💻 computer science

Topo-ADV: Generating Topology-Driven Imperceptible Adversarial Point Clouds

Ce papier présente Topo-ADV, la première attaque adversaire pour les nuages de points 3D qui exploite la structure homologique via l'homologie persistante pour générer des perturbations imperceptibles et atteindre un taux de réussite de 100 % sur des classificateurs d'état de l'art.

Auteurs originaux : Gayathry Chandramana Krishnan Nampoothiry, Raghuram Venkatapuram, Anirban Ghosh, Ayan Dutta

Publié 2026-04-15

📖 4 min de lecture☕ Lecture pause café

CC BY 4.0

Auteurs originaux : Gayathry Chandramana Krishnan Nampoothiry, Raghuram Venkatapuram, Anirban Ghosh, Ayan Dutta

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

🛡️ Topo-ADV : Le "Tour de Magie" qui trompe les robots sans qu'ils s'en rendent compte

Imaginez que vous avez un robot très intelligent capable de reconnaître des objets en 3D, comme une voiture, un avion ou une chaise, simplement en regardant un nuage de points (des milliers de petits points qui dessinent la forme de l'objet). C'est ce qu'on appelle l'intelligence artificielle pour les "nuages de points".

Le problème ? Ces robots sont comme des enfants qui apprennent : ils sont très forts, mais ils ont des failles. Si on bouge un tout petit peu les points, le robot peut se tromper complètement (par exemple, penser qu'une voiture est un éléphant).

Jusqu'à présent, les chercheurs pensaient que pour tromper le robot, il fallait jouer sur la géométrie (déplacer les points, changer la courbure). C'est comme essayer de tromper quelqu'un en changeant légèrement la couleur de ses yeux ou la forme de son nez.

Topo-ADV change la donne. Il ne joue pas sur la forme, mais sur l'architecture invisible de l'objet.

1. L'Analogie du "Gâteau" vs "La Structure"

Pour comprendre Topo-ADV, imaginez un gâteau en forme de donut (un beignet).

La Géométrie (l'approche ancienne) : C'est comme essayer de tromper quelqu'un en changeant la couleur du glaçage ou en ajoutant un peu de sucre en poudre. On modifie la surface.
La Topologie (l'approche Topo-ADV) : C'est le fait qu'il y ait un trou au milieu. Peu importe si le donut est rouge, bleu, ou s'il est un peu écrasé, tant qu'il a un trou, c'est un donut. Si vous bougez les points de manière à combler ce trou ou à en créer un nouveau, vous changez l'essence même de l'objet aux yeux des mathématiques.

Topo-ADV est le premier à dire : "Pour tromper le robot, ne changeons pas la couleur du gâteau, changeons le nombre de trous qu'il possède."

2. Comment ça marche ? (Le Tour de Magie)

Les chercheurs ont créé un outil appelé Topo-ADV. Voici comment il opère, étape par étape :

Le Détective Invisible (L'Homologie Persistante) : Imaginez que le robot a une paire de lunettes magiques qui lui permet de voir non pas la surface, mais les "trous", les "boucles" et les "tunnels" cachés dans l'objet. C'est ce qu'on appelle la topologie.
Le Sabotage Subtil : Topo-ADV prend un objet (par exemple, un avion) et bouge les points de manière infime. Si vous regardez l'avion, il semble exactement pareil. C'est comme si vous aviez bougé une poussière sur une table : l'œil humain ne voit rien.
Le Piège : Mais pour le robot, ce petit mouvement a créé ou détruit un "tunnel" invisible dans la structure de l'avion. Pour le robot, l'avion n'est plus un avion, c'est devenu un piano (ou une chaise, selon l'exemple).

3. Pourquoi est-ce si impressionnant ?

L'article montre que cette méthode est redoutable pour trois raisons :

C'est invisible : Les perturbations sont si petites que l'œil humain ne voit aucune différence. C'est comme si l'objet avait été volé par un fantôme.
C'est efficace à 100% : Sur les tests, Topo-ADV arrive à tromper les robots dans presque tous les cas (jusqu'à 100% de réussite), alors que les anciennes méthodes échouaient parfois.
C'est nouveau : Avant, on pensait que si la forme globale restait belle, le robot était en sécurité. Topo-ADV prouve que le robot est en fait très sensible à la "structure mathématique" cachée, même si la forme visuelle est parfaite.

