PaperlayerView exact revision on arXiv

Source-linked AI summary

Adversarial Attack and Defense on Point Sets

Jiancheng Yang, Qiang Zhang, Rongyao Fang, Bingbing Ni, Jinxian Liu, Qi Tian

arXiv:1902.10899v4cs.CVcs.AIcs.CRcs.LG

TL;DR

Adversarial perturbation, point 추가·삭제, sensing noise가 판단을 바꿀 수 있어 point-cloud network에는 보안성과 강건성 문제가 존재한다. 이 논문은 attack, perturbation-measurement defense, transferability 분석을 개발하며, pointwise-gradient attack의 효과성, defense의 adversarial example 탐지, momentum의 transferability 향상을 확인한다.

  • 문제

    안전이 중요한 응용에서 point-cloud network는 adversarial perturbation, sensing noise, point 누락·추가에 대응하는 더 강한 보안성과 강건성 근거가 필요하다.

  • 방법

    이 논문은 point-cloud network와 grid CNN 간 transferability 분석 및 perturbation-measurement defense와 함께 pointwise-gradient, point-attachment, point-detachment attack을 개발한다.

  • 결과

    Pointwise-gradient attack은 높은 성공률을 달성하고, defense는 defense를 직접 겨냥한 attack을 포함한 adversarial point cloud를 탐지하며, momentum-enhanced gradient는 attack transferability를 향상한다.

  • 시사점 및 한계

    이 결과는 adversarial robustness, physical feasibility, detection capability, cross-architecture transferability 측면에서 point-cloud model을 평가해야 함을 뒷받침한다.

  • 시사점 및 한계

    모든 attack method는 white-box settings에서 개발되었으며, point-detach method는 point-cloud network 전반에 보편적으로 적용되기보다 PointNet을 대상으로 설계되었다.

Abstract

from arXiv · show

Emergence of the utility of 3D point cloud data in safety-critical vision tasks (e.g., ADAS) urges researchers to pay more attention to the robustness of 3D representations and deep networks. To this end, we develop an attack and defense scheme, dedicated to 3D point cloud data, for preventing 3D point clouds from manipulated as well as pursuing noise-tolerable 3D representation. A set of novel 3D point cloud attack operations are proposed via pointwise gradient perturbation and adversarial point attachment / detachment. We then develop a flexible perturbation-measurement scheme for 3D point cloud data to detect potential attack data or noisy sensing data. Notably, the proposed defense methods are even effective to detect the adversarial point clouds generated by a proof-of-concept attack directly targeting the defense. Transferability of adversarial attacks between several point cloud networks is addressed, and we propose an momentum-enhanced pointwise gradient to improve the attack transferability. We further analyze the transferability from adversarial point clouds to grid CNNs and the inverse. Extensive experimental results on common point cloud benchmarks demonstrate the validity of the proposed 3D attack and defense framework.

I. 서론 … B. Adversarial Examples와 Adversarial Attack

이 논문은 point-cloud network의 보안성과 강건성을 연구하며, point를 조작하는 attack과 perturbation-measurement defense를 제안하고 model 및 representation 간 attack transferability를 분석한다. 이러한 방법은 직접적인 point-set learning의 효율성과 작은 corruption에 강건하다고 주장된 point-cloud classifier의 취약성에 기반한다.

