💻 computer science

Topo-ADV: Generating Topology-Driven Imperceptible Adversarial Point Clouds

यह शोध पत्र Topo-ADV को प्रस्तुत करता है, जो 3D पॉइंट क्लाउड्स के लिए पहला टोपोलॉजी-संचालित एडवरसैरियल अटैक फ्रेमवर्क है, जो पारंपरिक ज्यामितीय गुणों के बजाय होमोलॉजिकल कमजोरियों का लाभ उठाकर अदृश्य गड़बड़ी (imperceptible perturbations) उत्पन्न करने के लिए पर्सिस्टेंट होमोलॉजी का उपयोग करता है और 100% तक अटैक सक्सेस रेट प्राप्त करता है।

मूल लेखक: Gayathry Chandramana Krishnan Nampoothiry, Raghuram Venkatapuram, Anirban Ghosh, Ayan Dutta

प्रकाशित 2026-04-15

📖 6 मिनट में पढ़ें🧠 गहराई से पढ़ें

CC BY 4.0

मूल लेखक: Gayathry Chandramana Krishnan Nampoothiry, Raghuram Venkatapuram, Anirban Ghosh, Ayan Dutta

मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। ✨ नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें

यहाँ सरल भाषा और रचनात्मक उपमाओं (analogies) का उपयोग करके Topo-ADV पेपर की व्याख्या दी गई है।

मुख्य विचार: "चीजों के आकार" के साथ छेड़छाड़ करना

कल्पना कीजिए कि आपके पास एक रोबोट है जो हजारों छोटे बिंदुओं (एक "पॉइंट क्लाउड") से बनी किसी 3D वस्तु (जैसे कुर्सी या कार) को देख सकता है और तुरंत बता सकता है कि वह क्या है। यह रोबोट बहुत स्मार्ट है, लेकिन इस शोध पत्र के शोधकर्ताओं ने इसकी एक गुप्त कमजोरी खोज निकाली है: रोबोट केवल आकार को नहीं देखता; वह आकार के "कंकाल" (skeleton) को भी देखता है।

आमतौर पर, हैकर्स इस रोबट को बेवकूफ बनाने के लिए बिंदुओं को थोड़ा सा हिला देते हैं, जैसे समुद्र तट पर रेत के कुछ दानों को थोड़ा सा खिसका देना ताकि एक रेत का महल धूल के ढेर जैसा दिखने लगे। इसे जियोमेट्रिक अटैक (geometric attack) कहा जाता है।

Topo-ADV अलग है। रेत के दानों को केवल हिलाने के बजाय, यह रेत के महल की कनेक्टिविटी (connectivity) को बदल देता है। यह वैसा ही है जैसे चुपके से रेत के महल के माध्यम से एक छिपा हुआ रास्ता (tunnel) बना देना या एक ठोस ब्लॉक को एक खोखले छल्ले (ring) में बदल देना। आपकी मानवीय आंखों के लिए, महल बिल्कुल वैसा ही दिखता है। लेकिन रोबोट के "टोपोलॉजिकल" मस्तिष्क के लिए, वस्तु की पहचान मौलिक रूप से बदल गई है।

मूल अवधारणा: टोपोलॉजी बनाम ज्योमेट्री (Topology vs. Geometry)

इसे समझने के लिए, आइए कॉफी मग बनाम डोनट की उपमा का उपयोग करें।

ज्योमेट्री (Geometry) सटीक आकार, हैंडल के घुमाव और सिरेमिक की मोटाई के बारे में है। यदि आप मग को पिचका देते हैं, तो ज्योमेट्री बदल जाती है।
टोपोलॉजी (Topology) "छेद" (holes) के बारे में है। एक कॉफी मग में एक छेद होता है (हैंडल)। एक डोनट में एक छेद होता है (केंद्र)। एक गोले (जैसे गेंद) में शून्य छेद होते हैं।

गणित में, एक मग और एक डोनट वास्तव में "एक ही" हैं क्योंकि दोनों में ठीक एक छेद होता है। आप एक मग को बिना फटे डोनट के आकार में खींच सकते हैं।

