Beyond Defenses: Manifold-Aligned Regularization for Intrinsic 3D Point Cloud Robustness

Riepilogo Tecnico: Oltre le Difese: Regularizzazione Allineata al Manifold per la Robustezza Intrinseca delle Nuvole di Punti 3D

Enunciato del Problema
Nonostante i progressi nella classificazione delle nuvole di punti 3D, le reti neurali profonde (DNN) rimangono altamente fragili agli attacchi avversari. I meccanismi di difesa esistenti—come la rimozione degli outlier, l'addestramento avversario (AT) e l'aumento dei dati—operano principalmente a livello di input o di ottimizzazione. Gli autori sostengono che questi metodi trascurano la causa geometrica radice della fragilità avversaria: un disallineamento del manifold tra la geometria intrinca della superficie dell'oggetto sottostante e la geometria latente appresa dalla rete.

Il documento ipotizza che le nuvole di punti 3D giacciano su un manifold a bassa dimensione immerso in $\mathbb{R}^3$. Mentre la struttura intrinseca (definita da distanze geodetiche, curvatura e continuità della superficie) rappresenta la vera geometria dell'oggetto, le architetture standard (ad es. PointNet, DGCNN) apprendono spazi di caratteristiche latenti in cui la geometria è governata da metriche di similarità apprese e operazioni di pooling. Quando queste geometrie latenti diventano disallineate rispetto al manifold intrinseco, la rete tratta il rumore di campionamento, le fluttuazioni di densità e i minimi cambiamenti di punto di vista come caratteristiche significative. Di conseguenza, piccole perturbazioni che preservano la geometria lungo il manifold di input inducono distorsioni sproporzionate nello spazio delle caratteristiche, portando a classificazioni errate.

Metodologia: Riconoscimento di Punti Allineato al Manifold (MAPR)
Per affrontare questo disallineamento senza fare affidamento sull'addestramento avversario o su dati aggiuntivi, gli autori propongono il Riconoscimento di Punti Allineato al Manifold (MAPR). Questo framework è composto da due componenti complementari progettate per regolarizzare la geometria latente:

1. Aumento delle Caratteristiche Intrinseche:
   Il metodo arricchisce le coordinate dei punti grezzi con caratteristiche geometriche intrinseche che catturano la struttura locale del manifold. Queste caratteristiche includono:

   • Stime di Curvatura: Approssimate utilizzando il Laplaciano a passeggiata casuale applicato alle coordinate dei punti per misurare la deviazione locale rispetto ai vicini.
   • Descrittori di Diffusione Multi-scala: Costruiti tramite potenze di una matrice di adiacenza stocastica per righe su un grafo $k$-NN. Questi codificano come la geometria locale e la densità di campionamento si propagano attraverso i vicini, fornendo un descrittore intrinseco dal grossolano al fine.
     Queste caratteristiche vengono concatenate con le coordinate grezze per formare l'input della rete di base.

2. Regularizzazione della Coerenza Intrinseca:
   Gli autori introducono una funzione di perdita di coerenza ($L_{cons}$) che penalizza le discrepanze tra l'output del modello e la corrispondente variazione geometrica intrinseca.

   • Meccanismo: Per una nuvola di punti di input $X$, viene generata una vista perturbata $X'$ (tramite piccola rotazione casuale e jitter gaussiano). Vengono calcolate le caratteristiche intrinseche per entrambe le viste.
   • Funzione di Perdita: La perdita minimizza la divergenza simmetrica di Kullback-Leibler (KL) tra le distribuzioni di classe previste di $X$ e $X'$, normalizzata dalla norma di Frobenius della differenza delle loro mappe di caratteristiche intrinseche ($\Phi(X) - \Phi(X')$).
   • Obiettivo Teorico: Questo impone un limite di Lipschitz relativo, garantendo che piccole deformazioni intrinseche (che preservano la forma sottostante) risultino in cambiamenti proporzionalmente piccoli nello spazio latente. Matematicamente, incoraggia l'Jacobian della mappatura ad allinearsi con l'inverso dell'Jacobian della mappa delle caratteristiche intrinseche, limitando efficacemente la distorsione del manifold.

L'obiettivo totale di addestramento combina la perdita standard di classificazione cross-entropy con questo regolarizzatore di coerenza intrinseca.

Contributi Chiave

• Interpretazione Geometrica: Il documento fornisce un'interpretazione geometrica unificata della fragilità avversaria in 3D, collegando la teoria avversaria classica al disallineamento tra i manifold superficiali intrinseci e gli spazi di caratteristiche latenti.
• Framework MAPR: Introduce un framework di regolarizzazione che migliora la robustezza allineando le previsioni attraverso perturbazioni intrinseche, utilizzando l'aumento delle caratteristiche intrinseche e la funzione di perdita di coerenza.
• Validazione Empirica: Il metodo è stato valutato su cinque architetture rappresentative (PointNet, PointNet++, DGCNN, CurveNet, PointMLP) su due dataset (ModelNet40 e ScanObjectNN) sotto nove distinti attacchi avversari.

Risultati Sperimentali
Gli autori riportano miglioramenti coerenti nella robustezza su tutte le architetture e i dataset testati, senza utilizzare esempi avversari durante l'addestramento:

• ModelNet40: MAPR ha raggiunto un guadagno medio di robustezza di +20,02% rispetto ai baseline vanilla. Sono stati osservati guadagni notevoli per PointMLP (+29,68%) e PointNet++ (+27,29%).
• ScanObjectNN: Su questo dataset più impegnativo con rumore e occlusione del mondo reale, MAPR ha raggiunto un guadagno medio di robustezza di +8,58%.
• Confronto con l'Addestramento Avversario (AT): In molti casi, MAPR ha eguagliato o superato la robustezza dei modelli addestrati con addestramento avversario, in particolare su ModelNet40.
• Compatibilità: È stato dimostrato che MAPR è complementare alle difese a livello di input come la Rimozione Statistica degli Outlier (SOR). La combinazione di MAPR con SOR ha spesso prodotto i punteggi di robustezza più alti.
• Studi di Ablazione: Gli esperimenti hanno confermato che sia le caratteristiche intrinseche che la regolarizzazione di Lipschitz sono necessarie; la formulazione completa di MAPR ha superato le varianti che utilizzavano solo una componente.

Significato e Affermazioni
Il documento afferma che la robustezza nelle reti di nuvole di punti è fondamentalmente connessa alla struttura geometrica dello spazio latente appreso. Dimostrando che l'allineamento delle rappresentazioni latenti con la geometria intrinseca della superficie dell'oggetto mitiga la vulnerabilità avversaria, gli autori suggeriscono che la regularizzazione consapevole della geometria offre un'alternativa praticabile alle difese puramente guidate dagli attacchi.

Gli autori sottolineano che MAPR fornisce un approccio "semplice ed efficace" che non richiede il sovraccarico computazionale di generare esempi avversari durante l'addestramento o la raccolta di dati aggiuntivi. Concludono che il loro lavoro stimola ricerche future su metodi di robustezza consapevoli della geometria e sull'apprendimento di rappresentazioni per le reti profonde 3D, spostando il focus dalla difesa contro attacchi specifici alla correzione della geometria di rappresentazione sottostante.