  • I. 서론: 제안된 perturbation-measurement defense는 PointNet을 대상으로 생성된 adversarial example 대부분을 탐지하며, victim model만 사용해도 탐지율 75%를 초과한다.이 defense는 perturb된 example을 직접 사용하는 대신 perturb된 model output의 통계량을 측정한다.
  • I. 서론: Momentum-enhanced gradient attack은 transferability를 향상시키는 반면, vanilla gradient-guided attack은 transfer가 잘 되지 않으며, 높은 정확도의 model이 반드시 높은 adversarial robustness를 제공하지는 않는다.Transferability 분석은 여러 point-cloud network와 point cloud 및 grid CNN 간 cross-domain transfer를 다룬다.
  • I. 서론: 이 연구는 세 가지 point-cloud attack method, 유연한 victim-model defense framework, 그리고 point-cloud network와 grid CNN 간 transferability 분석을 제시한다.이 attack은 pointwise gradient perturbation과 adversarial point attachment 또는 detachment를 사용한다.
  • A. Point Cloud에서의 Deep Learning: Point cloud는 voxel-based method에서 필요한 계산량이 큰 rendering과 convolution을 피하면서, 직접적이고 permutation-invariant하며 크기가 변하는 learning을 지원한다.Point-cloud classification은 ModelNet40에서 benchmark되며, PointNet과 DeepSets는 성공적인 직접 point-set learner로 언급된다.
  • A. Point Cloud에서의 Deep Learning: PointNet은 critical point를 사용하고 작은 corruption이나 추가 noise point에 강건하다고 주장되지만, 이 논문은 corruption에 대한 취약성을 입증한다.Max-pooling aggregation에서는 최대 K개의 critical point가 최종 output을 결정하며, 나머지 point는 output을 바꾸지 않고 제거할 수 있다.
  • B. Adversarial Examples와 Adversarial Attack: 이 연구는 untargeted adversarial example을 distance constraint하에서 benign sample과 예측 class가 달라지는 perturbed input으로 정의하고, white-box point-cloud attack에 초점을 둔다.White-box attacker는 model 내부와 gradient에 접근할 수 있으며, point cloud는 순서가 없고 비구조적인 set이라는 점에서 image와 다르다.
  • B. Adversarial Examples와 Adversarial Attack: 3D sensing에서 outlier noise가 흔하기 때문에 실험에서는 asymmetric Chamfer pseudo-distance를 사용하며, point attachment와 detachment에는 변경된 point의 수를 별도로 측정해야 한다.Chamfer distance는 Hausdorff distance보다 target set의 outlier에 관대하지만, 두 distance 모두 point-count change를 충분히 측정하지 못한다.

C. Adversarial Attack 방어 … B. Pointwise Gradient 방법

이 논문은 ModelNet40과 MNIST의 point-cloud network를 대상으로 white-box, untargeted attack과 detect-and-reject defense를 연구하며 adversarial transferability도 다룬다. Pointwise gradient attack은 distance budget 내에서 각 point를 perturb하고, momentum은 vanilla gradient descent보다 transferability를 향상한다.

  • C. Adversarial Attack 방어: 이 연구는 ModelNet40과 MNIST에서 white-box, untargeted attack을 사용하는 PC-Nets와 detect-and-reject defense에 초점을 맞추며, transferability를 명시적으로 분석한다.또한 point detachment와 새로운 defense framework를 추가하여 병행된 point-set attack 연구와 차별화된다 [49].
  • A. 원리와 표기: 이 framework는 point cloud를 X ∈ R^N×c로 나타내며, N개의 point와 c차원 coordinate를 사용하고, f(·)를 class-probability output으로, c*(·)를 true label로 정의한다.3D point cloud에서는 c = 3이다.
  • A. 원리와 표기: Attack은 입력 point cloud X를 budget ϵ와 distance metric DC 하에서 Xa로 변환하여 attacked model의 classification accuracy를 낮춘다.Attack performance는 attack 후 model accuracy로 평가한다.
  • III. ATTACK METHODS: Pointwise Gradient 방법은 Chamfer-distance budget 내에서 모든 point에 작고 반복적인 gradient-guided perturbation을 적용하여 adversarial point cloud를 생성한다.이 방법은 untargeted setting에서 ground-truth class output을 backpropagation하여 얻은 gradient를 사용한다.
  • B. Pointwise Gradient 방법: l2-normalized gradient를 사용하면 더 나은 attack performance와 더 안정적인 convergence를 얻을 수 있으며, 이에 따라 vanilla-gradient Pointwise Gradient 방법을 정의한다.이 방법은 FGSM [14]과 관련된 single-step sign update가 아니라 iterative perturbation formula에 기반한다.
  • B. Pointwise Gradient 방법: Momentum-enhanced Pointwise Gradient는 victim sample에 적용하기 전에 gradient를 누적하여 vanilla gradient descent를 확장하고, transferable adversarial example을 생성한다.Gradient accumulation을 위해 momentum factor µ를 도입하며, 실험에서는 일반적으로 1로 설정한다.
  • B. Pointwise Gradient 방법: MPG는 일반적으로 1로 설정되는 momentum factor를 사용해 gradient를 누적함으로써 PG보다 adversarial point-cloud transferability를 향상한다.Momentum-enhanced 방법은 더 transferable한 adversarial example을 생성하기 위해 특별히 도입되었다.

