[논문 리뷰] DoubleStar: Long-Range Attack Towards Depth Estimation based Obstacle Avoidance in Autonomous Systems

Ce Zhou, Qiben Yan외 2명|arXiv (Cornell University)|2021. 10. 07.

Adversarial Robustness in Machine Learning참고 문헌 29인용 수 8

한 줄 요약

DoubleStar는 자율주행 시스템의 스테레오 비전 기반 깊이 추정을 조작하는 새로운 장거리 광학 공격이다. 두 개의 상보적인 광원에서 빛을 투사하여 가짜 장애물 인식을 유도함으로써 지속적이고 장거리로 드론을 제어할 수 있다. 야간에는 최대 15미터, 주간에는 최대 8미터의 가짜 깊이를 생성하며, 스테레오 매칭 오류와 렌즈 플레어 효과를 악용하여 센서 융합을 우회하고 갑작스러운 정지나 이격 등의 의도치 않은 비행 행동을 유도한다.

ABSTRACT

Depth estimation-based obstacle avoidance has been widely adopted by autonomous systems (drones and vehicles) for safety purpose. It normally relies on a stereo camera to automatically detect obstacles and make flying/driving decisions, e.g., stopping several meters ahead of the obstacle in the path or moving away from the detected obstacle. In this paper, we explore new security risks associated with the stereo vision-based depth estimation algorithms used for obstacle avoidance. By exploiting the weaknesses of the stereo matching in depth estimation algorithms and the lens flare effect in optical imaging, we propose DoubleStar, a long-range attack that injects fake obstacle depth by projecting pure light from two complementary light sources. DoubleStar includes two distinctive attack formats: beams attack and orbs attack, which leverage projected light beams and lens flare orbs respectively to cause false depth perception. We successfully attack two commercial stereo cameras designed for autonomous systems (ZED and Intel RealSense). The visualization of fake depth perceived by the stereo cameras illustrates the false stereo matching induced by DoubleStar. We further use Ardupilot to simulate the attack and demonstrate its impact on drones. To validate the attack on real systems, we perform a real-world attack towards a commercial drone equipped with state-of-the-art obstacle avoidance algorithms. Our attack can continuously bring a flying drone to a sudden stop or drift it away across a long distance under various lighting conditions, even bypassing sensor fusion mechanisms. Specifically, our experimental results show that DoubleStar creates fake depth up to 15 meters in distance at night and up to 8 meters during the daytime. To mitigate this newly discovered threat, we provide discussions on potential countermeasures to defend against DoubleStar.

연구 동기 및 목표

• 자율주행 시스템에서 사용하는 스테레오 카메라 기반 깊이 추정에 대해 이전에 탐색되지 않은 보안 취약점을 폭 드러내는 것.
• 물리적 접근이나 센서 위조 없이도 장거리에서 지속적인 공격을 수행하여 깊이 인식을 조작하는 것.
• 투사된 빛을 이용해 상용 드론에 광학 공격을 가해 가짜 장애물 감지를 유도하는 것의 실현 가능성을 입증하는 것.
• 이러한 공격 상황에서 현대 자율 드론 시스템의 센서 융합 메커니즘의 내구성 평가.
• 이러한 새로운 유형의 3차원 적대적 공격에 대비한 대응 조치 제안 및 분석.

제안 방법

• DoubleStar는 두 개의 상보적인 광원을 사용하여 빛을 투사하거나 렌즈 플레어 구를 생성함으로써 깊이 추정 알고리즘에서 잘못된 스테레오 매칭을 유도한다.
• 빔 공격은 한 쪽 카메라 시야에 밝은 빛을 주입하여 가까운 장애물처럼 보이는 시차를 생성한다.
• 오브 공격는 빛원천으로 인한 렌즈 플레어 효과를 악용하여 인위적인 반사광을 생성함으로써 스테레오 매칭에서 깊이 지점으로 오인시킨다.
• 공격는 렌즈 플레어와 빛 포화 등의 광학적 특성을 활용하여 지속적이고 현실적으로 보이는 가짜 장애물을 생성한다.
• 실제 실험을 통해 상용 스테레오 카메라(예: ZED, Intel RealSense)와 DJI 드론을 대상으로 공격의 효과를 검증하였다.
• Ardupilot 시뮬레이션을 활용하여 다양한 공격 패tern에서 드론 비행 행동에 미치는 영향을 시연하였다.

실험 결과

연구 질문

• RQ1 광학적 투사 기법을 사용해 스테레오 비전 시스템에서 지속적이고 장거리의 가짜 깊이 인식을 생성할 수 있는가?
• RQ2 렌즈 플레어와 스테레오 매칭 취약점은 어떻게 최대 15미터 거리까지 인위적 장애물을 생성하는 데 기여하는가?
• RQ3 DoubleStar는 현대 자율 드론의 센서 융합 메커니즘을 어느 정도 우회할 수 있는가?
• RQ4 기존의 방어 조치(예: 필름 폴라라이저, 렌즈 허브)는 이러한 유형의 공격에 얼마나 효과적인가?
• RQ5 공격는 다양한 조도 조건과 비행 모드에서 지속 가능한가?

주요 결과

• DoubleStar는 투사된 빛만으로 야간에는 최대 15미터, 주간에는 최대 8미터의 가짜 깊이 인식을 성공적으로 생성하였다.
• 실제 DJI 드론은 7미터 거리에서 갑작스럽게 정지하거나 비행 경로에서 이격되는 행동을 보였다.
• 다양한 조도 조건에서도 공격가 지속되었으며, RealSense 카메라의 센서 융합 기능을 우회하는 데 성공하였다.
• 필름 폴라라이저와 렌즈 허브와 같은 기존 방어 조치는 주입된 반사광과 렌즈 플레어 구에 대해 효과가 없었다.
• 공격는 전통적인 2차원 적대적 편향에 의존하지 않고 스테레오 매칭의 약점과 광학 효과를 악용하여, 표준 2차원 적대적 방어 기법으로는 방어하기 어려운 공격였다.
• Ardupilot 시뮬레이션을 통한 검증 결과, 공격는 다양한 비행 모드에서 갑작스러운 정지와 횡방향 이격 등의 위험한 비행 결정을 유도할 수 있음을 확인하였다.