शोध का निष्कर्ष:
शोधकर्ताओं ने पाया कि 3D AI मॉडल (जैसे PointNet और DGCNN) वस्तुओं को पहचानने के लिए इन "छेद" और लूप्स की गिनती करने पर बहुत अधिक निर्भर करते हैं।

हमला (The Attack): Topo-ADV पॉइंट क्लाउड में ऐसे सूक्ष्म, अदृश्य बदलाव करता है जो इन "छेद" को बनाते हैं या नष्ट कर देते हैं।
परिणाम: AI वहां एक "छेद" देखता है जहां नहीं होना चाहिए (या इसके विपरीत), इसलिए वह सोचता है, "ओह, यह अब कुर्सी नहीं है; यह एक पियानो है!" भले ही वस्तु इंसान को बिल्कुल समान दिखाई दे रही हो।

यह हमला कैसे काम करता है (नुस्खा)

शोधकर्ताओं ने Topo-ADV नामक एक उपकरण बनाया। इसे एक ऐसे शेफ के रूप में सोचें जो एक ऐसा केक बनाने की कोशिश कर रहा है जो दिखने में तो एकदम सही है लेकिन स्वाद में जूते जैसा है। उन्हें तीन सामग्रियों के बीच संतुलन बनाना होगा:

"धोखा" (Misclassification): लक्ष्य AI को गलत लेबल बताने के लिए मजबूर करना है (जैसे विमान को पियानो कहना)।
"जादू" (Topology): वे पर्सिस्टेंट होमोलॉजी (Persistent Homology) नामक एक गणितीय उपकरण का उपयोग करते हैं। कल्पना कीजिए कि यह एक "एक्स-रे विजन" है जो विभिन्न आकारों में यह गिनता है कि कितने लूप और बुलबुले मौजूद हैं। हमला इन गणनाओं को बदलने के लिए विशेष रूप से बिंदुओं को टवीक करता है।
"भेष" (Imperceptibility): यह सबसे महत्वपूर्ण हिस्सा है। बदलाव इतने छोटे होने चाहिए कि मानवीय आंख उन्हें देख न सके। यह टूल सुनिश्चित करता है कि बिंदु दूर न जाएं, सतह ऊबड़-खाबड़ न दिखे, और बिंदुओं का घनत्व (density) समान रहे।

प्रक्रिया:

कंप्यूटर एक साफ 3D मॉडल (जैसे हवाई जहाज) लेता है।
यह "टोपोलॉजिकल सिग्नेचर" (छेद/लूप की गिनती) की गणना करता है।
यह उस सिग्नेचर को बदलने के लिए बिंदुओं को एक विशिष्ट दिशा में धकेलना शुरू करता है।
यह जांचता है: "क्या AI भ्रमित हो गया? क्या यह अभी भी इंसान को विमान जैसा दिख रहा है?"
यह तब तक हजारों बार दोहराता है जब तक कि इसे वह सटीक, अदृश्य धक्का न मिल जाए जो AI के दिमाग को खराब कर दे।

परिणाम: भेष बदलने में माहिर

शोधकर्ताओं ने इसका परीक्षण प्रसिद्ध डेटासेट्स (जैसे ModelNet40, जिसमें रोजमर्रा की वस्तुओं के 3D मॉडल हैं) पर किया।

सफलता दर: Topo-ADV ने AI को 99% से 100% बार बेवकूफ बनाया। इसने हवाई जहाजों को पियानो में, कुर्सियों को लैपटॉप में और कारों को मोटरसाइकिल में बदल दिया।
अदृश्यता: जब उन्होंने यह मापा कि हमला कितना "दृश्यमान" था, तो Topo-ADV पिछले तरीकों की तुलना में कहीं बेहतर था।
- उपमा: यदि अन्य हमले किसी फोटो पर मूंछें बनाने जैसे थे (आप बदलाव देख सकते हैं), तो Topo-ADV किसी व्यक्ति के DNA को बदलने जैसा है ताकि वे स्कैनर के लिए थोड़े अलग दिखें, लेकिन आपकी आंखों के लिए वे बिल्कुल वैसे ही दिखें।
वास्तविक दुनिया: यह शोर (noise) और बैकग्राउंड क्लटर वाले वास्तविक दुनिया के डेटा (ScanObjectNN) पर भी काम कर गया, जिससे साबित हुआ कि यह केवल परफेक्ट कंप्यूटर मॉडल के लिए एक ट्रिक नहीं है।

यह क्यों मायने रखता है?

