Beyond Defenses: Manifold-Aligned Regularization for Intrinsic 3D Point Cloud Robustness

Resumo Técnico: Além das Defesas: Regularização Alinhada a Variedades para Robustez Intrínseca de Nuvens de Pontos 3D

Declaração do Problema
Apesar dos avanços na classificação de nuvens de pontos 3D, as redes neurais profundas (DNNs) permanecem altamente frágeis a ataques adversariais. Mecanismos de defesa existentes — como remoção de outliers, treinamento adversarial (AT) e aumento de dados — operam principalmente no nível de entrada ou de otimização. Os autores argumentam que esses métodos ignoram a causa raiz geométrica da fragilidade adversarial: um desalinhamento de variedade entre a geometria intrínseca da superfície do objeto subjacente e a geometria latente aprendida pela rede.

O artigo postula que nuvens de pontos 3D residem em uma variedade de baixa dimensão embutida em $\mathbb{R}^3$. Enquanto a estrutura intrínseca (definida por distâncias geodésicas, curvatura e continuidade da superfície) representa a geometria real do objeto, arquiteturas padrão (como PointNet e DGCNN) aprendem espaços de características latentes onde a geometria é governada por métricas de similaridade aprendidas e operações de agrupamento. Quando essas geometrias latentes se tornam desalinhadas com a variedade intrínseca, a rede trata ruído de amostragem, flutuações de densidade e pequenas mudanças de viewpoint como características significativas. Consequentemente, pequenas perturbações que preservam a geometria ao longo da variedade de entrada induzem distorções desproporcionais no espaço de características, levando a classificações incorretas.

Metodologia: Reconhecimento de Pontos Alinhado a Variedades (MAPR)
Para abordar esse desalinhamento sem depender de treinamento adversarial ou dados adicionais, os autores propõem o Reconhecimento de Pontos Alinhado a Variedades (MAPR). Esta estrutura consiste em dois componentes complementares projetados para regularizar a geometria latente:

1. Aumento de Características Intrínsecas:
   O método enriquece as coordenadas brutas dos pontos com características geométricas intrínsecas que capturam a estrutura local da variedade. Essas características incluem:

   • Estimativas de Curvatura: Aproximadas usando o Laplaciano de passeio aleatório aplicado às coordenadas dos pontos para medir o desvio local em relação aos vizinhos.
   • Descritores de Difusão Multi-escala: Construídos via potências de uma matriz de adjacência estocástica por linhas em um grafo $k$-NN. Estes codificam como a geometria local e a densidade de amostragem se propagam através das vizinhanças, fornecendo um descritor intrínseco do grosseiro ao fino.
     Essas características são concatenadas com as coordenadas brutas para formar a entrada da rede principal.

2. Regularização de Consistência Intrínseca:
   Os autores introduzem uma função de perda de consistência ($L_{cons}$) que penaliza discrepâncias entre a saída do modelo e a variação geométrica intrínseca correspondente.

   • Mecanismo: Para uma nuvem de pontos de entrada $X$, uma visão perturbada $X'$ é gerada (via pequena rotação aleatória e jitter gaussiano). Características intrínsecas são computadas para ambas as visões.
   • Função de Perda: A perda minimiza a divergência simétrica de Kullback-Leibler (KL) entre as distribuições de classes previstas de $X$ e $X'$, normalizada pela norma de Frobenius da diferença entre seus mapas de características intrínsecas ($\Phi(X) - \Phi(X')$).
   • Objetivo Teórico: Isso impõe um limite de Lipschitz relativo, garantindo que pequenas deformações intrínsecas (que preservam a forma subjacente) resultem em mudanças proporcionalmente pequenas no espaço latente. Matematicamente, isso incentiva que o Jacobiano do mapeamento se alinhe com o Jacobiano inverso do mapa de características intrínsecas, efetivamente limitando a distorção da variedade.

O objetivo total de treinamento combina a perda padrão de classificação por entropia cruzada com este regularizador de consistência intrínseca.

Principais Contribuições

• Interpretação Geométrica: O artigo fornece uma interpretação geométrica unificada da fragilidade adversarial em 3D, ligando a teoria adversarial clássica ao desalinhamento entre variedades de superfície intrínsecas e espaços de características latentes.
• Estrutura MAPR: Introduz uma estrutura de regularização que melhora a robustez ao alinhar previsões através de perturbações intrínsecas, utilizando aumento de características intrínsecas e perda de consistência.
• Validação Empírica: O método é avaliado em cinco arquiteturas representativas (PointNet, PointNet++, DGCNN, CurveNet, PointMLP) em dois conjuntos de dados (ModelNet40 e ScanObjectNN) sob nove ataques adversariais distintos.

Resultados Experimentais
Os autores relatam melhorias consistentes na robustez em todas as arquiteturas e conjuntos de dados testados, sem usar exemplos adversariais durante o treinamento:

• ModelNet40: O MAPR alcançou um ganho médio de robustez de +20,02% sobre as linhas de base padrão. Ganhos notáveis foram observados para PointMLP (+29,68%) e PointNet++ (+27,29%).
• ScanObjectNN: Neste conjunto de dados mais desafiador com ruído do mundo real e oclusão, o MAPR alcançou um ganho médio de robustez de +8,58%.
• Comparação com Treinamento Adversarial (AT): Em muitos casos, o MAPR igualou ou superou a robustez de modelos treinados com treinamento adversarial, particularmente no ModelNet40.
• Compatibilidade: O MAPR mostrou-se complementar a defesas no nível de entrada como Remoção Estatística de Outliers (SOR). A combinação de MAPR com SOR frequentemente produziu as maiores pontuações de robustez.
• Estudos de Ablação: Experimentos confirmaram que tanto as características intrínsecas quanto a regularização de Lipschitz são necessárias; a formulação completa do MAPR superou variantes que usavam apenas um componente.

Significado e Alegações
O artigo alega que a robustez em redes de nuvens de pontos está fundamentalmente conectada à estrutura geométrica do espaço latente aprendido. Ao demonstrar que alinhar representações latentes com a geometria intrínseca da superfície do objeto mitiga a vulnerabilidade adversarial, os autores sugerem que regularização consciente da geometria oferece uma alternativa viável a defesas puramente impulsionadas por ataques.

Os autores enfatizam que o MAPR fornece uma abordagem "simples e eficaz" que não exige a sobrecarga computacional de gerar exemplos adversariais durante o treinamento ou a coleta de dados adicionais. Eles concluem que seu trabalho motiva pesquisas futuras sobre métodos de robustez conscientes da geometria e aprendizado de representação para redes profundas 3D, deslocando o foco de defender contra ataques específicos para corrigir a geometria de representação subjacente.