[論文レビュー] Adversarial Objects Against LiDAR-Based Autonomous Driving Systems

Yulong Cao, Chaowei Xiao+5 more|arXiv (Cornell University)|Jul 11, 2019

Adversarial Robustness in Machine Learning参考文献 23被引用数 63

ひとこと要約

本論文は LiDAR-Adv を紹介し、物理的に妥当な敵対的オブジェクトを生成して LiDAR ベースの自動運転検出器を回避できるエンドツーエンドの微分可能アプローチで、ホワイトボックス攻撃とブラックボックス攻撃の両方を実証し、Baidu Apollo プラットフォームでの実世界3Dプリント検証を含む。

ABSTRACT

Deep neural networks (DNNs) are found to be vulnerable against adversarial examples, which are carefully crafted inputs with a small magnitude of perturbation aiming to induce arbitrarily incorrect predictions. Recent studies show that adversarial examples can pose a threat to real-world security-critical applications: a "physical adversarial Stop Sign" can be synthesized such that the autonomous driving cars will misrecognize it as others (e.g., a speed limit sign). However, these image-space adversarial examples cannot easily alter 3D scans of widely equipped LiDAR or radar on autonomous vehicles. In this paper, we reveal the potential vulnerabilities of LiDAR-based autonomous driving detection systems, by proposing an optimization based approach LiDAR-Adv to generate adversarial objects that can evade the LiDAR-based detection system under various conditions. We first show the vulnerabilities using a blackbox evolution-based algorithm, and then explore how much a strong adversary can do, using our gradient-based approach LiDAR-Adv. We test the generated adversarial objects on the Baidu Apollo autonomous driving platform and show that such physical systems are indeed vulnerable to the proposed attacks. We also 3D-print our adversarial objects and perform physical experiments to illustrate that such vulnerability exists in the real world. Please find more visualizations and results on the anonymous website: https://sites.google.com/view/lidar-adv.

研究の動機と目的

• LiDARベースの自動運転検出システムの敵対的オブジェクトに対する脆弱性を調査する。
• 物理的に妥当な敵対的3Dオブジェクトを生成するエンドツーエンドのフレームワーク（LiDAR-Adv）を開発する。
• 現実感と頑健性を保ちながら、複数の目的（物体の隠蔽とラベルの変更）を実現する攻撃を可能にする。
• シミュレーションと本番レベルの自動運転プラットフォーム上で、実世界の3Dプリント物を用いて攻撃を評価する。

提案手法

• LiDARベースの検出パイプライン（前処理、モデル M、後処理）上で敵対的目的を定式化する。
• 勾配ベースの最適化を可能にする、3Dオブジェクト S からの LiDAR 点群生成をシミュレートする微分可能な LiDAR レンダラー R を開発する。
• 非微分可能な 2D 特徴量集約 Phi の微分可能な代理表現を作成し、エンドツーエンド最適化を可能にする。
• L = L_adv + lambda L_r の複合損失で S の3D頂点の摂動を最適化する。L_r はリアリズムを強制（ラプラシアン距離と L2 距離）、L_adv が攻撃を推進する。
• 検出信頼度を低下させて物体を隠蔽する攻撃モードと、検出されたラベルをターゲットクラスに変更する攻撃モードの二つを構築する。
• モデル内部が利用できない場合に、進化ベースの探索を介してブラックボックス攻撃を提供する。
• 複数の姿勢と向きにまたがる普遍的な敵対的オブジェクトを生成して頑健性をテストし、実際に3Dプリントして移動車両でテストする。

実験結果

リサーチクエスチョン

• RQ1 現実世界の設定で、物理的に妥当な3Dオブジェクト摂動は LiDAR ベースの検出器を欺くことができるか。
• RQ2 LiDAR の前処理および後処理のステップが微分不可能な場合、勾配ベースの最適化をどのように適用できるか。
• RQ3 さまざまな物体位置、向き、プラットフォーム条件の下で、敵対的オブジェクトは有効性を維持するか（頑健性）？
• RQ4 産業グレードの自動運転システム（Baidu Apollo）で、隠蔽またはラベル変更の失敗を引き起こす敵対的オブジェクトは作れるか？

主な発見

• LiDAR-Adv はブラックボックス進化ベースの方法より高い攻撃成功率を達成する（例: 50 cm オブジェクトで 71% 対 62%、75 cm オブジェクトで 51% 対 36%）。
• 生成された敵対的オブジェクトは、進化ベースの方法より滑らかである。
• 敵対的オブジェクトは検出器の出力を変更し、ターゲットとして誤分類させることができる（例: Pedestrian として誤検出）。
• 頑健な敵対的オブジェクトは、見たことのない位置/向きでも高い有効性を維持する（特定の未確認条件下で 96/100 の成功など）。
• 実車走行テストの多くのフレームで、3Dプリントの敵対的オブジェクトが LiDAR ベースの検出器に検出されず、本物の脅威を示している。