Topo-ADV: Generating Topology-Driven Imperceptible Adversarial Point Clouds

1. O Problema

As redes neurais profundas para compreensão de nuvens de pontos 3D (usadas em classificação, segmentação e reconhecimento) são altamente vulneráveis a perturbações adversariais. Até o momento, a maioria dos ataques existentes foca exclusivamente na manipulação geométrica, alterando coordenadas de pontos, normais de superfície, curvatura ou densidade de amostragem.

Esses métodos partem do pressuposto implícito de que preservar a fidelidade da forma global (geometria) preserva o conteúdo semântico do objeto. No entanto, os autores desafiam essa premissa, argumentando que ela ignora uma propriedade fundamental das formas 3D: a topologia geométrica (propriedades intrínsecas como componentes conectados, loops, túneis e cavidades). A hipótese central é que as redes neurais treinadas em nuvens de pontos dependem implicitamente de pistas topológicas e que a manipulação deliberada da estrutura homológica pode induzir erros de classificação, mesmo quando as distorções geométricas são imperceptíveis aos olhos humanos.

2. Metodologia: Topo-ADV

O Topo-ADV é um framework de ataque adversarial end-to-end e diferenciável que introduz a homologia persistente como um objetivo explícito de otimização. O método não apenas gera exemplos adversariais, mas o faz manipulando ativamente a assinatura topológica do objeto.

O processo envolve três componentes principais de otimização conjunta:

A. Módulo de Homologia Persistente Diferenciável

• Filtragem: Utiliza o complexo de Alpha (baseado na triangulação de Delaunay) para calcular a homologia persistente até a dimensão 2 (componentes conectados, loops e vazios).
• Embedding Diferenciável: Como os diagramas de persistência são multiconjuntos e não diretamente otimizáveis via gradiente, o método emprega um módulo de embedding diferenciável. Pares de nascimento-morte $(b, d)$ são transformados em pares de nascimento-persistência $(b, p)$, onde $p = d - b$ (vida útil).
• Cálculo: Esses pares passam por uma MLP ($\psi$) e são ponderados pela sua persistência ($p_i$) para criar um vetor de embedding topológico $\phi(P)$.
• Função de Perda Topológica ($\mathcal{L}_{PH}$):
  1. Divergência de Embedding: Penaliza a similaridade entre o embedding da nuvem limpa e a adversária ($\|\phi_{adv} - \phi_{clean}\|_2^2$).
  2. Manipulação Direcional: Um termo que modula intencionalmente as vidas úteis das classes homológicas, operando em dois modos: "destruição" (encurtar vidas úteis dominantes) e "criação" (aumentar vidas úteis para formar novas estruturas). O método utiliza um agendamento automático de duas fases (destruição seguida de criação) para evoluir a topologia de forma controlada.

B. Objetivo de Classificação

Utiliza a Carlini–Wagner margin loss baseada em confiança para forçar a rede a classificar incorretamente a nuvem de pontos adversária, maximizando a margem entre a classe verdadeira e a classe mais provável.

C. Restrições de Imperceptibilidade Geométrica

Para garantir que a perturbação seja visualmente plausível e não introduza artefatos, o método impõe regularizadores geométricos rigorosos:

• Distância de Chamfer: Limita o deslocamento global ponto a ponto.
• Consistência de Normais: Penaliza a divergência entre as normais estimadas (via PCA) da nuvem limpa e da adversária.
• Consistência de Curvatura: Mantém a estrutura diferencial de segunda ordem da superfície.
• Suavidade Laplaciana: Suprime ruído de alta frequência no campo de perturbação, garantindo movimento coerente.
• Projeção: Durante a otimização (PGD - Projected Gradient Descent), as perturbações são projetadas no plano tangente local da superfície limpa e limitadas a uma bola $\ell_2$ de raio $\epsilon$.

3. Contribuições Principais

1. Primeiro Ataque Baseado em Topologia: O Topo-ADV é o primeiro ataque adversarial para nuvens de pontos 3D que trata a manipulação topológica como um objetivo de otimização, estabelecendo um novo modelo de ameaça além das perturbações puramente geométricas.
2. Framework de Otimização Conjunta: Integra perdas de classificação, manipulação topológica (via homologia persistente diferenciável) e regularização geométrica em um único pipeline.
3. Alta Eficácia com Baixa Visibilidade: Demonstra que é possível alterar a assinatura topológica de um objeto para enganar classificadores sem que as alterações sejam perceptíveis geometricamente, superando métodos state-of-the-art em métricas de imperceptibilidade.

4. Resultados Experimentais

Os experimentos foram conduzidos em três conjuntos de dados principais: ModelNet40, ShapeNet Part e ScanObjectNN (variante mais difícil, PB-T50-RS), utilizando classificadores PointNet e DGCNN.

• Taxa de Sucesso do Ataque (ASR): O Topo-ADV alcançou consistentemente taxas de sucesso de 100% (ou próximas, como 99.86%) em todos os cenários e modelos vitimados.
• Imperceptibilidade:
  • O método superou significativamente os métodos existentes na métrica Uniform Distance (distância uniforme), que mede a preservação da densidade de amostragem espacial. Por exemplo, no ModelNet40 com PointNet, o Topo-ADV obteve uma distância uniforme de 0.0121, comparado a 0.2883 do melhor método anterior (HiT-ADV), uma melhoria de ordem de magnitude.
  • A métrica CSD (desvio padrão da curvatura) foi comparável a outros métodos fortes, indicando que a perturbação altera a complexidade geométrica local apenas o suficiente para afetar a topologia, mantendo o espaçamento dos pontos altamente uniforme.
• Robustez em Dados Reais: No conjunto de dados ScanObjectNN (com ruído de sensor e oclusões), o método manteve 100% de ASR com baixa distorção geométrica, provando sua eficácia em cenários do mundo real.
• Análise de Entropia de Persistência: A análise mostrou que o ataque causa deslocamentos significativos na entropia de persistência de dimensões superiores ($H_2$, vazios), indicando que o método perturba especificamente estruturas topológicas de alta ordem.

5. Significado e Conclusão

O trabalho revela uma superfície de vulnerabilidade previamente inexplorada no aprendizado profundo de nuvens de pontos 3D: a dependência das redes neurais de pistas topológicas.

A principal implicação é que a segurança de modelos 3D não pode ser garantida apenas protegendo a geometria local (normais, curvatura) ou a forma global visual. A estrutura homológica (loops, túneis, conectividade) é um vetor de ataque crítico. O Topo-ADV demonstra que é possível explorar essa vulnerabilidade para criar ataques altamente eficazes e imperceptíveis, sugerindo que futuros modelos robustos devem incorporar regularização topológica ou mecanismos de defesa que considerem a estrutura homológica dos dados, não apenas suas propriedades geométricas superficiais.