C. Point-Detach 방법

Point-detach 방법은 제한된 수의 point를 제거해 현실적인 adversarial point loss를 모델링하며, 이는 3D sensing에서 occlusion과 scale 관련 point vanishing이 발생한다는 점에 기반한다. PointNets에서는 class-dependent importance에 따라 critical point를 순위화하고 가장 중요한 point부터 greedy하게 detach한다.

  • 동기: Point-detach attack은 몇 개의 point를 제거해 adversarial point loss를 모델링한다. 이는 3D sensing에서 occlusion과 scale 문제로 point가 흔히 소실되므로 현실적인 시나리오다.이는 모든 point를 perturb하며 물리적으로 구현하기 어려운 Pointwise Gradient Method와 대조된다.
  • PointNets 전략: PointNets [36]에서는 missing point가 critical할 때에만 model output이 변하므로, 전략은 critical point를 대상으로 한다.이 방법은 untargeted attack을 효율적으로 구성하기 위해 class-dependent importance를 정의한다.
  • Importance 추정: 이 방법은 영향을 받는 각 channel value를 second-largest activation으로 대체하고 first-order Taylor approximation을 적용해 critical point를 detach했을 때의 효과를 추정한다.feature gradient는 critical point에서만 영이 아니므로 희소하다.
  • 최적화: Greedy procedure는 Nd개의 point가 제거될 때까지 남은 point 중 true-class-dependent importance가 가장 큰 point를 반복적으로 detach하며, 매 iteration 후 importance를 다시 계산한다.이 재계산으로 O(N · Nd) point-detach algorithm을 얻는다.

D. Point-Attach Method · IV. 방어 방법 · A. 원리 및 표기

Point-Attach Method는 원래 point를 변경하지 않은 채 object surface 근처에 최적화된 소수의 point를 부착해 adversarial point cloud를 생성한다. 방어 framework는 반복 perturbation, output statistic 측정, thresholding을 통해 adversarial input을 탐지하며, AUROC와 DDR로 평가한다.

  • D. Point-Attach Method: Point-Attach Method는 적절한 위치에 소수의 point를 부착해 adversarial point-cloud attack의 변형을 생성한다.부착된 point만 최적화하고 원래 point cloud는 변경하지 않는다.
  • D. Point-Attach Method: Lagrange multiplier는 부착된 point가 object surface 주변에서 이동하도록 제한하며, 실험적으로 λ = 0.001을 사용한다.최적화는 부착된 point만 업데이트하며 adversarial budget을 초과하면 중단한다.
  • D. Point-Attach Method: 이 방법은 충분히 가까운 point 부착이 일부 dataset sample에 대해 classifier의 predicted class를 바꿀 수 있다는 이론적 보장을 갖는다.이 명제는 point-cloud distance와 부착된 point의 개수를 모두 bound한다.
  • A. 원리 및 표기: 방어의 목표는 test sample이 benign input이 아니라 adversarial point cloud일 가능성이 있을 때 이를 탐지하고 거부하는 것이다.자연스러운 output보다 adversarial output이 작은 perturbation 아래에서 덜 안정적이라는 것이 전제다.
  • A. 원리 및 표기: 이 framework는 perturbation을 반복적으로 적용하고 그 결과 output의 statistic을 측정한 뒤, 해당 statistic을 thresholding해 adversarial example을 탐지한다.perturbed prediction 자체가 아니라 perturbation measurement를 사용하며, 서로 다른 attack scenario에 맞게 framework를 구현한다.
  • A. 원리 및 표기: 이 framework에서 PointNet은 PC-Net으로 사용되며, benign sample과 adversarial example 사이에는 output distribution의 차이가 나타난다.이 차이를 포착하기 위해 반복적으로 perturbation한 output에 대해 statistic을 계산한다.
  • A. 원리 및 표기: AUROC는 adversarial과 natural 간 분리 가능성을 측정하고, DDR은 지정된 natural-example rejection rate에서 탐지된 adversarial example을 측정한다.AUROC는 threshold에 의존하지 않고 class imbalance에 둔감하며, DDR은 adversarial example을 positive class로 두고 평가한다.

