アーカイブ / Computer Vision
攻撃された3D点群を点ごとに補正するAPC：分類精度とモデル間転用を検証
Adversarial Point Counterattack (APC)
Adversarial Point Counterattack (APC)の原論文から掲載した図です。細部はクリックして拡大できます。
原論文の図の説明を読む
Figure 1 : Overall pipeline of APC training and inference. Given an adversarial point cloud x ′ x^{\prime} created by attacking a clean point cloud x x , APC generates counter-perturbations C C . By point-wise adding C C to x ′ x^{\prime} , we obtain the purified point cloud x ~ ′ \tilde{x}^{\prime} . f ( ⋅ ) f(\cdot) and C l s Cls denote feature extractor and classifier of the victim model, respectively. Once trained, APC can be transferred to any model, as depicted in (c).
概要
- APCは攻撃された3D点群の各点に補正量を加え、分類器へ渡す前に入力を修正する。
- 正常な点群と攻撃点群の対を使い、座標と分類に使う内部特徴の両方を正常例に近づけるよう学習する。
- 著者らのModelNet40実験では、PointNetに対する11攻撃の平均分類精度がAPCで84.7%となり、別モデルへの転用も評価された。
補足：編集した模式図で仕組みを確認する
VISUAL EXPLAINER
図でつかむ、Adversarial Point Counterattack (APC)の仕組み
- 01攻撃された点群
- 02SORで外れ値除去
- 03近傍と全体形状を抽出
- 04各点の座標を補正
- 05補正後の点群
原論文の説明をもとにした模式図です。処理の細部は省略しています。
研究の背景
APCは、攻撃された3D点群を認識モデルに入れる前に補正する方法である。点群とは物体の表面などを3次元の点の集まりで表したデータを指す。点の追加、削除、移動によって認識を誤らせる「敵対的攻撃」が課題になる。
防御には入力点群を加工する方法と、認識モデル自体を鍛え直す方法がある。後者ではモデルごとに再学習が必要になる。APCは入力側で補正し、攻撃への耐性と別の認識モデルへの転用を両立させようとする。
手法
APCは、攻撃された点群から各点に加える補正量を計算する。実験ではまずSORで統計的な外れ値を除き、KNN（各点に近い点を選ぶ処理）で近傍の形を捉える。点群全体の形を表す情報と統合して補正量を作り、座標に加えた点群を分類器へ渡す。例えば、一部の点がずらされた物体の点群を補正してから分類する。
学習には正常な点群と攻撃を加えた点群の対、および分類ラベルを使う。補正後と正常な点群について、点の位置の距離、分類器が取り出す特徴と呼ばれる内部表現の差、分類の誤りを小さくする。ModelNet40ではKNN、HiT、Dropの攻撃と正常例を組み合わせ、分類器を固定してAPCを更新した。
新規性
APCは、攻撃された点群から入力ごと・点ごとの補正量を生成し、認識モデルへ渡す前に座標を修正する。正常な点群との座標の近さに加え、分類に使う内部特徴の近さも学習目標に含める。
著者らは、複数種類の攻撃を使って補正器を学習し、学習時と異なる攻撃や認識モデルでも評価した。別モデルへの適用時にAPCを再学習しない点が、この設計の転用方法である。
従来手法との違い
入力を加工する既存法には、点を無作為に間引くSRS、外れ値を除くSOR、推論時に点の座標を反復して最適化するIF-Defenseがある。APCは学習済みの補正器を一度通し、各点に補正量を加える。
認識モデルを鍛え直す敵対的学習（AT）や、複数の攻撃を学習に使うハイブリッド学習（HT）とも比較された。APCも複数攻撃を学習に使うが、推論時は認識モデルの前段で点群を処理し、別モデルへの転用も検証している。
実験結果
著者らはModelNet40と、実測点群を含むScanObjectNNのOBJ_ONLY分割を用い、PointNet、PointNet++、DGCNNで評価した。各点群を1,024点にそろえ、攻撃側がモデルを参照できるホワイトボックス条件で、特定の誤分類先を指定しない攻撃を使った。
ModelNet40の11攻撃に対する平均分類精度は、PointNetでAPCが84.7%、IF-Defenseが80.6%、HTが80.1%だった。PointNetで学習したAPCをPointNet++へ再学習せず移した評価では83.1%、IF-Defenseは82.3%。著者らの測定では、APCの補正時間は1点群当たり0.002秒、パラメータ数は20万だった。
応用の可能性
編集上の応用案 · 論文が実証した用途とは区別しています。
編集上の応用案：倉庫ロボットが3Dセンサーで取得する棚上の物体の点群を、既存の物体分類器へ渡す前にAPCで補正する。入力は点の3次元座標、出力は補正後の点群と分類器による物体名とする。
検討には、対象物の分類ラベル、正常な点群と攻撃を加えた点群の対が必要になる。現場のセンサーで欠測や計測ノイズを含むデータを集め、攻撃の作り方と点群の前処理をその条件に合わせる。誤分類が減るかは、このデータで検証する。
導入時の検証
導入時の検証案 · 対象データでの再評価が必要です。
導入時の検証案：対象の3Dセンサーで物体点群を集め、物体名の正解ラベルを付ける。正常な点群と、そこへ攻撃を加えた点群の対を作り、複数種類の攻撃を含めてAPCを学習する。前処理は論文の条件に合わせてSORを含め、現場の分類器へ補正後の点群を渡す。
同じ評価用点群で、APCなし、SORのみ、SORとAPCを順に使う場合を比べる。攻撃種類ごとの分類精度、正常な点群の分類精度、1点群当たりの処理時間を測る。別の分類器と、学習に使わなかった攻撃でも測り、転用の可否を判断する。
限界と課題
著者らは、単一種類の攻撃だけで学習した版では、学習に使わなかった攻撃への分類精度が大きく下がると報告した。この結果を踏まえ、本方式では複数種類の攻撃を学習に組み合わせている。
編集上の検証事項：現場特有の欠測、ノイズ、学習に含めない攻撃に対する精度と、正常な点群の分類精度を確かめる必要がある。実験は指定のデータ、攻撃、分類器で行われており、倉庫の物体やセンサーに同じ効果が及ぶとは判断できない。
出典
元のタイトル・要旨を確認する（英語）
APC: Transferable and Efficient Adversarial Point Counterattack for Robust 3D Point Cloud Recognition
The advent of deep neural networks has led to remarkable progress in 3D point cloud recognition, but they remain vulnerable to adversarial attacks. Although various defense methods have been studied, they suffer from a trade-off between robustness and transferability. We propose Adversarial Point Counterattack (APC) to achieve both simultaneously. APC is a lightweight input-level purification module that generates instance-specific counter-perturbations for each point, effectively neutralizing attacks. Leveraging clean-adversarial pairs, APC enforces geometric consistency in data space and semantic consistency in feature space. To improve generalizability across diverse attacks, we adopt a hybrid training strategy using adversarial point clouds from multiple attack types. Since APC operates purely on input point clouds, it directly transfers to unseen models and defends against attacks targeting them without retraining. At inference, a single APC forward pass provides purified point clouds with negligible time and parameter overhead. Extensive experiments on two 3D recognition benchmarks demonstrate that the APC achieves state-of-the-art defense performance. Furthermore, cross-model evaluations validate its superior transferability. The code is available at https://github.com/gyjung975/APC.
論文本体の取得範囲に基づく解説。AIが作成した未校閲の記事です。性能の数値は著者の評価条件に依存します。応用例と検証計画は編集上の提案です。解説更新：2026-10-01