信息黑洞：3D 点云重建中的后门机制研究

点云自编码器的后门难以控制：投毒样本里残留的源几何会串进干净推理分支，使触发输入重建回源形状而不是攻击者指定的目标形状。

• 场景：作者称点云是三维学习的标准几何表示，PCAE 把无序点集编成紧凑潜表示再解码回几何，是特征提取与保结构重建的基础机制。PCAE 被用于自动驾驶、机器人与三维感知流水线，攻击者可通过投毒训练数据植入后门：干净输入保持正常重建，触发输入输出攻击者指定结果。
• 现有方法的不足：作者称已有三维后门主要做分类（PointBA、PCBA、IRBA 及后续工作），只需拟合投毒样本的边缘分布以推向目标标签，重点在触发隐蔽与扰动鲁棒，与自编码器中的信息串扰和模式坍缩关系不大。图像域 BAAAN 只在基础 BadNet 式触发上评估，未系统研究生成式与判别式后门的差别，也未处理无序、稀疏点云。
• 核心观察：朴素的“触发输入–目标形状”配对能保住 PCAE 基本功能，但 ASR 有限。Fig. 2 中，IRBA 的加权局部变换（WLT）变形越强、残留源几何越少，输出越从原形状转向目标形状。作者认为这是触发特征与残留源几何在重建时竞争。把投毒潜码硬拉向目标形状则可能模式坍缩，并严重降低干净输入的重建能力。
• 要同时满足的两点：避免残留源几何的信息串扰，以保证攻击成功率；同时尊重自编码器把几何相近形状映到相邻潜区域的学习偏好，以免模式坍缩、保住模型功能。
• 威胁模型：
  • 目标：干净输入保持重建保真度，触发输入重建为攻击者指定的目标形状（与 BAAAN 的自编码器后门设定一致）。
  • 知识与能力：训练时攻击。攻击者可访问训练数据、选择一部分源样本投毒、构造触发器、指定目标形状，并修改训练过程。训练可由恶意模型提供者、不可信外包服务或模型供应链中被攻破的参与者执行，与 BadNets 的不可信供应链设定一致。
  • 部署后：攻击者不能修改模型结构或参数，测试时不能获得目标信息。用户按正常流程部署和评估，不知道训练数据或模型已被破坏。
  • 受害系统：点云自编码器，编码器 Eϕ 与解码器 Dψ 共享，输出为连续几何而不是离散类别。
• 本文提出：作者提出 Information Blackhole 原则，用高斯分布约束解开潜表示、阻断干扰信息；并据此提出自适应高斯匹配（Adaptive Gaussian Matching, AGM），显式正则投毒样本的潜分布，抑制源几何从投毒特征传到指定重建目标。作者称这是在现有触发范式下对 PCAE 后门重建漏洞的首次分析与评测，并用后门作为诊断工具研究投毒重建时的表示机制。

点云分类后门

• 早期触发族：PointBA-I [13] 与 PCBA [14] 插入局部点簇或物体状图案；PointBA-O [13] 与 NRBdoor [28] 依赖旋转相关变换。作者称这些工作暴露了点云分类器的脆弱性，但其触发可被几何预处理或数据增强削弱。
• 更内在的几何或辅助特征：MorphNet [29]、IRBA [12] 与可训练非刚性形变攻击 [30] 用流形感知或样本特定变换扰动点云；图谱攻击 [31] 与 SPBA [19] 把触发放进谱域或曲率感知局部结构；MBA [16] 扩展到网格分类器；SRBA [18] 不改坐标，而移动反射强度等附加点特征。
• 其他目标：更近的工作用自编码器生成的重建误差做分类器触发 [15]，以及用干净标签后门水印做数据集所有权验证 [17]。作者称这些方法仍绑定判别决策边界，而本文针对需要控制解码几何的连续输出重建后门。

