Adversary and invisibility are two fundamental but conflict characters of adversarial perturbations. Previous adversarial attacks on 3D point cloud recognition have often been criticized for their noticeable point outliers, since they just involve an "implicit constrain" like global distance loss in the time-consuming optimization to limit the generated noise. While point cloud is a highly structured data format, it is hard to metric and constrain its perturbation with a simple loss properly. In this paper, we propose a novel Point-Cloud Sensitivity Map to boost both the efficiency and imperceptibility of point perturbations. This map reveals the vulnerability of point cloud recognition models when encountering shape-invariant adversarial noises. These noises are designed along the shape surface with an "explicit constrain" instead of extra distance loss. Specifically, we first apply a reversible coordinate transformation on each point of the point cloud input, to reduce one degree of point freedom and limit its movement on the tangent plane. Then we calculate the best attacking direction with the gradients of the transformed point cloud obtained on the white-box model. Finally we assign each point with a non-negative score to construct the sensitivity map, which benefits both white-box adversarial invisibility and black-box query-efficiency extended in our work. Extensive evaluations prove that our method can achieve the superior performance on various point cloud recognition models, with its satisfying adversarial imperceptibility and strong resistance to different point cloud defense settings. Our code is available at: https://github.com/shikiw/SI-Adv.
翻译:反向和不可见性是对抗性扰动的两个根本性但冲突性特征。 对 3D 点云识别的对抗性攻击经常因其明显点出点而遭到批评, 因为它们只是涉及“ 隐含限制” 的“ 隐含限制 ”, 在时间消耗的优化中, 与全球距离损失相似, 以限制生成的噪音。 虽然点云是一种高度结构化的数据格式, 但很难测量并限制其扰动, 并有一个简单的损失 。 在本文中, 我们提出一个新的点- 点- 响度感知性地图, 以提高点扰动的效率和不易感性。 这个地图显示点在遇到形状- 异性对冲噪音时的云识别模型的脆弱性。 这些噪音只是在形状表面设计“ 隐含隐含限制”, 以限制产生的噪音。 具体地说, 我们首先对点云输入的每个点进行可逆式协调转换, 降低点的自由度, 并限制其在色平面平面上移动的云流体。 然后我们用白框模型上获得的变换点/ 梯度计算出最佳攻击性方向 。 最后, 我们把每个点- 的精确度 都分分分到不透明化, 我们的对等,, 我们的对调度, 我们的对准性评估, 我们的,, 度 度 的 度 度, 我们的 度 度 度 度 度,, 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度 度