B. Perturbation Methods · C. Measurement Methods

이 framework는 Gaussian noise, quantification 또는 random sampling으로 point cloud를 perturb한 뒤, variance- 및 confidence-based measurement를 사용해 adversarial instability를 검출한다. 명시된 local-function 및 adversarial-density 가정하에서 Gaussian noising 또는 quantification과 결합하면 max-confidence measurement의 이론적 보장이 성립한다.

  • B. Perturbation Methods: Gaussian noising은 i.i.d. N(0, σ2) perturbation을 추가해 이후 검출을 위해 model이 좁은 adversarial sub-space에서 벗어나도록 돕는다.이 method는 Gσ로 표기되며 non-directional noise를 사용한다.
  • B. Perturbation Methods: Quantification은 input을 µ/M에서 µ까지 여러 low-precision level로 변환해 natural example을 점점 더 왜곡하는 동시에 adversarial output을 불안정하게 만든다.Adversarial example은 quantification 하에서 chaotic classifier-output distribution과 구별 가능한 statistics를 생성한다.
  • B. Perturbation Methods: Random sampling은 without replacement로 sampling한 n < N개의 point를 유지해 point 수를 변경하며, point-attach attack에 특히 효과적이다.각 point의 포함 여부는 Bernoulli(0.5) variable로 나타낸다.
  • C. Measurement Methods: Set-Indiv Variance Measurement는 adversarial example이 output을 불안정하게 만들고 variance가 entropy보다 더 잘 구별되므로 class별 confidence variance의 평균을 사용한다.이 measurement는 대부분의 경우 경험적으로 가장 효과적이다.
  • C. Measurement Methods: Max Confidence-Based Measurement는 maximum class-confidence score의 average CoA와 variance CoV를 통계적으로 사용해 adversarial example을 검출한다.이 approach는 기존 out-of-distribution detection method [18], [27]에서 영감을 받았다.
  • C. Measurement Methods: Local continuity와 convexity 또는 concavity가 성립하고 natural example 주변에 adversarial example이 충분히 sparse하면, max-confidence measurement는 이론적 effectiveness guarantee를 갖는다.이 가정은 각 natural example 주변의 local neighborhood Dδ 내 adversarial proportion이 작다는 조건을 formalize한다.
  • C. Measurement Methods: 어떤 sample에 대해서도 Gaussian noising 또는 quantification과 결합하면, convex function에서는 CoV가 adversarial example을 검출하고 concave function에서는 CoA가 검출한다.이는 명시된 Proposition 3 guarantee다.

D. Defense를 넘어선 공격 … B. Defense 성능

제안한 공격은 시각적으로는 미묘한 변화를 유지하면서 PointNet을 크게 손상시키며, perturbation-measurement 기반 defense는 생성된 adversarial point cloud 대부분을 탐지한다. Defense를 직접 겨냥한 EoTPG 공격도 시험했지만, defense는 이에 대해서도 효과적으로 작동한다.