自编码器安全

• PCAE 架构：FoldingNet [5] 用图增强编码器捕获局部结构，用折叠解码器把规则二维网格映到三维点云。PointDiffusion [32] 把 PointNet 编码器与条件扩散解码器结合，按学到的形状潜变量迭代去噪重建。作者称在这些架构中，潜空间形状信息引导输出几何的重建。
• 图像自编码器后门：BAAAN [20] 用训练数据投毒使图像自编码器把触发输入解码成攻击者指定输出，同时保持干净输入的正常重建。
• 三维中的自编码器角色：iBA [15] 用预训练的基于折叠的自编码器，为点云分类器生成非线性、样本特定的重建残差作为触发。作者称这里自编码器是触发生成模块，不是受害重建模型；已有研究尚未充分刻画 PCAE 中的后门重建，也未解释源几何与指定目标信息如何在连续潜空间中相互作用。

后门理论与表示机制

• 投毒如何塑造表示：BadNets [21] 建立标准投毒范式：少量触发样本诱导持久的目标行为。适应性假说把后门形成归于模型拟合触发特定模式而不大幅扰乱良性预测的能力 [24]。统计视角的分析称投毒效应同时取决于分布偏移与训练动态 [33]。信息动态分析刻画训练中良性与投毒样本如何被编码 [23]；另有攻击在保持已学表示分布的同时注入后门 [34]。
• 信息论工具：信息瓶颈 [35] 及其变分形式 [36] 形式化输入信息与任务相关信息的权衡。对抗信息瓶颈通过抑制滋扰信息扩展该形式 [37]；去混淆表示学习把后门触发建模为应与任务语义分离的混淆因子 [38]。作者称这些视角促使他们用信息论说明源–目标干扰。
• 定位：作者称多数已有后门表述仍以判别输出为中心，没有刻画源信息与目标信息如何在重建模型的连续潜空间中重新分配，而这是本文的焦点。

基线方法与基准

• 基线：主实验的 Base 是不使用 AGM、仅做混合重建的标准后门训练。触发器为 PointBA-I、IRBA 与 iBA。匹配策略消融还比较固定均值、固定方差、固定均值与方差。
• 基准：ModelNet10、ModelNet40 与 ShapeNetPart。受害模型主要为 FoldingNet，架构泛化实验使用 PointDiffusion。

作者把本文与上述工作的区别放在：判别式方法只需拟合投毒边缘分布，而 PCAE 的生成性质把两类数据缠在统一潜分布里，从而产生信息串扰；本文用 Information Blackhole 与 AGM 在连续潜空间中压制源信息、保留目标信息。

整体思路是：把后门重建写成投毒信息瓶颈（poisoned information bottleneck, PIB），用 Information Blackhole 在潜空间去掉源类偏移，再用只作用于投毒分支的 AGM 把该原则变成可训练正则。Fig. 3 给出共享编码器–解码器上的混合重建与该正则。

问题设定与形式化

• 模型：点云空间 X ⊆ R^{n×3}。PCAE 为 fθ(X) = Dψ(Eϕ(X))，θ = (ϕ, ψ)。dgeo 为点云间重建距离。标准训练最小化干净自重建风险（式 (1)）。
• 投毒划分：投毒率 γ ∈ (0, 1)，D = Db ∪ Dp，|Dp| = ⌊γ|D|⌋。每个投毒源样本指定目标形状 yt，目标变量 Y ~ Pt,ϵt，且 E[dgeo(Y, yt)²] ≤ ϵt²。触发函数 T 为确定性映射。分支变量 S ∈ {0, 1}：S = 0 时输入与监督都是 X；S = 1 时输入为 T(X)、监督为 Y。混合集 Dbd 上最小化重建风险得到后门 PCAE（式 (5)）。
• 潜空间可加模型：假设源类 C 与目标 Y 独立。目标潜码 Z^{T,Y} 是解码器潜空间中使 dgeo(Dψbd(z), Y) 最小的优化器，并被建模为 N(μ_{T,Y}, Σ_{T,Y})，Σ_{T,Y} 为非退化对角阵。基线投毒潜表示为 ZT*(X) = Z^{T,Y} + aC + εb，其中 aC 是源类干扰，εb ~ N(0, Σb) 且与二者独立。Information Blackhole 表示去掉 aC：ZT(X) = Z^{T,Y} + εb。

