Come difendere i cloud 3D dagli attacchi invisibili?

I cloud 3D sono insiemi di punti che descrivono oggetti reali, usati da robot, auto autonome e videogiochi. Però, come ogni rete neurale, possono essere ingannati da perturbazioni avversarie: piccole modifiche quasi impercettibili che spingono il modello a sbagliare. Le Universal Adversarial Perturbations (UAP) sono particolarmente pericolose perché funzionano su qualsiasi input. I metodi tradizionali di purificazione trattano questi errori punto per punto, ignorando che le UAP spesso formano segmenti strutturati, simili a piccole forme curve inserite nel cloud.

Il nuovo approccio sfrutta l’interpretabile del modello per scovare le regioni più influenti. Prima individua, con trasformate wavelet su grafi, i segmenti di curvatura sospetti. Poi li trasferisce su cloud puliti: se il trasferimento fa cambiare la classe, il segmento è marcato come avversario. Infine, questi pezzi vengono rimossi, lasciando intatta la geometria reale.

I test su due dataset pubblici e quattro classificatori all’avanguardia mostrano un recupero di accuratezza notevole, anche rispetto a metodi più semplici. Il sistema mantiene i dettagli genuini, così i modelli rimangono precisi su dati puliti e resistenti agli attacchi. Questa strategia dimostra che considerare la struttura delle UAP e usare l’interpretabile del modello è la chiave per difendere le reti geometriche dal futuro.

Il risultato è una difesa più intelligente, pronta a evolversi con nuovi tipi di attacchi e a proteggere le applicazioni che dipendono dai cloud 3D.

Le Universal Adversarial Perturbations (UAP) sono vettori di rumore che, una volta aggiunti a un input, alterano la decisione di un classificatore indipendentemente dal contenuto originale. Nel dominio dei point cloud, le UAP non sono distribuite casualmente: tendono a formare segmenti continui con curvatura elevata, sfruttando la sensibilità delle reti geometriche alle variazioni locali della topologia.\n\nIl framework proposto parte da una fase di interpretabilità basata su gradienti di classe (ad esempio Grad‑CAM per point cloud) per generare una mappa di importanza su ogni punto. Successivamente, la trasformata wavelet su grafi (Graph Wavelet Transform, GWT) decompone il cloud in bande di frequenza spaziale, consentendo di isolare regioni con alta energia di curvatura. Queste regioni sono candidate a contenere UAP.\n\nIl test di trapianto (transplantation test) consiste nel trasferire ciascuna regione sospetta su un campione pulito e valutare l’impatto sulla predizione. Se il trapianto induce una classificazione errata in modo consistente, la regione è etichettata come avversaria. Questo meccanismo sfrutta la proprietà di trasferibilità delle UAP: un segmento avversario mantiene la sua capacità di ingannare il modello anche su diversi contesti geometrici.\n\nUna volta identificate, le regioni avversarie vengono rimosse o sostituite mediante interpolazione locale, preservando la continuità della superficie. L’intero processo è eseguito in tempo quasi lineare rispetto al numero di punti, grazie all’efficienza della GWT e alla limitata quantità di regioni candidate.\n\nGli esperimenti hanno valutato la robustezza usando metriche standard (accuracy, F1‑score) e misure di preservazione della geometria (Chamfer Distance, Earth Mover’s Distance). I risultati mostrano un recupero di accuratezza superiore al 80% rispetto ai metodi point‑wise, con una degradazione minima della qualità geometrica dei cloud puliti.\n\nFuture work potrebbe estendere il metodo a rappresentazioni più complesse, come mesh o voxel, e integrare strategie di difesa adattive che aggiornano dinamicamente i criteri di segmentazione in risposta a nuove tipologie di attacchi.