यह शोध पत्र AI सुरक्षा समुदाय के लिए एक चेतावनी है।

हमें लगा कि हम सुरक्षित हैं: हमने माना था कि यदि कोई वस्तु वैसी ही दिखती है, तो AI उसे उसी तरह पहचानेगा। Topo-ADV साबित करता है कि दिखावा धोखा दे सकता है।
नई भेद्यता (Vulnerability): हम जानते थे कि AI को पिक्सेल (2D फोटो में) या डॉट्स (3D में) हिलाकर बेवकूफ बनाया जा सकता है। अब हमें पता है कि AI को वस्तु की संरचना (structure) बदलकर भी बेवकूफ बनाया जा सकता है।
भविष्य का बचाव: AI को सुरक्षित बनाने के लिए, हमें केवल यह नहीं देखना है कि वस्तु सही दिख रही है या नहीं। हमें AI को इन सूक्ष्म "टोपोलॉजिकल ट्रिक्स" को अनदेखा करना सिखाना होगा या यह पहचानना सिखाना होगा कि एक छिपे हुए सुरंग वाला कुर्सी अभी भी एक कुर्सी ही है।

एक वाक्य में सारांश

Topo-ADV एक नए प्रकार का डिजिटल जादू का खेल है जो किसी 3D वस्तु के अदृश्य "कंकाल" को बदल देता है ताकि AI को कुछ और देखने के लिए मजबूर किया जा सके, जबकि वस्तु मानवीय आंखों के लिए पूरी तरह से सामान्य दिखती रहती है।

यहाँ शोध पत्र "TOPO-ADV: GENERATING TOPOLOGY-DRIVEN IMPERCEPTIBLE ADVERSARIAL POINT CLOUDS" का विस्तृत तकनीकी सारांश दिया गया है।

1. समस्या विवरण (Problem Statement)

3D पॉइंट क्लाउड समझ (जैसे PointNet, DGCNN) के लिए डीप न्यूरल नेटवर्क (DNNs) वर्गीकरण और विभाजन (segmentation) के लिए अत्यधिक प्रभावी हैं, लेकिन वे एडवरसैरियल हमलों (adversarial attacks) के प्रति संवेदनशील बने हुए हैं।

वर्तमान सीमाएँ: मौजूदा 3D एडवरसैरियल हमले मुख्य रूप से ज्यामितीय हेरफेर (geometric manipulation) पर ध्यान केंद्रित करते हैं (बिंदु निर्देशांक, सतह के नॉर्मल, या वक्रता/curvature को विचलित करना)। ये विधियाँ अंतर्निहित रूप से यह मानती हैं कि वैश्विक ज्यामितीय आकार को संरक्षित करने से वस्तु की सिमेंटिक पहचान भी संरक्षित रहती है।
अंतराल (The Gap): यह धारणा ज्यामितीय टोपोलॉजी (geometric topology) की अनदेखी करती है—जो किसी आकार के आंतरिक संरचनात्मक गुण हैं, जैसे कि कनेक्टेड कंपोनेंट्स, लूप्स, टनल और कैविटीज़ (गुहाएँ)। लेखकों का अनुमान है कि 3D क्लासिफायर टोपोलॉजिकल संकेतों पर अप्रत्यक्ष रूप से निर्भर करते हैं और किसी वस्तु की होमोलॉजिकल संरचना (homological structure) में हेरफेर करने से गलत वर्गीकरण हो सकता है, भले ही ज्यामितीय विरूपण मनुष्यों के लिए अदृश्य हों।
लक्ष्य: एक ऐसा पहला एडवरसैरियल अटैक फ्रेमवर्क विकसित करना जो ज्यामितीय अदृश्यता बनाए रखते हुए स्पष्ट रूप से टोपोलॉजिकल डाइवर्जेंस (topological divergence) के लिए अनुकूलित (optimize) हो।