4. L'Analogie Finale : Le Puzzle

Imaginez un puzzle représentant un chat.

L'attaque ancienne : On déplace quelques pièces de 1 millimètre. Le chat a l'air un peu tordu, mais on le reconnaît encore.
L'attaque Topo-ADV : On déplace les pièces de manière à ce que, mathématiquement, le chat ait maintenant deux têtes ou qu'il soit relié à une queue qui ne devrait pas l'être. Visuellement, le chat ressemble toujours au même chat. Mais pour le cerveau du robot qui analyse la "connectivité" des pièces, c'est devenu un monstre inconnu.

En résumé

Topo-ADV est une nouvelle arme (ou un nouveau test de sécurité) qui prouve que les intelligences artificielles qui voient en 3D sont vulnérables non pas parce qu'elles sont malades, mais parce qu'elles ne comprennent pas la différence entre "la forme" et "la structure".

C'est comme si on apprenait à un enfant à reconnaître un chien, mais qu'on lui montrait un chien dont on a secrètement changé le nombre de pattes en 3D. L'enfant (le robot) sera perdu, même si le chien a l'air normal.

Cela nous force à construire des robots plus robustes, capables de comprendre la vraie nature des objets, et pas seulement leur apparence de surface.

1. Problématique

Les réseaux de neurones profonds pour la compréhension des nuages de points 3D (comme PointNet ou DGCNN) ont obtenu des résultats remarquables en classification et segmentation. Cependant, ils restent vulnérables aux attaques adverses.

Limitation des approches existantes : La majorité des attaques actuelles manipulent les propriétés géométriques (déplacement des points, courbure, densité d'échantillonnage) en supposant implicitement que préserver la fidélité de la forme globale préserve l'identité sémantique de l'objet.
Hypothèse centrale : Les auteurs remettent en cause cette hypothèse. Ils postulent que les réseaux de neurones s'appuient également sur des indices topologiques (structure homologique : composantes connexes, boucles, cavités) et que la manipulation de cette structure homologique peut induire une mauvaise classification, même si les distorsions géométriques restent imperceptibles à l'œil humain.

2. Méthodologie : Topo-ADV

L'article propose Topo-ADV, un cadre d'attaque adversaire de bout en bout et différentiable qui intègre l'homologie persistante comme objectif d'optimisation explicite.

A. Module d'Homologie Persistante Différentiable

Pour capturer la structure globale 3D, le système calcule l'homologie persistante (dimensions 0, 1 et 2) en utilisant un complexe Alpha comme filtration.

Encodage : Les diagrammes de persistance (ensembles de paires naissance-mort) sont transformés en vecteurs différentiables via une représentation apprenable (MLP). Chaque paire $(b_i, d_i)$ est convertie en $(b_i, p_i)$ où $p_i$ est la persistance (durée de vie).
Représentation : Le vecteur d'embedding $\phi(P)$ est une somme pondérée par la persistance des vecteurs de caractéristiques.

B. Fonction de Perte (Objectif d'Optimisation)

L'attaque optimise simultanément trois composantes pour générer un nuage de points adversaire $P_{adv}$ :

Perte de Divergence Topologique ( $\mathcal{L}_{PH}$ ) :
- Elle pénalise la similarité entre l'embedding topologique du nuage propre et celui du nuage adversaire.
- Elle inclut une manipulation directionnelle : un mode "destruction" (réduire la persistance des features dominantes) et un mode "création" (augmenter la persistance pour faire émerger de nouvelles structures). Un calendrier automatique alterne entre ces phases pour contrôler l'évolution topologique.
Perte de Mauvaise Classification ( $\mathcal{L}_{cls}$ ) :
- Basée sur la marge de confiance (Carlini-Wagner), elle force le classifieur à attribuer une probabilité plus élevée à une classe incorrecte qu'à la classe vraie.
Contraintes d'Imperceptibilité Géométrique ( $\mathcal{L}_{geom}$ ) :
- Pour garantir que l'attaque reste invisible, plusieurs régularisateurs sont appliqués :
  - Distance de Chamfer : Limite le déplacement global des points.
  - Cohérence des Normales : Préserve l'orientation des plans tangents locaux.
  - Cohérence de la Courbure : Maintient la structure différentielle d'ordre deux.
  - Lissage Laplacien : Supprime le bruit haute fréquence et assure un mouvement cohérent des points.

