GRV：利用几何恢复和多模型投票技术对3D点云进行对抗性防御

《Expert Systems with Applications》：GRV: Adversarial Defense for 3D Point Clouds using Geometric Restoration and Multi-Model Voting

3D点云对抗攻击的防御框架GRV通过净化、几何恢复和预测稳定三阶段提升鲁棒性，有效解决现有方法结构破坏、泛化能力差和计算开销大等问题。

　　

罗海峰|林少聪|黄天强|何汉贤|赵普宁|刘文宇

福建师范大学计算机与网络安全学院，中国福建省福州市，350117

摘要

深度学习在3D点云处理方面取得了显著进展，但这些模型仍然容易受到对抗性攻击的影响，存在严重的安全风险。然而，现有的防御方法存在明显局限性。许多方法在追求鲁棒性的过程中会丢失关键的几何信息，而其他方法则难以泛化到多样化和未见过的攻击策略。此外，它们庞大的计算开销阻碍了在实际应用中的部署。为了解决这些问题，我们提出了GRV（几何恢复与投票）这一多阶段鲁棒防御框架。与依赖被动点去除的传统防御方法不同，GRV主动恢复几何结构。具体来说，它首先使用几何恢复模块过滤掉对抗性异常点，然后通过完成网络重建原始形状。随后，鲁棒的投票机制对恢复后的点云进行分类，确保预测的可靠性和准确性。在ModelNet40基准测试上的广泛实验验证了该框架对各种先进攻击的有效性。结果表明，GRV始终表现出优异的防御性能，具有很强的鲁棒性和泛化能力。

引言

深度学习在3D点云感知方面取得了实质性进展，推动了诸如分类（Gan, Song, Li, Pan, Xu, 2026; Sun, Lian, Xiao, 2019）、目标检测（Miao et al., 2021）和语义分割（Huang, Wang, Neumann, 2018; Song, Liu, Xu, Guo, Wu, Liu, 2025）等广泛应用的发展。为了支持这些任务，人们开发了多种架构，包括基于点的（Qi, Su, Mo, Guibas, 2017a; Wang, Sun, Liu, Sarma, Bronstein, Solomon, 2019）、基于体素的（Tchapmi, Choy, Armeni, Gwak, & Savarese, 2017）、基于图的（Landrieu & Simonovsky, 2018）和基于投影的方法（Guerry et al., 2018）。这些模型在自动驾驶（Li et al., 2020）和机器人导航（Zhou, Huang, & Xiong, 2021）等安全关键领域得到了广泛应用。然而，尽管取得了这些进展，点云网络仍然容易受到对抗性攻击的影响。即使是微小的扰动也可能严重误导模型预测，在现实场景中带来严重风险。因此，针对对抗性威胁的鲁棒防御成为一个紧迫且未解决的研究挑战。

早期的对抗性点云攻击防御主要依赖于输入净化，例如简单随机采样（SRS）（Xiang, Qi, & Li, 2019）、统计异常点去除（SOR）（Zhou et al., 2019）和显著点去除（SPR）（Liu, Yu, & Su, 2019）等方法，这些方法将对抗性扰动视为异常点并直接删除可疑点。虽然这些方法效率较高，但无差别的删除常常会破坏几何结构并降低分类准确性。为了更好地保留几何信息，人们提出了基于重建的防御方法，如DUP-Net（Zhou et al., 2019）利用上采样来密集化点云，以及IF-Defense（Wu, Duan, Wang, Fan, & Guibas, 2020）利用隐式占用场（Peng, Niemeyer, Mescheder, Pollefeys, & Geiger, 2020）进行形状重建。尽管这些方法保留了更多结构细节，但它们容易过拟合特定类型的攻击；例如，对扰动攻击有效的防御方法在新点插入时可能失效。最近，研究人员转向了频域方法，如LPF-Defense（Naderi, Noorbakhsh, Etemadi, & Kasaei, 2023），该方法通过应用低通滤波器并重新训练低频表示来利用对抗性噪声在高频成分中的集中。虽然这种方法可以抑制对抗性伪影，但也放弃了微妙的几何线索，导致在干净数据上的准确性下降。这些防御方法的共同局限性在于，它们将异构目标——异常点抑制、结构恢复和语义稳定——混合到一个处理步骤中，使得它们在面对多样化攻击行为时变得脆弱。