2. कार्यप्रणाली: Topo-ADV (Methodology: Topo-ADV)

Topo-ADV एक एंड-टू-एंड डिफरेंशिएबल फ्रेमवर्क है जो परसिस्टेंट होमोलॉजी (टोपोलॉजिकल डेटा एनालिसिस से एक उपकरण) को सीधे एडवरसैरियल ऑप्टिमाइज़ेशन लूप में एकीकृत करता है।

A. मुख्य घटक (Core Components)

डिफरेंशिएबल परसिस्टेंट होमोलॉजी मॉड्यूल:
- यह विधि पॉइंट क्लाउड से एक अल्फा कॉम्प्लेक्स (Alpha complex) फिल्ट्रेशन का निर्माण करती है ताकि डायमेंशन 2 तक की परसिस्टेंट होमोलॉजी (कंपोनेंट्स, लूप्स और वॉइड्स को कैप्चर करने के लिए) की गणना की जा सके।
- चूंकि पर्सिस्टेंस डायग्राम मल्टीसेट्स होते हैं और सीधे डिफरेंशिएबल नहीं होते, इसलिए यह विधि एक लर्नेबल एम्बेडिंग मॉड्यूल ( $\phi$ ) का उपयोग करती है। यह बर्थ-डेथ पेयर्स $(b_i, d_i)$ को बर्थ-पर्सिस्टेंस पेयर्स $(b_i, p_i)$ में बदल देता है, उन्हें एक MLP के माध्यम से प्रोसेस करता है, और उन्हें उनकी पर्सिस्टेंस ( $p_i$ ) द्वारा वेट करता है ताकि एक डिफरेंशिएबल वेक्टर रिप्रेजेंटेशन $\phi(P)$ बनाया जा सके।
ऑप्टिमाइज़ेशन ऑब्जेक्टिव्स (Optimization Objectives):
यह हमला एक संयुक्त लॉस फंक्शन $\mathcal{L} = \lambda_1 \mathcal{L}_{\text{cls}} + \lambda_2 \mathcal{L}_{\text{PH}} + \lambda_3 \mathcal{L}_{\text{geom}}$ को कम करता है:
- मिसक्लासिफिकेशन लॉस ( $\mathcal{L}_{\text{cls}}$ ): एक कार्लिनी-वागनेर मार्जिन लॉस, जो क्लासिफायर को उच्च विश्वास के साथ गलत लेबल आउटपुट करने के लिए मजबूर करता है।
- टोपोलॉजिकल लॉस ( $\mathcal{L}_{\text{PH}}$ ):
  - डाइवर्जेंस लॉस: क्लीन और एडवरसैरियल पर्सिस्टेंस एम्बेडिंग्स के बीच समानता को दंडित करता है।
  - डायरेक्शनल मैनिपुलेशन: एक दो-चरणीय शेड्यूलिंग (Destruction $\to$ Creation) जो टोपोलॉजिकल फीचर्स के जीवनकाल (lifetimes) को सक्रिय रूप से छोटा या लंबा करता है ताकि विशिष्ट होमोलॉजिकल संरचनाओं को अस्थिर या निर्मित किया जा सके।
- ज्यामितीय रेगुलेराइजेशन ( $\mathcal{L}_{\text{geom}}$ ): यह सुनिश्चित करता है कि विचलित क्लाउड दृश्य रूप से प्रशंसनीय बना रहे। इसमें शामिल हैं:
  - चैम्फर डिस्टेंस (Chamfer Distance): वैश्विक बिंदु विस्थापन को सीमित करता है।
  - नॉर्मल कंसिस्टेंसी (Normal Consistency): स्थानीय स्पर्श-तल (tangent-plane) ओरिएंटेशन को बनाए रखता है।
  - कर्वेचर कंसिस्टेंसी (Curvature Consistency): द्वितीय-क्रम (second-order) सतह संरचना को बनाए रखता है।
  - लैपलेसियन स्मूथनेस (Laplacian Smoothness): हाई-फ्रीक्वेंसी शोर को दबाता है।
ऑप्टिमाइज़ेशन प्रक्रिया (Optimization Procedure):
- प्रोजेक्टेड ग्रेडिएंट डिसेंट (PGD) का उपयोग करता है।
- प्रोजेक्शन: प्रत्येक ग्रेडिएंट स्टेप के बाद, विचलनों को मूल सतह के टेंजेंट प्लेन पर प्रोजेक्ट किया जाता है (बिंदुओं को सतह से "लिफ्ट" होने से रोकने के लिए नॉर्मल कंपोनेंट्स को हटा दिया जाता है) और $\ell_2$ बजट ( $\epsilon$ ) के भीतर सीमित किया जाता है।
- दो-चरणीय शेड्यूलिंग: टोपोलॉजी मैनिपुलेशन "डिस्ट्रक्शन" चरण (मौजूदा फीचर्स को कमजोर करना) से शुरू होकर "क्रिएशन" चरण (नई संरचनाएं बनाना) तक जाता है ताकि नियंत्रित विकास सुनिश्चित हो सके।