  • D. Defense를 넘어선 공격: Defense를 겨냥한 EoTPG 변형은 각 공격 단계에서 100개 transformation에 걸쳐 perturbation을 평균내지만, 제안한 defense는 여전히 그 adversarial point cloud를 탐지한다.이러한 강건성은 randomness-based defense에 대한 expectation-over-transformation 공격의 보고된 효과와 대조된다 [2], [50].
  • V. 결과: 실험은 T-Net을 포함한 PointNet을 ModelNet40에서 사용하며, 공식 split에는 1,024개 point로 샘플링된 training 9,843개와 test, attack, defense example 2,468개가 포함된다.평가에서는 이 benchmark에 대한 attack 성능도 보고하고, 그 결과 생성된 adversarial point cloud를 대상으로 defense 실험을 수행한다.
  • A. Attack 성능: Pointwise-Gradient는 PointNet의 classification accuracy를 0%로 낮춰 모든 natural example을 성공적으로 공격한다.이 결과는 Table I에 요약된 attack intensity하에서 ModelNet40에 대해 보고된다.
  • A. Attack 성능: Point-Detach와 Point-Attach는 accuracy 감소 측면에서 Pointwise-Gradient보다 덜 효과적이지만, 물리적으로 더 실현 가능하고 시각적으로 식별하기 어렵다.두 공격 모두 random point detachment 또는 attachment보다 우수하며, 제약이 완화되면 효과가 증가할 수 있다.
  • B. Defense 성능: −log(SIV)의 kernel-density estimate는 natural 분포와 adversarial 분포가 유의하게 다름을 보여 적절한 threshold를 통한 탐지를 가능하게 한다.KDE 분석에는 올바르게 분류된 natural example과 adversarial example이 포함되며, 후자는 구별 가능한 통계량을 생성한다.
  • B. Defense 성능: Defense는 adversarial example 대부분을 성공적으로 탐지하여 75%를 초과하는 detection을 달성하지만, 더 많은 critical point가 detach될수록 detection은 감소한다.이는 detach된 critical point가 output fluctuation을 줄이기 때문에 발생하며, 성능은 Table II의 optimal perturbation-measurement 설정으로 평가된다.
  • B. Defense 성능: CoA와 CoV는 이론적으로 adversarial example을 탐지할 것으로 예상되지만, 실증 성능은 제한적이며 자세한 비교는 Appendix D에 제시된다.Defense 결과는 all-natural 설정과 correctly classified natural-example 설정 모두에서 AUROC와 Defense Detection Rate (DDR)를 사용해 정량화된다.

C. 방어 기법에 대한 공격 성능 · VI. 적대적 예제의 전이 가능성 · A. 다양한 PC-Net 간

제안된 방어 기법은 이를 표적으로 설계된 EoTPG 공격에도 효과를 유지하는 반면, 적대적 point cloud의 전이 가능성은 PC-Net에 따라 크게 달라지며 momentum-enhanced gradient를 사용하면 향상된다.

  • C. 방어 기법에 대한 공격 성능: 특정하게 설계된 EoTPG 공격에 대한 방어 성능은 방어 전략을 직접 표적으로 삼는 공격을 포함해 vanilla PG보다 전반적으로 향상된다.EoTPG는 각 공격 단계에서 random sampling, quantification 또는 Gaussian-noising perturbation을 사용해 100회의 perturbation을 적용한다.
  • VI. 적대적 예제의 전이 가능성: 전이 가능성 연구는 kNN-graph construction이 서로 다른 PointNet [36], PointNet++ [38], DGCNN [47] 간 black-box attack을 평가한다.PointNet++는 hierarchical static kNN graph를 사용하는 반면, DGCNN은 이를 동적으로 재구성한다.
  • A. 다양한 PC-Net 간: PointNet++는 공격이 없을 때는 PointNet보다 우수하지만 공격 상황에서는 PointNet보다 덜 강건하며, 이는 공격된 예제가 서로 다른 구조의 static kNN graph를 유도하기 때문일 수 있다.저자들은 이러한 graph가 hidden representation의 강건성을 약화한다고 추정한다.
  • A. 다양한 PC-Net 간: DGCNN은 공격 상황에서 PointNet과 PointNet++보다 강건하고 공격이 없는 상황에서 가장 높은 성능을 달성하며, 이는 부분적으로 dynamic edge convolution이 shattered gradient [2]를 유발하기 때문이다.비교에서는 Chamfer distance DC를 사용해 공격 강도를 변화시킨다.
  • A. 다양한 PC-Net 간: 전이 가능성은 하나의 source PC-Net에서 adversarial example을 생성한 뒤 다른 network에서 attack 전후 accuracy를 측정해 평가한다.평가에는 vanilla Pointwise Gradient example과 DC = 0.03의 attack budget을 사용한다.
  • A. 다양한 PC-Net 간: Vanilla Pointwise Gradient adversarial point cloud는 PC-Net 간 전이가 잘 이루어지지 않아 point-cloud 환경의 black-box attack으로는 효과적이지 않다.post-attacking accuracy가 높다는 것은 소수의 adversarial example만이 평가 network로 성공적으로 전이된다는 의미다.
  • A. 다양한 PC-Net 간: Momentum-enhanced Pointwise Gradient (MPG)는 PC-Net 간 adversarial-example transferability를 크게 향상시켜 더욱 효과적인 black-box attack을 가능하게 한다.연구에서는 vanilla Pointwise Gradient가 평가 network 간 낮은 transferability를 보인 뒤 MPG를 도입한다.

