[論文レビュー] Adversarial Attack on Radar-based Environment Perception Systems

Amira Guesmi, Ihsen Alouani|arXiv (Cornell University)|Nov 2, 2022

Geophysical Methods and Applications被引用数 4

ひとこと要約

本稿では、UWBレーダベースの環境認識システムを標的にする、実用的で新たな敵対的ラジオノイズ攻撃a-RNAを提案する。この攻撃は、入力に依存しない、シフトに強い、スペクトルドメインに強い敵対的ノイズを生成し、フィルタリングやスペクトルセンシングの防御を回避する。DNNベースの障害物認識に対して、実世界の視線内条件でも高い成功率を示し、実用的実現可能性を実証している。

ABSTRACT

Due to their robustness to degraded capturing conditions, radars are widely used for environment perception, which is a critical task in applications like autonomous vehicles. More specifically, Ultra-Wide Band (UWB) radars are particularly efficient for short range settings as they carry rich information on the environment. Recent UWB-based systems rely on Machine Learning (ML) to exploit the rich signature of these sensors. However, ML classifiers are susceptible to adversarial examples, which are created from raw data to fool the classifier such that it assigns the input to the wrong class. These attacks represent a serious threat to systems integrity, especially for safety-critical applications. In this work, we present a new adversarial attack on UWB radars in which an adversary injects adversarial radio noise in the wireless channel to cause an obstacle recognition failure. First, based on signals collected in real-life environment, we show that conventional attacks fail to generate robust noise under realistic conditions. We propose a-RNA, i.e., Adversarial Radio Noise Attack to overcome these issues. Specifically, a-RNA generates an adversarial noise that is efficient without synchronization between the input signal and the noise. Moreover, a-RNA generated noise is, by-design, robust against pre-processing countermeasures such as filtering-based defenses. Moreover, in addition to the undetectability objective by limiting the noise magnitude budget, a-RNA is also efficient in the presence of sophisticated defenses in the spectral domain by introducing a frequency budget. We believe this work should alert about potentially critical implementations of adversarial attacks on radar systems that should be taken seriously.

研究の動機と目的

• 自律走行車両などの安全に重要な応用でますます利用が進むUWBレーダベースの環境認識システムに対して、実用的敵対的攻撃が不足しているという問題に取り組む。
• 信号の非同期化や事前処理防御といった現実世界の条件で失敗する従来の敵対的攻撃の限界を克服する。
• 同期が不要な入力に依存しない敵対的ノイズ生成法を設計し、時間遅延、フィルタリング、スペクトルドメイン防御に対して耐性を持つようにする。
• ノイズの大きさと周波数予算を制限することで、検出不能な敵対的ノイズを保証し、高い攻撃成功率を維持する。
• 視線内伝搬条件下で、実世界の物理的敵対的攻撃がUWBレーダシステムに対して実現可能であることを実証する。

提案手法

• 入力に依存せず、時間遅延に強い（シフト耐性）敵対的ラジオノイズを生成する、a-RNA（Adversarial Radio Noise Attack）という新規フレームワークを提案する。
• 訓練中にランダムなノイズ位置を集約する戦略を導入し、信号の非同期化に対する耐性を確保する。
• スペクトルドメイン防御（フィルタリングやスペクトルセンシングなど）に対する耐性を高めるために、周波数予算制約を採用する。
• 検出メカニズムをトリガーしないように、ノイズの大きさとパワー スペクトル密度を制限することで、検出不能なノイズを設計する。
• 再トレーニングが不要なユニバーサル パッチベースのアプローチを採用し、多様な入力信号に適用可能な敵対的ノイズを生成する。
• 制御された環境で収集した実際のUWB信号データを用いて、現実の無線伝搬条件下で攻撃を検証する。

実験結果

リサーチクエスチョン

• RQ1 信号の非同期化や時間遅延があっても、依然として有効な敵対的ノイズをUWBレーダシステムに対して生成可能か？
• RQ2 フィルタリングやスペクトルセンシングといった一般的な防御メカニズムに対しても、敵対的ノイズを耐性を持たせられるか？
• RQ3 現実の無線環境下で、検出不能でありながら高い攻撃成功率を維持できる敵対的ノイズを生成可能か？
• RQ4 視線内伝搬条件や路損失といった実用的制約下で、提案された攻撃はどの程度有効か？
• RQ5 入力固有の摂動を必要とせず、異なる入力信号に普遍的に適用可能か？

主な発見

• 提案されたa-RNA攻撃は、現実の信号遅延が生じる状況下でも、UWBレーダ環境におけるDNNベースの障害物認識システムを騙す高い成功率を達成している。
• 従来の敵対的攻撃は、非同期化のため現実世界の条件下で失敗するため、シフト耐性のあるノイズ生成の必要性が浮き彫りになった。
• a-RNAが生成するノイズは、周波数予算設計のおかげで、フィルタリングベースの防御やスペクトルセンシング機構に対しても効果的である。
• 大きさとスペクトル制約の下で検出不能であるため、実世界での展開に適している。
• ノイズの電力を路損失補償のために調整することで、視線内条件下での距離の違いに対しても攻撃が有効である。
• 知る限り、本稿は実用的で、入力に依存せず、耐性を持つUWBレーダシステムに対する敵対的攻撃を、実世界の実現可能性とともに初めて示した研究である。