Topo-ADV: Generating Topology-Driven Imperceptible Adversarial Point Clouds

Probleemstelling

Diepe neurale netwerken voor het begrijpen van 3D-puntwolkdata (zoals PointNet en DGCNN) hebben aanzienlijke successen geboekt in objectclassificatie en segmentatie. Echter, recente studies tonen aan dat deze modellen kwetsbaar zijn voor adversariele aanvallen. Bestaande 3D-aanvallen manipuleren voornamelijk geometrische eigenschappen, zoals de locatie van punten, kromming of oppervlaktestructuur. Deze methoden gaan er impliciet van uit dat het behoud van de globale geometrische vorm ook de semantische identiteit van het object behoudt.

Het paper daagt deze aanname uit en introduceert een nieuw perspectief: topologische kwetsbaarheden. De auteurs stellen dat neurale netwerken die op puntwolken zijn getraind, impliciet vertrouwen op topologische aanwijzingen (zoals samenhangende componenten, lussen en holtes). Zelfs als de geometrische vervorming voor het menselijk oog onzichtbaar blijft, kan het manipuleren van de homologische structuur van een object leiden tot misclassificatie. Bestaande methoden negeren deze topologische dimensie.

Methodologie: Topo-ADV

De auteurs introduceren Topo-ADV, het eerste end-to-end differentieerbare framework dat persistente homologie (een kernconcept uit Topological Data Analysis - TDA) gebruikt als een expliciete optimalisatiedoelstelling voor het genereren van adversariele voorbeelden.

De methode bestaat uit de volgende kerncomponenten:

1. Differentieerbare Persistente Homologie Module:

   • Het framework berekent persistente homologie tot dimensie 2 (gebruikmakend van de Alpha-complex filtratie) om de globale structuur te vangen.
   • Omdat persistentiediagrammen (multiset van geboorte- en sterftijden van topologische kenmerken) niet direct differentieerbaar zijn, worden deze omgezet in een differentieerbare embedding ($\phi(P)$).
   • Dit gebeurt via een leerbaar module (MLP) die geboorte-persistentie paren transformeert, waarbij stabiele kenmerken (hoge persistentie) zwaarder wegen.

2. Optimalisatie Doelstellingen:
   De aanval optimaliseert een gecombineerde verliesfunctie die drie doelen simultaan nastreeft:

   • Misclassificatie Loss ($\mathcal{L}_{cls}$): Een Carlini-Wagner margin loss die de kans op misclassificatie maximaliseert door de logit van de ware klasse lager te maken dan die van de concurrenten.
   • Topologie Divergentie Loss ($\mathcal{L}_{PH}$): Deze loss bestaat uit twee delen:
     • Divergentie: Straft de gelijkenis tussen de topologische embedding van het schone puntwolk en het adversariele puntwolk.
     • Directionele Manipulatie: Modificeert actief de levensduur (lifetimes) van topologische kenmerken. De methode wisselt tussen een "vernietigingsfase" (verkorten van dominante levensduren om bestaande structuren te destabiliseren) en een "creatiefase" (verlengen van levensduren om nieuwe structuren te vormen).
   • Geometrische Onwaarneembaarheid ($\mathcal{L}_{geom}$): Om ervoor te zorgen dat de aanval voor mensen onzichtbaar blijft, worden strikte geometrische regularisatoren toegepast:
     • Chamfer Distance: Beperkt de globale verplaatsing van punten.
     • Normaalconsistentie: Behoudt de oriëntatie van het raakvlak.
     • Krommingconsistentie: Behoudt de tweede-orde differentiaalstructuur van het oppervlak.
     • Laplacian Smoothness: Onderdrukt hoogfrequente ruis en zorgt voor coherente lokale beweging.

3. Optimalisatie Procedure:
   De aanval gebruikt Projected Gradient Descent (PGD). Na elke gradiëntupdate worden twee projecties toegepast:

   • Een projectie op het raakvlak (tangent-plane) om te voorkomen dat punten het oppervlak verlaten (wat visueel onrealistisch zou zijn).
   • Een projectie binnen een $\ell_2$-bol om de maximale verplaatsing per punt ($\epsilon$) te respecteren.

Belangrijkste Bijdragen

• Nieuwe Bedreigingsmodellen: Topo-ADV is de eerste topologie-gedreven adversariele aanval voor 3D-puntwolken, wat topologische manipulatie introduceert als een nieuwe, onontgonnen kwetsbaarheidsoppervlakte.
• End-to-End Framework: Het koppelt persistente homologie direct aan de gradiënt-gebaseerde optimalisatie, waardoor topologische signalen direct kunnen sturen naar de classifier.
• Uitgebreide Evaluatie: De methode is getest op drie standaarddatasets (ModelNet40, ShapeNet Part, ScanObjectNN) met twee state-of-the-art classifiers (PointNet en DGCNN).

Resultaten

De experimenten tonen aan dat Topo-ADV extreem effectief is:

• Aanvalsucces (ASR): De methode bereikt consistent 100% aanvalsucces (of zeer dichtbij, bijv. 99.86%) op alle geteste datasets en modellen.
• Onwaarneembaarheid: Ondanks de ingrijpende topologische veranderingen, blijven de adversariele voorbeelden geometrisch bijna ononderscheidbaar van het origineel.
  • Topo-ADV presteert aanzienlijk beter op de Uniform Distance-metriek (een maat voor de behoud van lokale puntverdeling) dan bestaande methoden. Bijvoorbeeld, op ModelNet40 met PointNet is de Uniform Distance 0.0121, vergeleken met 0.2883 voor de concurrent HiT-ADV (een verbetering van een orde van grootte).
  • De Chamfer-afstand is drastisch verlaagd (van 0.32 bij bestaande methoden naar 0.0024 bij Topo-ADV).
• Robuustheid: De aanval werkt ook effectief op de realistische, ruisvolle ScanObjectNN-dataset, wat aantoont dat topologische kwetsbaarheden bestaan in echte, gescande data.
• Ablatiestudies: Zelfs zonder meerdere restarts (R=0) en met beperkte iteraties, behoudt de methode een zeer hoge succesrate (>99%), wat aangeeft dat de topologische manipulatie een zeer krachtig mechanisme is.

Betekenis en Conclusie

Dit paper verschuift het paradigma van adversariele aanval op 3D-data van puur geometrische manipulatie naar topologie-bewuste optimalisatie. Het bewijst dat neurale netwerken voor puntwolken fundamenteel kwetsbaar zijn voor veranderingen in de homologische structuur van een object, zelfs als de visuele vorm intact blijft.

De implicaties zijn tweeledig:

1. Veiligheid: Het blootlegt een ernstig veiligheidsrisico voor systemen die vertrouwen op 3D-puntwolken (zoals autonoom rijden en robotica), aangezien bestaande verdedigingen die zich richten op geometrie mogelijk ontoereikend zijn.
2. Robuustheid: Het suggereert dat toekomstige robuuste modellen expliciet moeten worden getraind om topologische consistentie te behouden, of dat topologische regularisatie noodzakelijk is om deze kwetsbaarheden te dichten.

Kortom, Topo-ADV toont aan dat het manipuleren van de "vorm van de holtes en lussen" in een object een krachtigere en subtielere manier is om AI-systemen te misleiden dan het verschuiven van individuele punten.