Information Blackhole 的信息论主张

• 高斯参照排除离散源类偏移：Lemma 1 设参照族 Pref(Σ) = N(μ_{T,Y}, Σ)。作者称当 aC 取至少两个不同值时，KL 匹配的唯一全局最小点是源类偏移系数 t* = 0，协方差为 Σ_{T,Y} + Σb。因此最优匹配去掉源类干扰，保留目标潜码与残差噪声。
• 目标信息：Lemma 2 给出马尔可夫结构 Y → Z^{T,Y} → ZT(X)。Lemma 3 称若 Z^{T,Y} 是 Y 的可测确定性函数，则 I(ZT(X); Y) = I(ZT(X); Z^{T,Y})。Theorem 1 称在源类偏移至少在一个潜坐标上非退化时，I(ZT(X); Y) > I(ZT*(X); Y)。Corollary 1 称该增益下界关于目标潜码各坐标方差非降。
• 源信息与 PIB：Corollary 2 称 I(ZT(X); X) < I(ZT*(X); X)。PIB 目标为 JPIB(θ) = I(ZT(X); Y) − β I(ZT(X); X)，β > 0。Theorem 2 称在前述假设下 Information Blackhole 严格提高该目标。作者称这形式化了抑制后门重建中信息串扰的联合信息目标。

AGM：可训练实现

• 只匹配投毒分支的分布形状：第 τ 次参数更新时，投毒潜码集合 Z^τ 有 Nτ ≥ 2 个码。AGM 作用在该集合的经验分布上，而不是对单个码独立惩罚。先减去经验均值得到中心化码；中心化只用于分布匹配，原始码仍供解码，以保留解码器所需的绝对位置自由度。
• 自适应尺度：对中心化码各坐标的样本标准差取平均，再与 smin > 0 取最大，并用 stop-gradient。运行尺度 sτ 用 EMA 更新，ρ = 0.99：τ = 0 时 sτ 等于当前估计，之后为 ρ s^{τ−1} + (1−ρ) 当前估计。参照样本从 N(0, I) 抽取并经验中心化，再乘以 sτ，得到零经验均值、尺度由 sτ 决定的各向同性高斯参照集。
• 多尺度 MMD：高斯核带宽 σα,τ = α max{sτ, σmin}，α ∈ {0.5, 1, 2}。LAGM 是这三个带宽上经验平方 MMD 之和，比较中心化投毒码与参照集的集内与集间核相似。总损失为 Ltotal = Lrecon + λAGM LAGM，λAGM > 0。Lrecon 同时监督干净自重建与投毒目标重建。作者称 AGM 去掉共同位置、用 EMA 跟踪离散度、用多尺度 MMD 匹配分布形状，不施加固定均值或固定尺度。

训练与攻击配置

• 数据与优化：点云采样为 2048 点并归一化到单位球。FoldingNet 用 Adam，学习率 10^{-3}，β1 = 0.9，β2 = 0.999，权重衰减 10^{-6}，批大小 32；学习率每 100 个 epoch 乘 0.5。增强包括绕竖直轴旋转与高斯抖动。PointDiffusion 沿用官方训练配置，报告 200,000 次迭代的检查点，攻击协议相同。
• 触发与默认目标：投毒率固定为 10%。PointBA-I 插入局部球状点簇。IRBA 用 WLT，16 个锚点，高斯平滑带宽 σ = 0.5，局部旋转角 5°，缩放因子 5。iBA 用预训练 FoldingNet PCAE 生成的重建式触发，输入 2048 点，折叠网格 m = 2025。除非另说明，λagm = 0.01，EMA 系数 0.99。默认目标：ModelNet10 与 ModelNet40 为 Monitor，ShapeNetPart 为 Earphone。

成功如何度量

• CRD：干净测试集 Dte 上，模型输出与输入自身的 dgeo 平均，衡量良性重建保真度，越低越好。
• ASD：触发输入的重建与攻击者指定目标 yt 的 dgeo 平均，衡量目标导向重建，越低越好。主实验同时报告 Chamfer distance（CD，单位 10^{-3}）与 sliced Wasserstein distance（SWD，原始尺度）。泛化、目标形状与匹配策略消融只用 CD。论文未把成功定义成超过某一阈值的比例。