3. प्रमुख योगदान (Key Contributions)

नया थ्रेट मॉडल: 3D पॉइंट क्लाउड्स के लिए पहले टोपोलॉजी-ड्रिवन एडवरसैरियल अटैक को पेश करता है, जो शुद्ध ज्यामितीय विचलनों से बदलकर टोपोलॉजिकल मैनिपुलेशन की ओर जाता है।
डिफरेंशिएबल फ्रेमवर्क: एक एंड-टू-एंड डिफरेंशिएबल पाइपलाइन प्रस्तावित करता है जो पर्सिस्टेंट होमोलॉजी डायग्राम को एम्बेड करता है, जिससे टोपोलॉजिकल फीचर्स का ग्रेडिएंट-आधारित ऑप्टिमाइज़ेशन संभव होता है।
संयुक्त अनुकूलन (Joint Optimization): मिसक्लासिफिकेशन, टोपोलॉजिकल डाइवर्जेंस और ज्यामितीय अदृश्यता के लिए एक साथ अनुकूलित करता है, यह सिद्ध करता है कि स्पष्ट ज्यामितीय विरूपण के बिना भी होमोलॉजी को बदलकर सिमेंटिक पहचान को तोड़ा जा सकता है।
स्टेट-ऑफ-द-आर्ट प्रदर्शन: प्रदर्शित करता है कि टोपोलॉजी-ड्रिवन हमले मौजूदा ज्योमेट्री-ड्रिवन तरीकों की तुलना में उच्च सफलता दर और बेहतर अदृश्यता स्कोर प्राप्त करते हैं।

4. प्रयोगात्मक परिणाम (Experimental Results)

इस पद्धति का मूल्यांकन तीन बेंचमार्क डेटासेट्स पर किया गया: ModelNet40, ShapeNet Part, और वास्तविक दुनिया का ScanObjectNN (PB-T50-RS वेरिएंट), जिसमें PointNet और DGCNN को विक्टिम मॉडल के रूप में उपयोग किया गया।

