文章总结： 本文提出3D-ANC方法提升点云模型的内生对抗鲁棒性。针对特征空间混杂问题，研究引入神经坍缩机制，通过ETF分类头构建类别磁极，并结合表征平衡学习与动态特征方向损失实现自适应训练。该方法有效促使同类聚集与异类分离，在多类攻击下准确率大幅提升，且具备轻量通用特性。 综合评分： 87 文章分类： AI安全,漏洞分析

AAAI 2026｜Neural Collapse为3D点云模型装上“磁力分拣盘”，构筑模型内生鲁棒性

原创

复旦白泽战队 复旦白泽战队

复旦白泽战队

2026年7月3日 18:00 上海

在小说阅读器读本章

去阅读

前言

以自动驾驶、机器人感知、三维场景理解为代表的 3D 智能应用，依赖点云识别模型的能力为基础。然而，点云模型极易受到对抗攻击：攻击者只需对三维点进行轻微扰动、添加、或删除，就能在保持原几何形状的情况下，诱导模型错误识别。过去的对抗防御方法大多尝试在输入端“清洗”异常点云，或通过对抗训练、自监督学习等增强模型鲁棒性。

然而，本研究发现，点云模型容易被攻击，是因为模型内部的“分拣盘”本身没有正确设计。在现有模型看来，不同类样本如下图中不同颜色的点，相互混杂、边界模糊，攻击者只需要“轻轻推一下”，就能让一把椅子在模型眼里“变成”一张桌子，导致模型分类错误。

基于这一观察，我们提出 3D-ANC，希望为 3D 点云模型装上一块“磁力分拣盘”：借助神经坍缩机制，让同类点云特征自动聚向自己的类别磁极，让容易混淆的异类进一步拉开距离，从模型内部提升点云识别的对抗鲁棒性。

本研究发表于人工智能领域国际顶级会议 AAAI 2026。

论文链接：https://arxiv.org/pdf/2511.07040

01

特征空间混杂，对抗攻击就有可乘之机

点云对抗攻击表面上是在扰动输入中的三维点，实质上利用的是模型内部分类边界的脆弱性。

为验证这一点，本研究首先提取了点云识别模型的特征空间分布情况，发现现有模型学习到的特征空间存在不同类间相互耦合，类内聚合度差的问题。当不同类别样本特征混杂交错，攻击者只需让样本在特征空间中轻微移动，就可越过模糊边界，导致模型错分类。

论文中的 t-SNE 可视化表明：即使采用输入预处理或鲁棒训练，不同类别的特征仍明显重叠，说明现有防御并未真正清晰化模型的类别边界。

这说明，提升点云鲁棒性的关键，不只是挡住某一种攻击，而是让模型先学到更清晰、更稳定的特征空间。

02

「神经坍缩」：让同类聚集，异类分离

3D-ANC 的灵感来自 Neural Collapse（神经坍缩现象）。在理想的分类模型训练过程中，同一类别的样本特征会逐渐聚集到自己的类别中心，而不同类别中心会形成一种尽可能均匀、彼此远离的等角紧框架（Equiangular Tight Frame, ETF）结构。