B. Point Cloud 네트워크와 CNN 간 · VII. 논의 · VIII. 결론

본 연구는 point-cloud 공격과 image CNN 공격 간 비대칭적 transferability를 확인하고, rotation sensitivity, defense errors, limitations, future directions를 논의한다. 결론적으로 PG는 광범위하게 효과적이고 PA/PD는 물리적 실현 가능성이 더 높으며, permutation 기반 defense는 이를 직접 겨냥한 proof-of-concept 공격을 포함해 adversarial cloud를 탐지한다.

  • B. Point Cloud 네트워크와 CNN 간: Point-cloud 공격은 CNN으로 부분적으로 transfer되는 반면, CNN 공격은 PointNet으로 거의 transfer되지 않는다. CNN accuracy는 99.1%에서 60.8%로 감소하지만, CNN accuracy가 0%에 도달할 때도 PointNet은 98.9%의 accuracy를 유지한다.PointNet과 LeNet-like CNN은 각각 99.2%와 99.1%의 comparable clean accuracies를 달성한다.
  • VII. 논의: Rotation은 PointNet에 효과적이지 않은 adversarial strategy다. 0.3-rad constraint에서 attacked accuracy는 76.01%로, random rotation의 77.53%와 가깝다.논의에서는 이러한 낮은 attackability의 원인을 PointNet의 random rotation에 대한 sensitivity로 설명하고, rotation augmentation 및 T-Net을 사용한 training을 언급한다.
  • VII. 논의: Defense에는 두 가지 error source가 있다. adversarial distribution과 natural-example distribution이 겹치는 경우, 그리고 misclassified natural examples가 adversarial examples로 잘못 판단되는 경우다.첫 번째 error는 perturbation measurement 개선과 hyperparameter tuning의 필요성을 제기한다. Defense performance는 모든 natural examples보다 correctly classified natural examples에서 더 우수하다.
  • VII. 논의: 이 연구는 attacks가 white-box 방식으로 개발되었고, Point-Detach가 PointNet을 대상으로 설계되었으며, universal point-cloud attack method가 여전히 필요하다는 한계를 갖는다.논의에서는 black-box transferability에 대한 실험에도 불구하고 더 많은 black-box attack 및 defense 연구가 필요하다고 주장한다.
  • VII. 논의: Physical adversarial point clouds는 3D sensors가 다양한 formats를 사용하고 illumination 및 sensing noise를 유발하기 때문에 여전히 어렵다. 따라서 physical 3D-object generation은 2D images보다 어렵다.논문은 3D printing을 활용해 physically realized adversarial point clouds를 연구할 것을 제안한다.
  • VIII. 결론: 본 연구의 attacks는 effectiveness와 physical feasibility 사이의 trade-off를 보인다. PG는 point-cloud networks 전반에서 광범위하게 효과적인 반면, PA와 PD는 success rates가 더 낮지만 physical feasibility가 더 높다.결론에서는 제안된 세 가지 point-cloud attack methods와 각기 다른 properties를 요약한다.
  • VIII. 결론: Permutation-measurement defense는 adversarial point clouds를 탐지하며, defense를 겨냥하도록 설계된 proof-of-concept 공격이 생성한 point clouds도 탐지한다.결론에서는 defense framework를 뒷받침하는 empirical evidence를 보고한다.
  • VIII. 결론: Future work는 physically feasible 3D-object attacks, black-box attacks, stronger defenses, 그리고 point-cloud networks의 improved robustness를 대상으로 한다.저자들은 adversarial-point-cloud safety의 중요성이 커짐에 따라 defenses가 장기적으로 강력한 상태를 유지하지 못할 수 있다는 점도 경고한다.

부록 A 증명 … C. Max Confidence-Based Measurement에 관하여

부록에서는 pointwise-gradient 및 point-attachment attack이 bounded perturbation 하에서 오분류를 유도할 수 있음을 증명하고, Max Confidence-Based Measurement가 명시된 local-function 및 sparsity 가정하에서 adversarial sample을 탐지함을 보인다. Concave 및 convex PC-Nets에 대해서는 각각 CoA 및 CoV 기반 탐지를 확립한다.

