[論文レビュー] Security Analysis of Camera-LiDAR Fusion Against Black-Box Attacks on Autonomous Vehicles

R. Spencer Hallyburton, Yupei Liu+3 more|arXiv (Cornell University)|Jun 13, 2021

Adversarial Robustness in Machine Learning被引用数 12

ひとこと要約

本論文は、カメラとLiDARデータ間の意味的整合性を活用してセンサーフュージョン防御を回避する、画期的なブラックボックスLiDARスプーフィング技術「フリスツムアタック」を紹介する。実証により、最先端のカメラ-LiDAR統合システムですら、攻撃者による知識が限定的で物理的に実現可能な状況下でも、多様な認識アーキテクチャにおいて高い成功率を示す脆弱性を示している。

ABSTRACT

To enable safe and reliable decision-making, autonomous vehicles (AVs) feed sensor data to perception algorithms to understand the environment. Sensor fusion with multi-frame tracking is becoming increasingly popular for detecting 3D objects. Thus, in this work, we perform an analysis of camera-LiDAR fusion, in the AV context, under LiDAR spoofing attacks. Recently, LiDAR-only perception was shown vulnerable to LiDAR spoofing attacks; however, we demonstrate these attacks are not capable of disrupting camera-LiDAR fusion. We then define a novel, context-aware attack: frustum attack, and show that out of 8 widely used perception algorithms - across 3 architectures of LiDAR-only and 3 architectures of camera-LiDAR fusion - all are significantly vulnerable to the frustum attack. In addition, we demonstrate that the frustum attack is stealthy to existing defenses against LiDAR spoofing as it preserves consistencies between camera and LiDAR semantics. Finally, we show that the frustum attack can be exercised consistently over time to form stealthy longitudinal attack sequences, compromising the tracking module and creating adverse outcomes on end-to-end AV control.

研究の動機と目的

• ブラックボックス脅威モデルにおける物理的LiDARスプーフィング攻撃に対して、カメラ-LiDAR統合認識システムのセキュリティを分析すること。
• 既存の防御を回避できる、カメラとLiDARデータ間の意味的整合性を保つ新種の攻撃—フリスツムアタック—を同定し、実証すること。
• LiDARオンリーモデルおよび複数レベルの統合（意味的、特徴量、トラッキング）を含む、さまざまな認識アーキテクチャにおけるフリスツムアタックの有効性を評価すること。
• 動的状況（例：移動する車両、角度の変化）下での実世界での実現可能性と、誤検出、誤検出漏れ、位置ずれ攻撃を引き起こす能力を評価すること。
• LiDARスプーフィングに対する既存の防御が、文脈に配慮した意味的整合性を保つ攻撃（例：フリスツムアタック）に対して効果を発揮するかを調査すること。

提案手法

• 物体の正確な位置がわからなくても、シーン内の既存の物体の背後にあるフリスツム領域を標的とするブラックボックスLiDARスプーフィング攻撃を設計する。
• 正規分布に従う点群を用いてスプーフィングされたLiDAR点群を構築し、カメラ認識と意味的整合性を保ちながら、統合メカニズムによる検出を回避する。
• KITTIデータセットとLGSVLシミュレータを用いて、7500万以上のシナリオを評価し、LiDARオンリーモデルおよびカメラ-LiDAR統合認識パイプラインの両方をテストする。
• 先進的な自動運転システムに由来する3つのLiDARオンリーモデルおよび5つのカメラ-LiDAR統合モデル（段階的意味的統合、特徴量レベル統合、トラッキングレベル統合）に攻撃を適用する。
• 誤検出、誤検出漏れ、位置ずれ攻撃の結果を指標として用い、攻撃の成功度を評価するとともに、既存のスプーフィング防御に対するステルス性を分析する。
• 物理実験を通じて、動的トラッキングおよび相対運動状態を含む実世界の走行シナリオでの実現可能性を検証する。

実験結果

リサーチクエスチョン

• RQ1 意味的整合性を保ちながら、ブラックボックスLiDARスプーフィング攻撃がカメラ-LiDAR統合認識システムを効果的に侵害可能か？
• RQ2 フリスツムアタックは、多様な認識アーキテクチャにおいて、誤検出、誤検出漏れ、位置ずれ攻撃をどれほど効果的に引き起こせるか？
• RQ3 文脈に配慮した意味的整合性を保つ攻撃（例：フリスツムアタック）に対して、既存のLiDARスプーフィング防御はどの程度効果を発揮するか？
• RQ4 動的状況（例：移動中の車両、角度の変化）下で、フリスツムアタックを実現可能であり、物理的制約は何か？
• RQ5 特定のモデルに合わせたチューニングなしに、一様な攻撃設定が複数の認識モデルおよび統合レベルに一般化可能か？

主な発見

• フリスツムアタックは、3つのLiDARオンリーモデルおよび5つのカメラ-LiDAR統合モデルを含む全8つの認識アルゴリズムで高い成功率を示し、センサーフュージョンにおける根本的な脆弱性を示している。
• 攻撃は誤検出、誤検出漏れ、および位置ずれ攻撃を効果的に引き起こし、後者はLiDARスプーフィングにおいて新たな成果である。
• 攻撃は、カメラとLiDARデータ間の意味的整合性を保つため、既存の防御に対してステルス性が高く、不一致に依存する検出メカニズムを回避する。
• 攻撃は、物体の正確な位置情報がなくても、最小限の攻撃者知識で実行可能であり、静的または低動的状況下では現在の技術で物理的に実現可能である。
• 正確な車両形状の点配置ではなく、ランダムに分布させた点群を使用しても攻撃が有効であるため、攻撃者の熟練度が低くても実行可能である。
• 標的車両の背後の影領域は特に脆弱であり、長時間にわたり攻撃を継続することでトラッキングを妨害し、緊急ブレーキなどの悪影響を及ぼす制御行動を引き起こすことができる。