[論文レビュー] Towards Robust LiDAR-based Perception in Autonomous Driving: General Black-box Adversarial Sensor Attack and Countermeasures

Jiachen Sun, Yulong Cao+2 more|arXiv (Cornell University)|Jun 30, 2020

Adversarial Robustness in Machine Learning参考文献 54被引用数 82

ひとこと要約

本論文は、無視された遮蔽パターンを悪用するブラックボックスなスプーフィング攻撃に対するLiDARベースの知覚モデルの一般的な脆弱性を明らかにし、攻撃成功率を著しく低減させる防御手段CARLOとSVFを提示する。

ABSTRACT

Perception plays a pivotal role in autonomous driving systems, which utilizes onboard sensors like cameras and LiDARs (Light Detection and Ranging) to assess surroundings. Recent studies have demonstrated that LiDAR-based perception is vulnerable to spoofing attacks, in which adversaries spoof a fake vehicle in front of a victim self-driving car by strategically transmitting laser signals to the victim's LiDAR sensor. However, existing attacks suffer from effectiveness and generality limitations. In this work, we perform the first study to explore the general vulnerability of current LiDAR-based perception architectures and discover that the ignored occlusion patterns in LiDAR point clouds make self-driving cars vulnerable to spoofing attacks. We construct the first black-box spoofing attack based on our identified vulnerability, which universally achieves around 80% mean success rates on all target models. We perform the first defense study, proposing CARLO to mitigate LiDAR spoofing attacks. CARLO detects spoofed data by treating ignored occlusion patterns as invariant physical features, which reduces the mean attack success rate to 5.5%. Meanwhile, we take the first step towards exploring a general architecture for robust LiDAR-based perception, and propose SVF that embeds the neglected physical features into end-to-end learning. SVF further reduces the mean attack success rate to around 2.3%.

研究の動機と目的

• BEVベース、ボクセルベース、ポイントワイズといった現在の LiDAR ベースの3D物体検出アーキテクチャの一般的な脆弱性を特定する。
• 複数のモデルに跨って高い成功を収めるブラックボックスの敵対的センサ攻撃を実証する。
• LiDARスプーフィング攻撃を緩和するためのモデル非依存・アーキテクチャレベルの防御を開発する。
• 性能を損なうことなくエンドツーエンドの堅牢性を向上させる連続視点融合（SVF）を提案する。

提案手法

• モデルが無視する LiDAR 点群における遮蔽関連の不変量を分析する。
• 遮蔽とスパース性パターンを用いたブラックボックスのスプーフィング攻撃を構築し、前方近接車両を欺く。
• KITTI由来データを用いて、BEVベース、ボクセルベース、ポイントワイズの3つのモデル設計に対する攻撃の成功を評価する。
• 無視された遮蔽パターンを不変特徴量として活用するモデル非依存防御としてCARLOを提案する。
• エンドツーエンド学習において前方ビュー特徴をより活用する連続融合アーキテクチャSVFを開発する。

実験結果

リサーチクエスチョン

• RQ1 現在の LiDAR ベース知覚モデルは、BEVベース、ボクセルベース、ポイントワイズ設計を横断して、 LiDAR 点群における遮蔽情報を学習しているだろうか？
• RQ2 一般的なブラックボックススプーフィング攻撃は、多様な LiDAR 知覚モデルで高い成功を達成できるだろうか？
• RQ3 モデル非依存の防御とアーキテクチャレベルの設計は、検出性能を保ちながらスプーフィングの成功率を低減できるか？
• RQ4 既存の融合手法と比較して、連続視点融合はLiDARスプーフィング攻撃に対する堅牢性を向上させるか？

主な発見

• ブラックボックススプーフィング攻撃は、BEVベース、ボクセルベース、ポイントワイズモデル全体で平均成功率約80%を達成する。
• CARLO防御は、元の検出性能を損なうことなく、すべての対象モデルで平均攻撃成功率を5.5%に低減する。
• SVFは平均攻撃成功率を約2.3%までさらに低減し、ホワイトボックス攻撃および適応攻撃に対して堅牢である。
• 攻撃は2つの遮蔽パターン（inter-occlusionと intra-occlusion）を利用して、検出器を誤らせる最小点のスプーフィング痕跡を作成する。
• 実験には約15,000のKITTI由来サンプルを用いて攻撃と防御を評価した。