  • A. On Pointwise-Gradient Attack: pointwise-gradient attack의 경우, 올바르게 분류된 일부 point cloud를 거리 ϵ 이내의 point cloud로 변환하면 예측 클래스가 실제 클래스와 달라질 수 있다.ϵ bound는 dataset 전체에서 선택되며, 각 변환 sample에 대해 ϵX = DC(X, X′)이다.
  • A. On Pointwise-Gradient Attack: pointwise-gradient proof는 label t를 가진 임의의 sample을 pointwise하게 label t′를 가진 다른 sample로 변경한 뒤, dataset 전체의 최대 perturbation distance를 취함으로써 attack 구성을 형식화한다.이는 point cloud dataset 전반에서 attack proposition을 뒷받침하는 유한한 ϵ의 존재를 확립한다.
  • B. On Point-Attach Attack: point-attach attack의 경우, 올바르게 분류된 일부 point cloud는 거리 ϵ 이내에서 attachment를 수행하고 point 수를 최대 Na만큼 변경한 뒤 오분류될 수 있다.증명에서는 서로 다른 label을 가진 두 example 중 하나를 다른 example에 attach한다. 그 결과의 prediction 중 어느 것이 일치하는지에 따라 성공적으로 공격된 sample이 결정된다.
  • C. On Max Confidence-Based Measurement: Max Confidence-Based Measurement는 Gaussian Noising 또는 Quantification perturbation을 사용하여 convex PC-Nets에는 CoV를, concave PC-Nets에는 CoA를 적용함으로써 adversarial sample과 benign sample을 항상 탐지할 수 있다.이 proposition은 PC-Nets가 locally continuous하며 convex 또는 concave이고, adversarial example이 각 local neighborhood에서 충분히 작은 비율을 이룬다고 가정한다.
  • C. On Max Confidence-Based Measurement: concave case의 proof는 Quantification을 uniform-distribution perturbation으로 모델링하고, 0.5 classification threshold를 사용하여 negative adversarial example과 positive natural example을 분리한다.quantized adversarial sample과 natural sample에 동일한 perturbation을 적용한 뒤 confidence behavior를 비교한다.
  • C. On Max Confidence-Based Measurement: locally concave PC-Nets에서 CoA가 효과적인 이유는 benign sample이 decision-boundary point로부터 adversarial sample보다 더 큰 거리를 가지기 때문이며, 이에 따라 CoA(x2) > CoA(x1)이 성립한다.증명에서는 shared perturbation과 f(c) = 0.5인 point c를 사용하며, local adversarial-example sparsity 가정으로부터 DC(c, x2) > DC(x1, c)를 얻는다.
  • C. On Max Confidence-Based Measurement: locally convex PC-Nets에서 CoV가 효과적인 이유는 동일한 perturbation width와 convexity로부터 adversarial 및 benign sample에 대해 각각 CoV(x1) > CoV(x2)가 도출되기 때문이다.증명에서는 a1과 b2에서의 slope를 비교하며, a1 > b2 및 b2 − a2 = b1 − a1을 사용한다.

부록 B 본 연구의 실험 세부사항 … E. MNIST용 CNN 학습

부록 B는 ModelNet40 및 MNIST에서 수행한 PointNet, PointNet++, DGCNN, CNN 실험의 전처리, 최적화, 초기화, 구현 설정을 상세히 설명한다.