如图1所示，现有的点云对抗性防御方法在某些攻击类型下表现出合理的有效性。然而，当面对更多样化的攻击策略和不同的网络架构时，它们的鲁棒性往往会出现明显波动。基于输入净化的防御通常通过删除可疑点来抑制对抗性扰动，但这一过程常常伴随着细粒度几何细节的丢失。相比之下，基于重建的防御旨在恢复受损的点云结构，并可以部分缓解几何退化；尽管如此，它们的性能通常对特定攻击模式敏感，并且通常会产生较大的计算开销。从更广泛的角度来看，大多数现有的点云防御都是为优化某种主导类型的扰动而设计的，例如将对抗性点视为需要过滤的噪声或通过几何重建来补偿结构损伤。虽然这些策略在某些攻击条件下可以取得良好的性能，但不同类型的攻击往往会导致几何完整性、局部点分布和预测稳定性的不同退化。因此，对抗性行为的多样性使得依赖单一处理流程的防御难以在复杂的攻击场景中保持稳定的性能。

受这些观察结果的启发，我们提出了一个分阶段的点云对抗性防御框架，称为GRV。GRV将防御过程分解为三个相互关联但功能不同的阶段：净化、几何恢复和预测稳定，这些阶段共同旨在逐步提高点云表示的质量和模型预测的可靠性。通过这种模块化设计，GRV避免了将多个防御目标压缩到单一操作中，从而在多样化的对抗性条件下提供了更好的适应性和稳定性。

本研究的主要贡献有三个方面：（1）我们提出了GRV，这是一种分阶段且考虑几何特性的3D点云对抗性防御范式，它明确地将鲁棒预测分解为净化、几何恢复和语义判别；（2）我们提出了ADCP，这是一种基于MAD的净化方案，能够在保留结构完整性的同时准确去除对抗性异常点；（3）通过利用点云中对抗性扰动的低迁移性，我们设计了一种多模型判别方案，显著增强了GRV在多样化攻击场景下的鲁棒性和可靠性。

部分摘录

3D点云的深度学习

点云为3D几何提供了灵活的表示方式；然而，它们不规则和无序的结构给深度学习带来了挑战。PointNet（Qi et al., 2017a）通过使用共享的多层感知器和对称聚合函数直接从原始点集进行学习，以确保排列不变性，但其建模局部结构的能力有限，限制了其在细粒度任务上的性能。在此基础上，PointNet++（Qi, Yi, Su）

方法论

在本节中，我们介绍了所提出的防御框架，该框架包括四个关键组成部分：问题定义、基于主导连接模式的异常点防御、通过完成模型进行结构修复以及通过无权重集成进行对抗性防御。我们的GRV防御框架概述如图2所示。

实验设置

数据集。我们在ModelNet40基准测试（Wu et al., 2015）上评估了所提出的防御方法，该测试包含40个类别的12,311个CAD模型，其中9,843个样本用于训练，2,468个样本用于测试。由于SnowflakeNet的公开预训练权重与我们的训练流程不兼容，我们重新在ModelNet40上训练了模型。具体来说，为了构建完成网络所需的局部-完整对，我们为每个模型生成了两种类型的损坏版本

讨论

我们进一步分析了在点云完成之后引入第二个ADCP阶段（在表10中标记为“New”）的效果，并讨论了其实际意义。总体而言，结果揭示了一个明显的权衡：虽然第二个ADCP阶段提高了对扰动和添加性攻击的鲁棒性，但在点丢失场景下可能会导致性能下降。

具体来说，对于PointNet++，额外的ADCP阶段在某些扰动攻击下取得了显著的提升

结论

为了克服现有防御方法的局限性——如几何失真和泛化能力差——我们提出了GRV（几何恢复与投票），这是一个多阶段鲁棒防御框架。GRV通过恢复-完成流程主动恢复受损的几何结构，并利用鲁棒的投票机制进行可靠分类。这种联合设计使模型在保持几何完整性的同时，增强了对多样化和未见过的攻击策略的抵御能力。

作者贡献声明

罗海峰：撰写——审稿和编辑、可视化、验证、方法论。林少聪：撰写——审稿和编辑、验证、方法论。黄天强：撰写、验证、监督。何汉贤：数据整理、验证、调查。赵普宁：撰写——审稿和编辑、可视化。刘文宇：撰写——审稿和编辑、方法论、监督、形式分析。

CRediT作者贡献声明

罗海峰：撰写——审稿和编辑、可视化、验证、方法论。林少聪：撰写——审稿和编辑、验证、方法论。黄天强：验证、监督。何汉贤：数据整理、验证、调查。赵普宁：撰写——审稿和编辑、可视化。刘文宇：撰写——审稿和编辑、方法论、监督、形式分析。

利益冲突声明

作者声明他们没有已知的财务利益或个人关系可能影响本文报告的工作。