セキュリティ/3D物体検出2026/6/18arXiv:2606.20752

Mirage: LiDAR 3D物体検出に対するクリーンラベルバックドア攻撃

Mirage: a Clean-Label Backdoor against LiDAR 3D Object Detection

LiDAR 3D物体検出モデルに対して、ラベル改変を必要としないクリーンラベルバックドア攻撃を提案し、少量の毒サンプルで高い誤分類率を達成した。

詳しい要約

1. どんなもの？

- LiDAR 3D Object Detection (3DOD) に対する backdoor attack の一種。 - Mirage と名付けられた black-box かつ clean-label な攻撃手法。 - 少数の label-consistent な poisoning sample を訓練データに混入させる。 - モデルに trigger pattern と攻撃者指定の target class の悪意ある関連を学習させる。 - 正常な入力では通常動作を保ちつつ、trigger 付きオブジェクトを target class に誤分類させる。

2. 先行研究と比べてどこがすごい？

- 既存の backdoor attack は white-box access や label modification を必要とすることが多い。 - 既存手法は object disappearance や bounding-box manipulation などの geometric attack に焦点。 - Mirage は black-box かつ clean-label で、label を変更せずに攻撃を実現。 - 攻撃成功率と poisoning rate の効率性が向上。

3. 技術・手法の肝は？

- 訓練セットに label-consistent な poisoning sample を少量注入。 - trigger pattern と target class の関連をモデルに学習させる。 - 正常な訓練セマンティクスを保持しつつ、悪意ある関連を埋め込む。 - 展開時に trigger 付きオブジェクトを target class に誤分類させる。

4. どうやって有効だと検証した？

- 複数の state-of-the-art LiDAR 3DOD モデルとベンチマークデータセットで評価。 - poisoning rate 0.5% で 73% の misclassification success rate を達成。 - 検出性能は benign モデルに近いレベルを維持。

5. 議論はある？

- 要旨からは不明。

6. 次に読むべき論文は？

- 要旨で参照/比較されている研究や関連手法は明示されていない。 - 同分野の定番として、LiDAR 3DOD の backdoor attack に関する研究や、clean-label backdoor attack の一般手法が挙げられる。

※ AIが要旨から生成した要約です。正確性は原文をご確認ください。

著者: Ziba Parsons, Ang Li

分類: cs.CV, cs.CR

原文アブストラクト

Deep neural network-based LiDAR 3D object detection serves as a critical perception component in safety-critical autonomous systems. However, recent studies have revealed its vulnerability to backdoor attacks. Existing attacks typically require white-box access or label modification and focus on geometric attacks such as object disappearance or bounding-box manipulation. In this paper, we present Mirage, a black-box and clean-label backdoor attack against deep neural network-based LiDAR 3DOD. Mirage injects a small number of label-consistent poisoning samples into the training set, causing the model to learn a malicious association between a trigger pattern and an attacker-chosen target class while preserving normal training semantics. As a result, the compromised model behaves normally on benign inputs yet systematically misclassifies triggered objects as the target class during deployment. We evaluate Mirage on multiple state-of-the-art LiDAR 3DOD models and benchmark datasets. Experimental results show that Mirage achieves a 73% misclassification success rate with a poisoning rate of only 0.5%, while maintaining detection performance close to that of benign models.

arXivで原文を読む →arXiv概要ページ

← 論文一覧