Topo-ADV: Generating Topology-Driven Imperceptible Adversarial Point Clouds

1. Il Problema

Le reti neurali profonde per la comprensione di nuvole di punti 3D (usate in robotica, guida autonoma, AR/VR) hanno raggiunto ottimi risultati, ma rimangono vulnerabili agli attacchi avversari.

• Limitazione degli approcci esistenti: Gli attacchi attuali manipolano principalmente le proprietà geometriche (posizione dei punti, curvature, densità di campionamento), assumendo implicitamente che preservare la fedeltà della forma globale significhi preservare l'identità semantica dell'oggetto.
• Il gap di ricerca: Questa assunzione trascura una proprietà fondamentale delle forme 3D: la loro topologia geometrica (componenti connesse, loop, tunnel, cavità). Il paper ipotizza che le reti neurali si basino implicitamente su segnali topologici e che la manipolazione della struttura omologica possa indurre errori di classificazione anche con distorsioni geometriche impercettibili.

2. Metodologia: Topo-ADV

Il paper introduce Topo-ADV, il primo framework di attacco avversario guidato dalla topologia per l'apprendimento profondo su nuvole di punti. È un sistema end-to-end differenziabile che ottimizza simultaneamente tre obiettivi.

A. Modulo di Omologia Persistente Differenziabile

Per catturare la struttura globale, il metodo calcola l'omologia persistente (fino alla dimensione 2) utilizzando la filtrazione del complesso alfa.

• Embedding Differenziabile: Poiché i diagrammi di persistenza sono multinsiem e non direttamente ottimizzabili via gradiente, vengono trasformati in vettori differenziabili ($\phi(P)$). Ogni coppia nascita-morte $(b_i, d_i)$ viene convertita in una coppia nascita-vita $(b_i, p_i)$, passata attraverso una MLP e pesata in base alla sua persistenza ($p_i$).
• Funzione di Perdita Topologica ($L_{PH}$):
  1. Divergenza Topologica ($L_{div}$): Penalizza la somiglianza tra l'embedding topologico della nuvola pulita e quella avversaria, forzando un cambiamento nella firma topologica.
  2. Manipolazione Direzionale ($L_{dir}$): Modula attivamente le "vite" (lifetimes) delle classi omologiche. Opera in due fasi: una fase di "distruzione" (accorciare le vite dominanti per destabilizzare le strutture esistenti) e una fase di "creazione" (allungare le vite per favorire nuove strutture).

B. Obiettivo di Misclassificazione

Utilizza la Carlini–Wagner margin loss basata sulla confidenza per massimizzare la probabilità che l'oggetto venga classificato in una classe errata, massimizzando il margine tra la classe vera e la classe più probabile tra le altre.

C. Vincoli di Impercettibilità Geometrica

Per garantire che l'attacco sia invisibile all'occhio umano e mantenga la plausibilità fisica, vengono applicati regolarizzatori geometrici:

• Distanza di Chamfer: Limita lo spostamento globale dei punti.
• Coerenza delle Normale: Preserva l'orientamento del piano tangente locale.
• Coerenza della Curvatura: Mantiene la struttura differenziale di secondo ordine della superficie.
• Laplaciano di Smoothness: Sopprime il rumore ad alta frequenza e incoraggia un movimento coerente dei punti.

D. Procedura di Ottimizzazione

L'attacco utilizza la Projected Gradient Descent (PGD). Dopo ogni aggiornamento del gradiente, vengono applicati due operatori di proiezione:

1. Proiezione sul piano tangente: Rimuove le componenti normali allo spostamento per mantenere i punti sulla superficie originale.
2. Vincolo di budget ($\ell_2$): Assicura che lo spostamento di ogni punto non superi una soglia $\epsilon$.

3. Contributi Chiave

1. Nuovo Modello di Minaccia: Introduce la manipolazione topologica come una superficie di vulnerabilità precedentemente inesplorata, andando oltre le perturbazioni puramente geometriche.
2. Framework Unificato: Topo-ADV è il primo sistema che ottimizza congiuntamente la divergenza topologica, la misclassificazione e l'impercettibilità geometrica in un'unica pipeline differenziabile.
3. Efficacia Dimostrata: Dimostra che alterare la struttura omologica (loop, cavità) è sufficiente per ingannare i classificatori, anche quando la forma visiva rimane quasi identica.

4. Risultati Sperimentali

Gli esperimenti sono stati condotti su dataset benchmark (ModelNet40, ShapeNet Part, ScanObjectNN) utilizzando classificatori come PointNet e DGCNN.

• Tasso di Successo dell'Attacco (ASR): Topo-ADV raggiunge un ASR del 100% (o quasi, es. 99.86%) su tutti i dataset e modelli testati, superando o eguagliando gli stati dell'arte (SOTA).
• Impercettibilità Geometrica:
  • Rispetto agli attacchi SOTA, Topo-ADV ottiene una distanza Uniform significativamente inferiore (es. 0.0121 vs 0.2883 su ModelNet40 con PointNet), indicando che la densità di campionamento locale viene preservata quasi perfettamente.
  • Sebbene la deviazione standard della curvatura (CSD) sia leggermente più alta di alcuni metodi, questo è un compromesso accettabile per ottenere la manipolazione topologica necessaria.
  • Su ScanObjectNN (dati reali rumorosi), l'attacco mantiene il 100% di successo con distorsioni geometriche minime.
• Analisi di Persistenza: L'attacco induce cambiamenti significativi nell'entropia della persistenza, specialmente nelle strutture di ordine superiore (H2), confermando che la vulnerabilità risiede nella complessità topologica.

5. Significato e Implicazioni

Il lavoro di Topo-ADV ha un impatto fondamentale sulla sicurezza dell'IA 3D:

• Cambio di Paradigma: Sposta il focus della sicurezza dalle sole coordinate geometriche alla struttura topologica intrinseca degli oggetti.
• Vulnerabilità Inaspettata: Rivela che i modelli attuali sono estremamente fragili rispetto a modifiche sottili della struttura omologica (es. creazione o distruzione di un "buco" o di una cavità), anche se la forma visiva non cambia in modo percettibile.
• Sfida per la Robustezza: Suggerisce che le tecniche di difesa attuali, basate su regolarizzazione geometrica o smoothing, potrebbero essere insufficienti se non tengono conto della stabilità topologica.

In sintesi, Topo-ADV dimostra che la topologia è un vettore di attacco potente e trascurato, costringendo la comunità a ripensare come i modelli 3D apprendono e rappresentano la forma degli oggetti.