GSDBA：基于图谱域对三维点云目标检测的后门攻击

《Pattern Recognition Letters》：GSDBA: Backdoor Attack on 3D Point Cloud Object Detection via Graph Spectral Domain

　　

• •
  GSDBA将后门触发器迁移到图频谱域，用于三维目标检测。
• •
  三阶段频带注入策略确保视觉和统计隐蔽性。
• •
  粒子群优化（PSO）在严格隐蔽性约束下自动优化触发器参数。
• •
  与空间域基线相比，L₂扰动降低了数个数量级。
• •
  在KITTI数据集上，针对四种主流三维目标检测器验证了攻击效果。

引言

三维点云作为自动驾驶感知系统的关键数据格式[1], [2], [3]。近年来，基于深度学习的三维目标检测器在KITTI[4]和nuScenes[5]等公开数据集上取得了显著进展，发展出包括体素化和原始点云在内的多种架构[6], [7], [8]。然而，深度学习的数据驱动特性使模型容易受到后门攻击[9], [10], [11], [12]，攻击者将少量带有触发器的污染样本注入训练数据，导致模型在触发条件下输出攻击者预设的异常结果，而在干净输入上表现正常，对自动驾驶安全构成严重威胁。

为了建模复杂非线性模式以应对安全或空间任务，现代系统采用多种机器学习范式，包括深度神经网络[13], [14], [15]、高斯过程回归[16], [17]、图方法[17], [18]、集成技术[19], [20]和网络模型[22], [25]。尽管这些框架在标准数据上表现出色，但它们在非结构化、稀疏、非欧几里得的三维点云上表现不佳，其中空间域的坐标操作很容易破坏局部几何拓扑，破坏数学隐蔽性。

具体而言，三维点云是无序、稀疏且非均匀采样的，这使得补丁式触发器难以直接迁移到三维场景。现有的大多数三维后门攻击方法在空间域操作点坐标[26], [27], [28]，但这些方法存在明显局限性：坐标扰动容易破坏宏观几何轮廓，直接的坐标修改会导致局部点密度的统计异常，使其容易受到自动驾驶流程中异常值过滤防御的检出。

为了克服空间域触发器隐蔽性不足的问题，频域和频谱域方法为设计高隐蔽性触发器提供了新的视角。在图像域中，已有研究通过操作特定频带成分来尝试实现不可见攻击[29], [30], [31]。在三维点云域中，Fan等人[32]率先利用图傅里叶变换开创性地提出了图频谱域触发器，在单目标分类模型下有效增强了几何隐蔽性。然而，将频谱域方法扩展到涉及大场景和多目标的复杂检测任务仍然是一个开放问题。如图1所示，空间域扰动不可避免地在图频谱域引入严重的能量畸变，为统计异常值过滤等防御机制提供了明确的依据。

针对上述问题，本文提出了GSDBA，一种基于图频谱域触发器的三维点云目标检测后门攻击。GSDBA利用图傅里叶变换将点云坐标映射到图频谱域，采用三阶段差异化频带注入策略将触发器扰动深度嵌入局部几何纹理中，支持包括图引导定向误分类攻击（GDMA）和图引导目标消失攻击（GODA）在内的两种攻击目标。此外引入粒子群优化（PSO）在隐蔽性约束下自动优化触发器参数，无需依赖模型训练反馈。在KITTI数据集上针对多个主流三维检测器的实验表明，GSDBA在保持竞争性攻击成功率的同时，相比空间域基线将L₂扰动降低了约一个数量级。

本文的主要贡献如下：

• •
  我们提出GSDBA，将图频谱域触发器引入三维点云目标检测，从频谱角度实现触发器的本质隐蔽。
• •
  设计了由低频保护、中频强扰动和高频微扰动组成的三阶段注入策略，支持两种攻击目标：引导定向误分类攻击（GDMA）和引导目标消失攻击（GODA）。
• •
  集成粒子群优化，在隐蔽性硬约束下自动搜索最优触发器参数，在多个主流三维检测器上验证了方法的有效性和不可见性，几何扰动相比空间域基线最高降低了数个数量级。

章节摘要

三维目标检测方法

现有的三维目标检测方法对点云数据的稀疏性和无序性进行建模，通常分为体素化方法（如VoxelNet[6]、SECOND[33]和Voxel R-CNN[34]）、柱状体方法（如PointPillars[7]）和点云方法（如PointRCNN[8]）。PV_RCNN[35]和PartA²[36]等方法通过融合体素和点云特征进一步提升性能。根据检测过程，这些方法可分为单阶段[7], [33], [37]和

威胁模型

本文关注自动驾驶中常见的外包训练或第三方数据收集流程中的数据投毒后门攻击。攻击者无需访问网络架构或训练过程，通过注入少量污染样本来污染数据集。尽管GDMA中的显式标签翻转可能容易受到独立数据清洗的防御，但它模拟了高度真实的实际场景，例如第三方标注团队中的恶意内部人员或

方法论

GSDBA的核心设计理念是将触发器从空间域迁移到图频谱域。通过利用图傅里叶变换将点云的几何信息解耦为不同频率成分，GSDBA在保持低频全局形态的同时，将主要扰动载荷注入中频段，使触发器特征深度融入局部几何纹理，在视觉和统计层面实现隐蔽性。

总体设置

数据集。实验在KITTI三维目标检测数据集上进行，以汽车类别为主要攻击目标，该数据集提供真实城市场景中的激光雷达点云数据，包含7481个训练样本和7518个测试样本。

受害模型。我们从OpenPCDet[45]工具箱中选择四种主流三维目标检测框架作为受害模型：PartA²、PointRCNN、PV_RCNN和SECOND，涵盖体素化、点云和混合架构，以验证

结论

本文提出了GSDBA，一种针对三维目标检测的隐蔽后门攻击，利用图傅里叶变换和差异化频带注入策略来规避空间域和统计域防御。引入预训练PSO策略，在严格隐蔽性约束下自动优化触发器参数。针对当前文献中偏向攻击方法的失衡现状，我们的未来工作将专注于建立稳健的防御路线图。

生成式人工智能和人工智能辅助技术在论文撰写过程中的声明

在本文准备过程中，作者使用了Claude（Anthropic）以改善语言和可读性。使用该工具后，作者对内容进行了审核和编辑，并对所发表文章的内容承担全部责任。

CRediT作者贡献声明

Lei Zhang：监督、资金获取、概念构思。Cheng Chen：撰写——初稿、可视化、软件、方法论、调查研究。Linkun Fan：撰写——审阅与编辑、监督、方法论、概念构思。Peiguo Fu：资源。Ming Liu：资源。

利益冲突声明

作者声明，他们不存在可能影响本文所报告工作的已知竞争性经济利益或个人关系。

致谢

本工作部分得到国家自然科学基金项目（62606157）、河南大学重点科研项目（27AQ520001）、河南省重点研发项目（编号241111212800）、河南省科技重点项目（编号232102240020）以及中国高校研究创新基金（编号2023DT012）的支持。

Lei Zhang|Cheng Chen|Linkun Fan|Peiguo Fu|Ming Liu