अटैक सक्सेस रेट (ASR):
- Topo-ADV ने सभी डेटासेट्स और विक्टिम मॉडल्स पर ~100% ASR प्राप्त किया।
- इसने लगातार स्टेट-ऑफ-द-आर्ट ज्योमेट्री-आधारित हमलों (जैसे HiT-ADV, 3D-ADV, GeoA3) को पछाड़ा या उनके बराबर प्रदर्शन किया।
अदृश्यता (ज्यामितीय निष्ठा/Geometric Fidelity):
- यूनिफॉर्म डिस्टेंस: Topo-ADV ने सभी बेसलाइन्स से काफी बेहतर प्रदर्शन किया। उदाहरण के लिए, PointNet के साथ ModelNet40 पर, इसने 0.0121 का यूनिफॉर्म डिस्टेंस प्राप्त किया, जबकि अगले सर्वश्रेष्ठ तरीके (HiT-ADV) का यह 0.2883 था, जो 23.8x सुधार दर्शाता है। यह इंगित करता है कि बिंदु वितरण मूल के सांख्यिकीय रूप से सुसंगत रहता है।
- चैम्फर डिस्टेंस: ModelNet40 पर, Topo-ADV ने चैम्फर डिस्टेंस को 0.0024 तक कम कर दिया (CFG के 0.32 के मुकाबले), जो बेहतर सतह निष्ठा दिखाता है।
- कर्वेचर (CSD): हालांकि CSD कुछ बेसलाइन्स की तुलना में थोड़ा अधिक था (जो स्थानीय वक्रता परिवर्तनों को दर्शाता है), यह ट्रेड-ऑफ एक वैश्विक सूक्ष्म विचलन का परिणाम था जिसे मनुष्य पहचान नहीं सकते।
मजबूती (Robustness):
- हमला कम कम्प्यूटेशनल बजट (कम इटरेशन) और शोर वाले, वास्तविक दुनिया के डेटा (ScanObjectNN) पर भी प्रभावी रहा।
- एब्लेशन (Ablation): यह विधि रैंडम रीस्टार्ट्स ( $R=0$ ) के बिना भी प्रभावी ढंग से काम करती है, 99.47% ASR प्राप्त करती है, जो सिद्ध करता है कि ऑप्टिमाइज़ेशन प्रक्षेपवक्र (trajectory) मजबूत है।
टोपोलॉजिकल प्रभाव: पर्सिस्टेंस एंट्रॉपी का विश्लेषण बताता है कि Topo-ADV मुख्य रूप से उच्च-क्रम टोपोलॉजिकल संरचनाओं (विशेष रूप से $H_2$ , वॉइड्स) को बाधित करता है, जो पुष्टि करता है कि हमला केवल शोर के बजाय होमोलॉजिकल सिग्नेचर को लक्षित करता है।

5. महत्व (Significance)

सुरक्षा निहितार्थ: यह कार्य 3D डीप लर्निंग के लिए एक पहले से अनछुए भेद्यता सतह (vulnerability surface) को प्रकट करता है। यह प्रदर्शित करता है कि क्लासिफायर वस्तुओं के केवल ज्यामितीय स्वरूप के प्रति ही नहीं, बल्कि उनके होमोलॉजिकल स्ट्रक्चर के प्रति भी अत्यधिक संवेदनशील हैं।
रक्षा चुनौतियाँ: चूंकि विचलन ज्यामितीय रूप से अदृश्य हैं (सतह की चिकनाई और घनत्व को बनाए रखते हुए) लेकिन टोपोलॉजिकल रूप से भिन्न हैं, इसलिए ज्यामितीय स्मूथिंग या डीनोइजिंग पर निर्भर पारंपरिक रक्षा तंत्र विफल हो सकते हैं।
भविष्य की दिशाएँ: यह शोध पत्र सुझाव देता है कि भविष्य के मजबूत 3D मॉडल्स को प्रशिक्षण के दौरान टोपोलॉजिकल इनवेरियंट्स (topological invariants) को स्पष्ट रूप से ध्यान में रखना चाहिए, जो विशुद्ध रूप से ज्यामितीय फीचर लर्निंग से आगे बढ़कर हो।

संक्षेप में, Topo-ADV यह सिद्ध करता है कि "छेद के आकार" (topology) को मैनिपुलेट करना 3D AI सिस्टम पर हमला करने का एक शक्तिशाली और गुप्त तरीका है, जो इस धारणा को चुनौती देता है कि ज्यामितीय निष्ठा (geometric fidelity) सिमेंटिक सुरक्षा की गारंटी देती है।