物理世界中的等距三维对抗样本

三维深度学习模型被证明与二维模型一样容易受到对抗样本的攻击。然而，现有的攻击方法仍远未达到隐蔽性，且在物理世界中性能严重下降。尽管三维数据高度结构化，但很难在欧几里得空间中使用简单的度量来约束扰动。在本文中，我们提出了一种新颖的$\epsilon$-等距（$\epsilon$-ISO）攻击方法，通过考虑三维物体的几何特性以及对物理变换的不变性，在物理世界中生成自然且鲁棒的三维对抗样本。对于自然性，我们通过采用高斯曲率作为替代度量（由理论分析保证），将对抗样本约束为与原始样本$\epsilon$-等距。对于物理变换的不变性，我们提出了一种变换最大值（MaxOT）方法，该方法主动搜索最具破坏性的变换，而非随机变换，以使生成的对抗样本在物理世界中更加鲁棒。在典型点云识别模型上的实验验证了，与最先进的攻击方法相比，我们的方法能显著提高生成的三维对抗样本的攻击成功率和自然性。