Rethinking Gradient-based Adversarial Attacks on Point Cloud Classification

1. Il Problema

Gli attacchi adversarial basati su gradienti sono ampiamente utilizzati per valutare la robustezza dei classificatori di nuvole di punti 3D (es. PointNet, DGCNN). Tuttavia, i metodi esistenti presentano due limitazioni fondamentali:

• Regole di aggiornamento uniformi: Applicano la stessa magnitudine di perturbazione a tutti i punti e a tutte le nuvole di punti, ignorando l'eterogeneità del contributo dei gradienti punto per punto e la diversità strutturale tra diversi campioni.
• Distorsioni percettibili: Questa uniformità porta a perturbazioni eccessive in regioni non critiche e a distorsioni geometriche locali (outlier) o incoerenze globali, rendendo gli esempi adversarial facilmente rilevabili dall'occhio umano o da metriche geometriche.

L'obiettivo è bilanciare l'efficacia dell'attacco (alta percentuale di successo) con l'impercettibilità (minima distorsione geometrica e visiva).

2. Metodologia Proposta

Gli autori propongono un nuovo framework che combina due strategie complementari: WAAttack e SubAttack.

A. WAAttack (Weighted Attack with Adaptive Step Size)

Questo modulo migliora l'ottimizzazione del gradiente attraverso due meccanismi chiave:

1. Meccanismo di Ponderazione Punto per Punto (Point-wise Weighting):
   • Invece di aggiornare tutti i punti allo stesso modo, il metodo calcola la norma del gradiente per ogni punto.
   • Assegna un peso $\omega_i$ basato sulla sensibilità del punto alla decisione del modello. I punti nelle regioni discriminative ricevono perturbazioni più forti, mentre i punti meno critici vengono soppressi.
   • Questo riduce il rumore inutile e mantiene la naturalezza geometrica.
2. Adattamento Dinamico del Passo (Sample-Aware Step Size):
   • Il passo di aggiornamento ($\eta$) non è fisso, ma si adatta dinamicamente per ogni campione in base all'efficienza di riduzione della perdita (loss) osservata in un aggiornamento "tentativo".
   • Se la perdita diminuisce significativamente, il passo viene amplificato; se il progresso è scarso, viene attenuato. Questo bilancia la velocità di convergenza e la stabilità della perturbazione.

B. SubAttack (Subset-based Attack)

Costruito sopra WAAttack, questo modulo introduce una strategia di sparsità implicita:

• Partizionamento: La nuvola di punti di input viene divisa casualmente in $K$ sotto-insiemi disgiunti (sub-point clouds) ad ogni iterazione.
• Selezione Ottimale: Per ogni combinazione di sotto-insiemi, viene calcolato un punteggio composito $S = \Delta L_{cls} - \lambda D$, dove $\Delta L_{cls}$ è la riduzione della perdita (efficacia) e $D$ è la distorsione geometrica (misurata tramite distanza di Chamfer, Hausdorff e norma $l_2$).
• Aggiornamento Selettivo: Vengono selezionati e perturbati solo i sotto-insiemi che massimizzano questo punteggio. Questo evita modifiche ridondanti in regioni irrilevanti, migliorando drasticamente l'impercettibilità.

3. Contributi Chiave

1. Osservazione Critica: Dimostrano che le perturbazioni uniformi falliscono nel considerare l'importanza variabile dei gradienti tra i punti e le diverse esigenze strutturali tra i campioni.
2. Nuovo Framework: Propongono WAAttack, che integra pesi dinamici e passi adattivi, e la sua variante avanzata SubAttack, che ottimizza la selezione delle combinazioni di sotto-nuvole.
3. Prestazioni SOTA: Sperimentazioni estensive dimostrano che il metodo supera lo stato dell'arte (SOTA) in termini di impercettibilità mantenendo un alto tasso di successo di attacco.

4. Risultati Sperimentali

Gli esperimenti sono stati condotti su due dataset benchmark (ModelNet40 e ScanObjectNN) e su quattro modelli vittima (PointNet, DGCNN, PCT, CurveNet).

• Efficacia e Impercettibilità:
  • WAAttack e SubAttack raggiungono tassi di successo (ASR) pari o superiori al 99% su quasi tutti i modelli.
  • Riducono drasticamente le distorsioni geometriche rispetto ai metodi SOTA (es. CIM, HiT-Adv). In particolare, la distanza di Chamfer ($D_c$) e la norma $l_2$ ($D_l$) sono significativamente più basse (es. su DGCNN, $D_c$ scende da ~14.91 di SI-Adv a ~3.20 con WAAttack e ~2.89 con SubAttack).
• Efficienza Computazionale:
  • Il metodo è notevolmente più veloce di molte controparti basate su deformazione o ottimizzazione complessa, con tempi di esecuzione medi (A.T) tra i più bassi della tabella (es. 0.18s su DGCNN per WAAttack contro 0.75s di SI-Adv).
• Analisi Visiva:
  • Le visualizzazioni mostrano che i campioni generati dal metodo proposto hanno meno outlier e una distribuzione più uniforme rispetto alle basi, risultando meno percettibili all'occhio umano.

5. Significato e Impatto

Questo lavoro offre un raffinamento principiato degli attacchi adversarial basati su gradienti per le nuvole di punti 3D.

• Sicurezza: Fornisce strumenti più rigorosi per valutare i limiti di robustezza dei sistemi di percezione 3D critici per la sicurezza (es. guida autonoma, navigazione indoor).
• Innovazione Metodologica: Sposta il paradigma dall'approccio "tutto o nulla" (uniforme) a un approccio adattivo e selettivo, dimostrando che la sparsità e l'adattività sono fondamentali per generare esempi adversarial sia efficaci che invisibili.
• Riproducibilità: Il codice è stato reso pubblico, facilitando ulteriori ricerche sulla robustezza dei modelli 3D.

In sintesi, il paper dimostra che adattando dinamicamente l'intensità della perturbazione in base alla sensibilità locale e selezionando strategicamente le regioni da attaccare, è possibile superare i compromessi tradizionali tra forza dell'attacco e qualità visiva/geometrica.