实验设置

• 受害模型：主实验为 FoldingNet。架构泛化使用 PointDiffusion，沿用官方配置并报告 200,000 次迭代检查点。硬件为单张 GeForce RTX TITAN GPU。
• 数据集：ModelNet10、ModelNet40、ShapeNetPart。点云采样为 2048 点并归一化到单位球。论文未报告各类别样本数或测试集规模。
• 触发与目标：PointBA-I、IRBA、iBA，投毒率均为 10%。默认目标为 ModelNet 的 Monitor 与 ShapeNetPart 的 Earphone。目标泛化另用 ModelNet10 的分布内目标 Table、Desk，以及分布外目标 Earphone、Airplane、Bag。
• 基线：Base 为不加 AGM 的后门训练。消融比较固定均值、固定方差、固定均值与方差。默认 λagm = 0.01，EMA 系数 0.99。
• 指标：CRD 为干净测试集上对自身的平均 dgeo；ASD 为触发输入对目标形状 yt 的平均 dgeo。主表同时给 CD（×10^{-3}）与 SWD。其余实验只用 CD。论文未报告阈值式 ASR、评审模型、重复次数或人工评估。
• 增强：绕竖直轴旋转与高斯抖动。

主结果

Table I 在 FoldingNet 上比较 Base 与 Ours。CD 单位为 10^{-3}，箭头表示越低越好。

Swipe horizontally to read the table

数据集 / 触发	CRD-CD Base	CRD-CD Ours	ASD-CD Base	ASD-CD Ours	ASD-SWD Base	ASD-SWD Ours
ModelNet10 / PointBA-I	5.4	6.2	1.5	1.3	0.2161	0.2237
ModelNet10 / IRBA	5.8	6.5	4.4	3.4	1.4398	0.9610
ModelNet10 / iBA	5.8	5.7	2.2	1.9	0.7163	0.4708
ModelNet40 / PointBA-I	4.9	4.7	1.1	0.9	0.1521	0.0882
ModelNet40 / IRBA	5.7	5.8	5.9	5.1	1.7714	1.6595
ModelNet40 / iBA	5.0	5.1	1.4	1.0	0.3266	0.1987
ShapeNetPart / PointBA-I	4.2	4.4	1.6	1.4	0.1598	0.1059
ShapeNetPart / IRBA	5.9	6.5	22.1	13.8	12.3710	8.7977
ShapeNetPart / iBA	4.9	5.2	4.7	2.3	1.5980	0.5477

• 作者解读：在 CD 下，AGM 在全部九个数据集–触发设置中降低 ASD。CRD 大致相当，作者称 AGM 没有降低干净样本重建性能。ShapeNetPart 上 IRBA 的 ASD 从 22.1×10^{-3} 降到 13.8×10^{-3}（CD），SWD 从 12.4 降到 8.8；iBA 的对应值从 4.7×10^{-3} 降到 2.3×10^{-3}，SWD 从 1.6 降到 0.6。表中 SWD 原值为 12.3710→8.7977 与 1.5980→0.5477。
• 例外：ModelNet10 上 PointBA-I 的 ASD-SWD 从 0.2161 升到 0.2237，与“CD 下九组 ASD 都下降”不是同一指标。若干格的 CRD 上升，例如 ModelNet10 的 PointBA-I 从 5.4 到 6.2、IRBA 从 5.8 到 6.5，ShapeNetPart 的 IRBA 从 5.9 到 6.5。ModelNet10 上 iBA 的 CRD-CD 从 5.8 降到 5.7，CRD-SWD 从 1.0291 降到 0.9157。
• 定性：Fig. 4 在 ModelNet10 上按 PointBA-I、IRBA、iBA 分列，比较 Monitor、Table、Earphone 的目标真值、基线投毒输出与本文投毒输出。作者称基线投毒输出常保留可见的源类结构或偏离目标分布，尤其是保留更多源几何的触发；本文输出更接近目标形状，同时良性重建保持稳定。图中具体几何只能按该图注理解。

