diferencia entre sus mapas de características intrínsecas ($\Phi(X) - \Phi(X')$).
   • Objetivo Teórico: Esto impone un límite de Lipschitz relativo, asegurando que pequeñas deformaciones intrínsecas (que preservan la forma subyacente) resulten en cambios proporcionalmente pequeños en el espacio latente. Matemáticamente, fomenta que el Jacobiano del mapeo se alinee con el Jacobiano inverso del mapa de características intrínsecas, limitando efectivamente la distorsión del manifold.

El objetivo de entrenamiento total combina la pérdida estándar de clasificación por entropía cruzada con este regularizador de consistencia intrínseca.

Contribuciones Clave

• Interpretación Geométrica: El artículo proporciona una interpretación geométrica unificada de la fragilidad adversaria en 3D, vinculando la teoría adversaria clásica con la desalineación entre los manifolds de superficie intrínsecos y los espacios de características latentes.
• Marco MAPR: Introduce un marco de regularización que mejora la robustez alineando las predicciones a través de perturbaciones intrínsecas, utilizando aumento de características intrínsecas y pérdida de consistencia.
• Validación Empírica: El método se evalúa en cinco arquitecturas representativas (PointNet, PointNet++, DGCNN, CurveNet, PointMLP) en dos conjuntos de datos (ModelNet40 y ScanObjectNN) bajo nueve ataques adversarios distintos.

Resultados Experimentales
Los autores reportan mejoras consistentes en la robustez en todas las arquitecturas y conjuntos de datos probados, sin utilizar ejemplos adversarios durante el entrenamiento:

• ModelNet40: MAPR logró una ganancia promedio de robustez de +20.02% sobre las líneas base estándar. Se observaron ganancias notables para PointMLP (+29.68%) y PointNet++ (+27.29%).
• ScanObjectNN: En este conjunto de datos más desafiante con ruido y oclusión del mundo real, MAPR logró una ganancia promedio de robustez de +8.58%.
• Comparación con Entrenamiento Adversario (AT): En muchos casos, MAPR igualó o superó la robustez de los modelos entrenados con entrenamiento adversario, particularmente en ModelNet40.
• Compatibilidad: Se demuestra que MAPR es complementario a defensas a nivel de entrada como la Eliminación Estadística de Valores Atípicos (SOR). Combinar MAPR con SOR a menudo arrojó las puntuaciones de robustez más altas.
• Estudios de Ablación: Los experimentos confirmaron que tanto las características intrínsecas como la regularización de Lipschitz son necesarias; la formulación completa de MAPR superó a las variantes que utilizaban solo un componente.

Significado y Afirmaciones
El artículo afirma que la robustez en las redes de nubes de puntos está fundamentalmente conectada con la estructura geométrica del espacio latente aprendido. Al demostrar que alinear las representaciones latentes con la geometría intrínseca de la superficie del objeto mitiga la vulnerabilidad adversaria, los autores sugieren que la regularización consciente de la geometría ofrece una alternativa viable a las defensas puramente impulsadas por ataques.

Los autores enfatizan que MAPR proporciona un enfoque "simple y efectivo" que no requiere la sobrecarga computacional de generar ejemplos adversarios durante el entrenamiento ni la recopilación de datos adicionales. Concluyen que su trabajo motiva futuras investigaciones sobre métodos de robustez conscientes de la geometría y aprendizaje de representaciones para redes profundas 3D, desplazando el enfoque de defenderse contra ataques específicos a corregir la geometría de representación subyacente.