ETF 结构示意——各类别中心以近似等角、等距的方式分布在特征空间中，使同类聚集、异类均匀分离。

如果将模型内部特征空间想象成一块分拣盘，那么 Neural Collapse 就像是在盘中放入一组“类别磁极”：

• 同类特征被吸向对应磁极；
• 不同类别被自然拉开距离；
• 攻击扰动更难把样本推到错误类别。

3D-ANC 将这一机制引入点云识别，用 ETF 分类头 为每个类别建立均匀分布的磁极，使点云特征在训练中逐渐形成更清晰的类别结构。

03

真实点云分拣的两道难题

然而，直接使用理想的 ETF 结构并不足够，因为点云数据存在两个现实困难。

一方面，点云数据集常常类别不均衡。例如在 ModelNet40 中，chair 类样本数量远多于 bowl 类，容易导致模型偏向头部类别。

另一方面，部分类别在几何上非常相似，例如 desk 和 table、night stand 和 dresser。即使建立了类别磁极，这些相似类别仍可能靠得过近。

因此，3D-ANC 进一步设计了自适应训练框架，让“磁力分拣盘”不仅能分开类别，还能根据真实点云数据自动校准。

04

3D-ANC：自动校准的安全分拣机制

3D-ANC 的整体方法可以理解为：先用 ETF 分类头建立一组均匀分布的类别磁极，再通过自适应训练，让这组磁极适配真实点云数据中的不均衡与相似类别。

具体来说，3D-ANC 由两个关键模块组成：表征平衡学习（RBL）和 动态特征方向损失（FDL）。

• 表征平衡学习（RBL）：允许 ETF 分类头在保持几何结构的前提下进行受约束旋转，使类别磁极更好地适应不均衡的数据分布，避免固定结构带来的性能损失。
• 动态特征方向损失（FDL）：动态调整样本特征方向，一边将样本拉向自己的类别中心，一边将其从最容易混淆的错误类别中心推开。

通过 ETF、RBL 和 FDL 的结合，3D-ANC 将模型内部原本纠缠的特征空间整理为更加清晰、稳定、可分离的类别结构。

05

鲁棒性显著提升，且轻量通用

实验结果表明，3D-ANC 在多种点云模型和多类攻击下都能显著提升鲁棒性。

论文在 PointNet、DGCNN、PCT 三种点云识别模型上进行评估，并测试了 IFGM、G3-Pert、G3-Add、Drop、AdvPC 等多种攻击。实验结果显示，3D-ANC 在三种模型上均取得了显著提升。其中，在 DGCNN 上，原始模型在攻击下的平均准确率仅为 27.2%，使用 3D-ANC 后提升到 80.9%，绝对提升达到 53.7%，并超过最佳基线方法34.0%。

特征分布可视化进一步表明，使用 3D-ANC 后，Ours（最右）的特征空间相比其他方法更加清晰：同类样本更加紧密聚集，不同类别之间分离更加稳定，说明模型学习到了更鲁棒的类别判别结构。

此外，3D-ANC 还具有良好的通用性：它不依赖特定点云模型结构，只需替换分类头并配合自适应训练，即可接入现有点云识别模型，且几乎不引入额外计算成本。

总结

面对复杂多变的点云对抗攻击，3D-ANC 不再只关注输入端的防御，而是回到模型内部，重新思考点云鲁棒性的根本来源：特征空间是否足够清晰、稳定、可分离。

通过将 Neural Collapse 引入点云识别，3D-ANC 利用 ETF 分类头构造类别“磁极”，通过 RBL 校准整体特征分布，再借助 FDL 拉近同类、推远异类，从而让模型形成更具天然鲁棒性的特征空间。

这项工作说明：点云安全不只是被动挡住攻击，更重要的是让模型先真正学会把不同类别区分清楚。

作者简介

• 第一作者：黄元敏，2023级硕博连读生，本科毕业于复旦大学软件学院。主要研究方向为文生图安全、3D视觉安全等。以第一作者在CVPR、KDD、AAAI、WWW、ESORICS等国际顶级学术会议发表多篇学术论文。

指导教师：张谧，教授，专注于AI安全、大模型与智能体安全研究，在网络安全与AI领域顶会顶刊发表论文百余篇；联合起草国家标准《生成式人工智能服务安全基本要求》，任TC260人工智能安全标准WG9工作组专家成员，参与《智能体应用安全基本要求》等多项国家标准的制订；主持科技部重点研发计划课题与奇安信、华为、阿里等企业项目，获CCF科学技术奖自然科学二等奖等荣誉；培养硕博数十人，带领团队研发JADE大模型安全风险分析与治理平台，相关成果被腾讯朱雀实验室、蚂蚁集团“蚁鉴”等收录为经典安全测评数据集，被新华社、人民日报、环球网、凤凰网、南方都市报等主流媒体多次报道。

联系方式：[email protected]

供稿、排版：黄元敏、李文轩

责编：董佳仪

审核：张谧、洪赓

复旦白泽战队

一个有情怀的安全团队

还没有关注复旦白泽战队？

公众号、小红书搜索：复旦白泽战队也能找到我们哦~

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：复旦白泽战队 复旦白泽战队 复旦白泽战队《AAAI 2026｜Neural Collapse为3D点云模型装上“磁力分拣盘”，构筑模型内生鲁棒性》