架构与目标泛化

• PointDiffusion（Table II，ModelNet10，CD ×10^{-3}）：PointBA-I 的 CRD 从 2.844 到 2.925，ASD 从 0.933 到 0.934；IRBA 的 CRD 从 2.905 到 2.876，ASD 从 10.304 到 8.768；iBA 的 CRD 从 3.946 到 3.905，ASD 从 3.548 到 2.860。作者称该骨干内 CRD 大致相当，IRBA 与 iBA 的 ASD 下降；PointBA-I 变化很小，因为其基线攻击已经较强。作者据此认为 Information Blackhole 不特定于 FoldingNet。
• 目标泛化（Table III，ModelNet10，CD ×10^{-3}）：分布内 Monitor 与 Table I 的 ModelNet10 行相同（PointBA-I ASD 1.5→1.3，IRBA 4.4→3.4，iBA 2.2→1.9）。Table 上 PointBA-I ASD 2.4→2.2，iBA 3.3→2.3，IRBA 4.1→4.2。Desk 上三者 ASD 分别为 3.1→2.8、5.6→5.1、3.9→3.2。分布外 Earphone：PointBA-I 3.9→1.7，IRBA 8.1→7.9，iBA 3.4→2.5。Airplane：2.2→1.5、4.7→4.4、1.6→1.6。Bag：1.9→1.7、5.8→5.0、2.3→2.4。
• 作者解读：分布内目标上 PointBA-I 与 iBA 全部降低 ASD，IRBA 在 Monitor 与 Desk 上改善、在 Table 上大致相当。分布外目标上 PointBA-I 与 IRBA 一致改善；iBA 在 Earphone 上改善、在 Airplane 上持平、在 Bag 上略差。作者称 AGM 不绑定单一目标。

潜空间机制

• t-SNE（Fig. 6，ModelNet40）：作者称基线下投毒样本形成与良性潜结构对齐的、依赖源类别的子簇，说明残留源信息仍在；AGM 后这些子簇被压缩到更共享的区域。按读图要求，正文只给出这一作者解读，转写文本看不到各簇坐标，故不补充点的位置。
• 与理论的对照：Remark 1 称 Fig. 6 显示 IRBA 下投毒潜表示离散度更大。若 Σb、aC 及其分布固定，且 Σ^{IRBA}_{T,Y} − Σ^{PointBA-I}_{T,Y} 半正定，则 Corollary 1 意味着 IRBA 的目标信息增益下界不小于 PointBA-I。作者称 Table I 中 Information Blackhole 对 IRBA 的 ASD 降幅通常更大，潜空间离散度与 ASD 改善相一致，从而与所提机制经验上相容。
• Fig. 2：WLT 锚点数 W = 0, 16, 15, 14, 13, 12，W = 0 为良性样本。作者称变形越强，输入中残留源几何越少，输出越从原形状转向目标形状。

其他消融与分析

• λagm（Fig. 5，ModelNet10，横轴 log10(λagm)，虚线为 λagm = 0 的 Base）：作者称中等权重在攻击可控性与干净重建之间最平衡；过大权重使匹配项主导投毒分支并降低良性重建。λagm = 0.01 时 PointBA-I 与 IRBA 取得最低 ASD，且没有更大权重下明显的 CRD 上升。iBA 在 λagm = 1.0 达到最低 ASD，但该设置大幅提高 CRD，因此默认仍用 0.01。图中具体端点数值在转写文本里未列出。
• 匹配策略（Table IV，ModelNet10，CD ×10^{-3}）：PointBA-I 的 ASD 为 Baseline 1.5、固定均值 1.4、固定方差 1.3、固定均值与方差 1.2、Ours 1.3；对应 CRD 为 5.4、5.6、5.6、5.2、6.2。IRBA 的 ASD 为 4.4、4.2、4.8、5.3、3.4；固定方差与固定均值加方差的 ASD 高于 Baseline。iBA 的 ASD 为 2.2、1.8、2.3、2.2、1.9。作者称固定约束在部分情形改善但不跨触发器稳定；固定均值与方差对 PointBA-I 最好；Ours 在 IRBA 上 ASD 最低，在 iBA 上仍有竞争力。作者把 IRBA 视为区分度高的设置，因为其 WLT 只做轻度形变、保留更多源几何。

