[논문 리뷰] Object Removal Attacks on LiDAR-based 3D Object Detectors

Zhongyuan Hau, Kenneth T. Co외 2명|arXiv (Cornell University)|2021. 02. 07.

Adversarial Robustness in Machine Learning참고 문헌 14인용 수 7

한 줄 요약

이 논문은 실시간 3차원 객체 검출기의 성능을 떨어뜨리기 위해 대상 객체 뒤에 부정확한 점들을 주입하여 객체의 점군을 관심 영역에서 밀어내는, LiDAR 스푸핑 공격의 새로운 유형인 객체 제거 공격(ORAs)을 소개한다. 무작위 점 선택 전략을 사용하여 단 200개의 점을 주입하기만 해도 보행자와 자전거 기사의 재현율(recall)을 25% 이하로 낮추며, LiDAR 기반 인식 시스템에 심각한 취약성을 드러낸다.

ABSTRACT

LiDARs play a critical role in Autonomous Vehicles' (AVs) perception and their safe operations. Recent works have demonstrated that it is possible to spoof LiDAR return signals to elicit fake objects. In this work we demonstrate how the same physical capabilities can be used to mount a new, even more dangerous class of attacks, namely Object Removal Attacks (ORAs). ORAs aim to force 3D object detectors to fail. We leverage the default setting of LiDARs that record a single return signal per direction to perturb point clouds in the region of interest (RoI) of 3D objects. By injecting illegitimate points behind the target object, we effectively shift points away from the target objects' RoIs. Our initial results using a simple random point selection strategy show that the attack is effective in degrading the performance of commonly used 3D object detection models.

연구 동기 및 목표

• 상태의 3차원 객체 검출기에서 실제 객체를 숨기기 위해 LiDAR 점군을 조작하는 것이 가능한지 조사하는 것.
• 가짜 객체를 스푸핑하는 것보다 객체 제거가 더 위험한 이유는 충돌이 감지되지 않을 위험이 있기 때문이다.
• 다양한 공격 예산에서 일반적인 3차원 검출기인 PointRCNN 및 Point-GNN에 대해 ORA의 효과를 평가하는 것.
• 안전이 가장 중요한 분야인 앞쪽 근거리 객체 탐지에 ORA의 영향을 탐색하는 것.
• 향후 최적화된 공격 전략과 다중 센서 방어 기반 기술에 대한 연구를 촉진하는 것.

제안 방법

• 공격은 LiDAR의 단일 반사(default) 설정을 악용하여 대상 객체의 관심 영역(RoI) 내에서 객체 뒤에 부정확한 점들을 주입한다.
• 대상 객체 뒤에 점들을 주입하여 객체의 점군이 인식되는 위치를 이동시켜 잘못된 탐지 또는 탐지 누락을 유도한다.
• 대상 객체의 경계 상자 내에서 최대 200개의 점을 교란하기 위해 무작위 점 선택 전략을 사용한다.
• 공격는 KITTI 데이터셋의 점군을 디지털로 에뮬레이션하고, 표준 3차원 검출 메트릭(정밀도, 재현율 등 다양한 IoU 임계값 기준)을 사용해 평가한다.
• 성능 평가는 전체 KITTI 검증 세트와 특히 앞쪽 근거리 객체(≤11m 거리)에서 평가하여 안전에 중요한 영향을 분석한다.
• 공격 예산을 다양하게 조절(10~200개의 점)하여 교란 비용과 검출 성능 저하 간의 상호 관계를 연구한다.

실험 결과

연구 질문

• RQ1 LiDAR 스푸핑 공격자가 점 주입 전략을 사용하여 최신 3차원 객체 검출기에서 실제 3차원 객체를 효과적으로 숨길 수 있는가?
• RQ2 객체 크기, 거리, 점 예산에 따라 공격 성능은 어떻게 변하는가?
• RQ3 자동차와 같은 큰 객체보다 보행자와 자전거 기사처럼 작은 객체, 특히 점 밀도가 낮은 객체에서 공격가 더 효과적인가?
• RQ4 앞쪽 근거리 객체, 즉 자율주행차 안전에 가장 중요한 객체에서 ORA가 검출 재현율을 크게 떨어뜨릴 수 있는가?
• RQ5 간단한 무작위 점 선택 전략이 높은 성공률을 달성할 수 있으며, 최적화된 선택 방법을 사용하면 성능 향상이 가능한가?

주요 결과

• 200개의 점 예산을 사용할 경우, ORA-Random은 PointRCNN 및 Point-GNN 모델에서 보행자와 자전거 기사의 재현율을 25% 이하로 낮춘다.
• 보행자와 자전거 기사의 경우 대부분의 공격 예산에서 IoU ≥ 0.5 기준 재현율이 0.5 이하로 급격히 떨어지며, 강력한 검출 실패를 나타낸다.
• 작은 객체일수록 본질적으로 점 수가 적고, 거리가 멀어지면 점 밀도가 낮아지므로 공격가 가장 효과적이다.
• 11m 이내의 거리에서도 공격가 재현율에 측정 가능한 명확한 영향을 미치며, 특히 보행자와 자전거 기사에서 두드러진다.
• 최소한의 점 주입으로도 검출 성능 저하에 95%의 성공률를 기록하며, 현재 LiDAR 인식 스택의 취약성을 드러낸다.
• 결과적으로 ORA는 물리적 적대적 객체나 복잡한 객체 배치가 필요로 하지 않기 때문에 스푸핑 공격보다 더 은밀하고 더 위험한 것으로 나타났다.