C. Procédure d'Optimisation

L'algorithme utilise la Descente de Gradient Projeté (PGD). Après chaque mise à jour du gradient, deux projections sont appliquées :

Projection sur le plan tangent : Supprime la composante normale du déplacement pour éviter de soulever les points hors de la surface (réalisme physique).
Contrainte de budget ( $\ell_2$ ) : Garantit que le déplacement de chaque point ne dépasse pas un seuil $\epsilon$ .

3. Contributions Clés

Première attaque basée sur la topologie : Introduction de Topo-ADV comme le premier cadre d'attaque exploitant la manipulation de l'homologie persistante pour les nuages de points 3D.
Nouveau modèle de menace : Démonstration que la structure homologique est une surface de vulnérabilité inexploitée, distincte des perturbations purement géométriques.
Framework d'optimisation conjointe : Capacité à manipuler la topologie tout en maintenant une fidélité géométrique stricte grâce à des contraintes d'imperceptibilité avancées.

4. Résultats Expérimentaux

Les expériences ont été menées sur trois jeux de données : ModelNet40 (synthétique), ShapeNet Part (synthétique) et ScanObjectNN (données réelles bruitées), avec les classifieurs PointNet et DGCNN.

Taux de Succès de l'Attaque (ASR) : Topo-ADV atteint un taux de réussite de 100% (ou quasi-systématique, ex: 99.86%) sur tous les jeux de données et architectures, surpassant ou égalant les méthodes de l'état de l'art (comme HiT-ADV, 3D-ADV).
Imperceptibilité (Métriques) :
- Distance Uniforme : Topo-ADV obtient des scores nettement supérieurs (plus faibles), indiquant une préservation exceptionnelle de la densité d'échantillonnage locale (ex: 0.0121 contre 0.2883 pour HiT-ADV sur ModelNet40/PointNet).
- CSD (Écart-type de la courbure) : Les scores sont comparables aux meilleures méthodes, montrant que la modification de la courbure est minimale.
- Distances géométriques : Sur ModelNet40, la distance de Chamfer est réduite à 0.0024 (contre 0.32 pour la méthode CFG), prouvant une fidélité de surface bien supérieure.
Robustesse aux données réelles : L'attaque reste efficace à 100% sur ScanObjectNN (PB-T50-RS), malgré le bruit des capteurs et les occlusions.
Analyse de la persistance : L'attaque provoque principalement des perturbations dans la dimension homologique supérieure ( $H_2$ , les cavités/vides), modifiant la complexité topologique sans altérer drastiquement la forme globale.

5. Signification et Impact

Ce travail marque un tournant dans la recherche sur la robustesse des modèles 3D :

Il démontre que la topologie est un vecteur d'attaque aussi puissant, voire plus, que la géométrie locale.
Il révèle une vulnérabilité fondamentale des réseaux de neurones actuels qui semblent ignorer ou mal interpréter les changements subtils dans la structure homologique globale.
Il ouvre la voie à de nouvelles défenses qui doivent intégrer la régularisation topologique, et non seulement géométrique, pour sécuriser les systèmes de perception 3D (robotique, véhicules autonomes, réalité augmentée).

En résumé, Topo-ADV prouve qu'il est possible de tromper un classifieur 3D en modifiant subtilement la "forme" topologique d'un objet (ses trous, ses boucles, ses cavités) de manière si fine que l'œil humain ne peut distinguer l'objet original de l'objet adversaire.