Rethinking Gradient-based Adversarial Attacks on Point Cloud Classification

Probleemstelling

Diepe Neurale Netwerken (DNN's) worden steeds vaker ingezet voor het verwerken van 3D-puntenwolkdata (bijvoorbeeld in autonoom rijden en navigatie). Deze modellen zijn echter kwetsbaar voor adversariële aanvallen, waarbij onzichtbare verstoringen (perturbaties) worden toegevoegd om de classificatie te laten falen.

Bestaande op gradiënten gebaseerde aanvalsmethoden hebben echter twee belangrijke tekortkomingen:

1. Uniforme updates: Ze passen een uniforme update-regel toe op alle punten, wat de heterogeniteit van individuele punten negeert. Sommige punten dragen meer bij aan de beslissing van het model dan andere, maar worden toch even sterk aangepast.
2. Gebrek aan adaptiviteit: Ze gebruiken vaste perturbatiestijlen voor verschillende steekproeven, terwijl de geometrische structuur en het vertrouwen van het model per steekproef verschillen.

Dit leidt tot waarneembare vervormingen en lokale uitbijters (outliers), wat de "onzichtbaarheid" (imperceptibility) van de aanval vermindert en de veiligheid van kritieke systemen in gevaar brengt.

Methodologie

De auteurs stellen twee complementaire strategieën voor om de effectiviteit en onzichtbaarheid van aanvallen te verbeteren: WAAttack en SubAttack.

1. WAAttack (Weighted Attack with Adaptive Step Size)

Deze methode introduceert een dynamisch gewichtingsmechanisme en een adaptieve stapgrootte:

• Puntsgewijze Weegmechanisme (Point-wise Weighting): In plaats van alle punten gelijk te behandelen, berekent de methode de gradiëntnorm voor elk punt. Punten in discriminatieve gebieden (waar de gradiënt sterk is) krijgen een hoger gewicht en dus een sterkere verstoring. Minder kritieke punten worden onderdrukt. Dit zorgt voor een efficiëntere aanval met minder geometrische vervorming.
• Steekproefbewuste Adaptieve Stapgrootte (Sample-Aware Step Size): De grootte van de stap ($\eta$) wordt dynamisch aangepast op basis van de "look-ahead" verliesreductie. Als een voorlopige update het classificatierisico effectief verlaagt, wordt de stap vergroot; anders wordt deze verkleind. Dit balanceert convergentiesnelheid en stabiliteit per steekproef.

De update-regel wordt:
p'_{i}^{(t+1)} = p'_{i}^{(t)} - \eta^{(t)} \cdot \omega^{(t)}_{i} \cdot \vec{n}^{(t)}
Waarbij $\omega$ het puntsgewicht is en $\eta$ de adaptieve stapgrootte.

2. SubAttack (Subset-based Attack)

Dit is een verfijning van WAAttack die extra nadruk legt op sparsiteit (het vermijden van onnodige wijzigingen):

• Partitionering: De invoer-puntenwolk wordt willekeurig opgedeeld in $K$ disjuncte subsets.
• Optimale Subset-selectie: In elke iteratie worden alle mogelijke combinaties van deze subsets getest. De combinatie die de beste balans biedt tussen verliesreductie (aanvalseffectiviteit) en geometrische vervorming (onzichtbaarheid), wordt geselecteerd.
• Sparse Updates: Alleen de punten in de geselecteerde subsets worden aangepast. Dit voorkomt redundante wijzigingen in irrelevante gebieden en verhoogt de onzichtbaarheid aanzienlijk.

Belangrijkste Bijdragen

1. Inzicht in Heterogeniteit: De auteurs identificeren dat uniforme verstoringen falen om rekening te houden met variërende gradiëntsignificantie tussen punten en diverse structurele eisen tussen verschillende puntenwolken.
2. Nieuwe Frameworks: Ze introduceren WAAttack (met dynamische weging en adaptieve stapgrootte) en SubAttack (die optimale combinaties van sub-puntenwolken perturbeert).
3. State-of-the-Art Resultaten: Uitgebreide experimenten tonen aan dat hun methode de beste balans bereikt tussen aanvalssucces en onzichtbaarheid, vaak presterend boven bestaande methoden zoals CIM en HiT-Adv.

Experimentele Resultaten

De methoden zijn getest op twee benchmarks: ModelNet40 (synthetische CAD-modellen) en ScanObjectNN (realistische gescande objecten met achtergrondruis). De evaluatie omvatte vier modellen (PointNet, PointNet++, DGCNN, CurveNet) en vergeleek met acht bestaande baselines.

• Aanvalssucces (ASR): WAAttack en SubAttack behalen consistent zeer hoge successpercentages (vaak >99% of 100%), vergelijkbaar met of beter dan de beste baselines.
• Geometrische Vervorming (Imperceptibility): De methoden presteren aanzienlijk beter op meetkunde-gerelateerde metrics:
  • Chamfer Distance ($D_c$) & Hausdorff Distance ($D_h$): SubAttack reduceert deze waarden drastisch (bijvoorbeeld $D_c$ daalt van ~4.60 bij 3D-Adv naar 0.81 bij SubAttack op ModelNet40).
  • $\ell_2$ Norm: De gemiddelde perturbatiemagnitude is significant lager.
• Efficiëntie: WAAttack is extreem snel (laagste runtime), terwijl SubAttack, hoewel iets trager door de subset-selectie, nog steeds efficiënter is dan veel concurrenten.
• Visualisatie: Geraadpleegde visualisaties tonen aan dat de gegenereerde voorbeelden minder uitbijters hebben en een uniformere verdeling behouden dan andere methoden, wat resulteert in minder waarneembare vervormingen.

Betekenis en Conclusie

Dit paper biedt een fundamentele verbetering in de manier waarop adversariële aanvallen op 3D-puntenwolken worden benaderd. Door de heterogeniteit van punten en de structuurvariatie van steekproeven te respecteren via gewogen gradiënten en adaptieve strategieën, slagen de auteurs erin om zeer effectieve aanvallen te genereren die nauwelijks waarneembaar zijn.

Dit is cruciaal voor de veiligheid van 3D-perceptiesystemen, omdat het de robuustheid van DNN's strikter test en laat zien dat bestaande methoden mogelijk te conservatief zijn in hun verstoringen. De code is openbaar beschikbaar, wat de reproduceerbaarheid en verdere ontwikkeling in dit domein stimuleert.