作者指出的局限与后续方向

• 防御与检测：作者在结论中写明，防御与检测留作未来工作（Conclusion）。
• 理论简化：作者称分析依赖可加潜空间模型、高斯目标潜码与残差噪声、源类与目标独立，以及源类偏移与目标潜码线性可分等假设；这些假设便于信息比较，但是对真实编码器的简化（Discussion / 理论分析的适用边界，按论文对假设的说明）。
• 触发与任务范围：作者称实验使用现有触发范式（PointBA-I、IRBA、iBA）和重建任务，没有把结论写成对任意未来触发器都成立；更复杂触发上的一般性是相关工作里对 BAAAN 的批评所指向的问题，本文自身的后续扩展以结论中留下的防御与检测为准。
• 干净性能权衡：消融中作者报告过大的 λagm 会使匹配项主导并降低良性重建，默认 λagm = 0.01 是在 ASD 与 CRD 之间取的平衡，而不是对所有触发器都使 ASD 最小的点（iBA 的最低 ASD 出现在 λagm = 1.0，同时 CRD 大幅上升）。这是实验中写出的权衡，不是单独的 Limitations 小节条目。

论文若未单列 Limitations 小节，以上条目只保留结论里明确写下的后续工作，以及方法节明确写出的建模假设。实验讨论中的数字高低不另计为局限。

实验覆盖范围

• 模型：重建后门评测了 FoldingNet（Table I）与 PointDiffusion（Table II）两个骨干，后者报告 200,000 次迭代检查点。
• 数据与触发：三个基准 ModelNet10、ModelNet40、ShapeNetPart，三种触发 PointBA-I、IRBA、iBA，投毒率固定 10%，点云 2048 点。主指标为 CRD 与 ASD，距离为 CD 与 SWD；泛化与消融只用 CD。
• 目标形状：默认 Monitor（ModelNet）与 Earphone（ShapeNetPart）。Table III 在 ModelNet10 上另测分布内 Table、Desk 与分布外 Earphone、Airplane、Bag。
• 消融：Fig. 5 在 ModelNet10 上改变 λagm；Table IV 在 ModelNet10 上比较 Baseline、固定均值、固定方差、固定均值与方差和 AGM。Fig. 6 在 ModelNet40 上用 t-SNE 看投毒潜分布。
• 论文未报告：重复次数、测试集样本数、查询或训练耗时、阈值式攻击成功率，以及防御或检测方法的实验结果。结论写明防御与检测留作未来工作。

这篇工作研究点云自编码器的训练时后门：干净输入仍自重建，带触发的输入应重建成攻击者指定形状。分类后门只需把预测推向离散标签；PCAE 把源几何与目标信息编进同一个连续潜空间，残留源几何会把重建拉回源形状。

作者把成功后门写成两个约束：压制源信息以提高目标信息，同时不破坏编码器把相近形状放到相邻区域的偏好。Information Blackhole 在可加模型里去掉源类偏移 aC，只留目标潜码与高斯噪声；理论部分称这样会严格提高目标互信息、降低源互信息，并提高投毒信息瓶颈目标。AGM 只正则投毒分支：中心化后用 EMA（系数 0.99）跟踪离散度，以多尺度 MMD（带宽系数 0.5、1、2）匹配自适应高斯，总损失为混合重建损失加 λagm 倍的该项，默认 λagm = 0.01，投毒率 10%。

FoldingNet 上九个数据集–触发组合的 CD-ASD 都下降，CRD 大致保持。降幅最大的是 ShapeNetPart、IRBA：ASD 的 CD 从 22.1×10^{-3} 到 13.8×10^{-3}，SWD 从 12.3710 到 8.7977；同数据集 iBA 的 CD-ASD 从 4.7×10^{-3} 到 2.3×10^{-3}。PointDiffusion 上 IRBA 的 CD-ASD 从 10.304×10^{-3} 到 8.768×10^{-3}，PointBA-I 从 0.933 到 0.934。目标泛化中，IRBA 在 Table 上 ASD 从 4.1 到 4.2，iBA 在 Bag 上从 2.3 到 2.4。固定均值与方差在 PointBA-I 上 ASD 为 1.2，低于 AGM 的 1.3；在 IRBA 上为 5.3，高于 Baseline 的 4.4，而 AGM 为 3.4。

作者的结论是：该原则与 AGM 提高触发输入的目标重建可控性，同时良性自重建大体保持，并显示出 PCAE 后门不同于分类后门的信息串扰机制。防御与检测被留作后续工作。