  • A. ModelNet40용 PointNet 학습: ModelNet40의 PointNet은 공식 topology를 사용하며, cross-entropy loss, zero-centered 입력, 최대 point-to-center L2 distance가 1 m가 되도록 스케일링한 입력, standard-normal initialization을 적용한다.학습에는 learning rate 0.001의 Adam, batch size 32, 250 epochs, shuffled data, PyTorch 1.0, Titan Xp GPU를 사용한다.
  • 부록 B 본 연구의 실험 세부사항: Appendix Table A1은 다양한 attack에 perturbation 및 measurement method를 적용해 얻은 추가 defense results를 보고한다.
  • B. ModelNet40용 PointNet++ 학습: ModelNet40의 PointNet++와 DGCNN은 공식 topology를 따르며, cross-entropy loss와 최대 point-to-center L2 distance가 1 m인 zero-centered 입력을 사용한다.두 모델 모두 initial learning rate 0.001의 Adam을 사용하고, 200000 steps마다 0.7배씩 decay하여 최소 0.00001까지 낮추며, 250 epochs, shuffled data, TensorFlow 1.4, Titan Xp GPU를 사용한다.
  • C. ModelNet40용 DGCNN 학습: ModelNet40의 DGCNN은 공식 network를 따르고, cross-entropy loss와 최대 point-to-center L2 distance가 1 m가 되도록 스케일링한 zero-centered 입력을 사용하며, 250 epochs 동안 학습한다.Adam learning rate는 0.001에서 시작해 200000 steps마다 0.7배씩 decay하여 0.00001까지 낮추며, 학습에는 shuffled data와 TensorFlow 1.4, Titan Xp GPU를 사용한다.
  • D. MNIST용 PointNet 학습: MNIST용 PointNet은 좌표 (x,y)의 각 pixel을 gray value c와 함께 point (x,y,c)로 변환한 뒤 ModelNet40 방식의 point-cloud processing을 적용한다.Network는 standard-normal initialization을 사용하고, learning rate 0.001의 Adam으로 25 epochs 동안 shuffled data를 학습하며, Titan Xp GPU에서 PyTorch 1.0을 사용한다. 또한 approximate epoch와 learning-rate 선택을 위해 cross-validation과 grid search를 수행한다.
  • E. MNIST용 CNN 학습: MNIST CNN은 LeNet과 일치하며, cross-entropy loss와 standard-normal initialization을 사용하고, shuffled data에서 learning rate 0.001의 Adam으로 25 epochs 동안 학습한다.구현에는 Titan Xp GPU에서 PyTorch 1.0을 사용하며, cross-validation과 grid search로 approximate epoch 및 learning-rate 값을 선택한다.

부록 C Rotation Attack 세부 사항 · 부록 D 추가 Defense 결과 · 부록 E Pointwise-Gradient Attack 시각화

부록에서는 Euler-angle rotation attacks를 자세히 설명하고, defense-method 조합을 열거하며, Pointwise Gradient attack intensity가 point-cloud distortion에 미치는 영향을 시각화한다. Chamfer distance가 0.02를 초과하면 일부 예시에서 distortion이 눈에 띄게 나타난다.

  • 부록 C Rotation Attack 세부 사항: rotation attack은 Figure A3에 표시된 축을 중심으로 Euler angles α, β, γ를 사용해 rotation을 parameterize한다.rotation system은 x-axis, y′-axis, x′-axis를 사용한다.
  • 부록 C Rotation Attack 세부 사항: Euler-angle rotation은 α, β, γ에 대한 rotation matrices로 구성되며, 순차적인 axis rotations에 해당한다.부록에서는 세 angle parameters에 사용되는 matrix forms를 제시한다.
  • 부록 C Rotation Attack 세부 사항: gradient-based iterations에 따라 attack은 θ를 adversarial하게 업데이트하면서 각 Euler-angle dimension을 0.3 rad로 제한한다.여기서 θ는 Pointwise Gradient iteration approach에 따라 α, β, γ를 포함한다.
  • 부록 D 추가 Defense 결과: Table A1은 Gaussian Noising, Quantification 또는 Random Sampling과 SIV, CoA 또는 Cov의 모든 조합에 대한 defense AUROC를 보고한다.부록에서는 제안된 모든 Perturbation × Measurement 조합으로 결과를 확장한다.
  • 부록 D 추가 Defense 결과: Appendix D는 세 가지 perturbation methods와 세 가지 measurement methods의 cross-product를 통해 제안된 defense를 평가한다.perturbation methods는 Gaussian Noising, Quantification, Random Sampling이며, measurement methods는 SIV, CoA, Cov이다.
  • 부록 E Pointwise-Gradient Attack 시각화: 0.02를 초과하는 Chamfer distance는 0.01부터 0.05까지의 attack levels에서 시각화된 Pointwise Gradient attacks 하에서 일부 point-cloud examples를 눈에 띄게 distort한다.시각화에서는 다양한 Chamfer distances에서 benign samples와 adversarial examples를 비교한다.
Loading 1902.10899v4…