[논문 리뷰] On Data Fabrication in Collaborative Vehicular Perception: Attacks and Countermeasures

Qingzhao Zhang, Shuowei Jin외 5명|arXiv (Cornell University)|2023. 09. 22.

Adversarial Robustness in Machine LearningComputer Science인용 수 3

한 줄 요약

이 논문은 LiDAR 기반 협업 차량 인식 시스템을 대상으로 한 도청성 있고 실시간 데이터 위조 공격을 제안하며, 시뮬레이션과 실제 환경 검증에서 86% 이상의 성공률로 도로 위의 객체를 위조하거나 제거할 수 있다. 또한 공유 점유 지도를 활용하는 교차 차량 검증 시스템인 협업 이상 탐지(CAD)를 제안하여 공격의 91.5%를 탐지하고, 3% 이하의 거짓 경고율을 달성하여 연결형 및 자율주행차량의 안전성을 크게 향상시킨다.

ABSTRACT

Collaborative perception, which greatly enhances the sensing capability of connected and autonomous vehicles (CAVs) by incorporating data from external resources, also brings forth potential security risks. CAVs' driving decisions rely on remote untrusted data, making them susceptible to attacks carried out by malicious participants in the collaborative perception system. However, security analysis and countermeasures for such threats are absent. To understand the impact of the vulnerability, we break the ground by proposing various real-time data fabrication attacks in which the attacker delivers crafted malicious data to victims in order to perturb their perception results, leading to hard brakes or increased collision risks. Our attacks demonstrate a high success rate of over 86% on high-fidelity simulated scenarios and are realizable in real-world experiments. To mitigate the vulnerability, we present a systematic anomaly detection approach that enables benign vehicles to jointly reveal malicious fabrication. It detects 91.5% of attacks with a false positive rate of 3% in simulated scenarios and significantly mitigates attack impacts in real-world scenarios.

연구 동기 및 목표

• 신뢰할 수 없는 외부 센서 데이터에 의존하는 연결형 및 자율주행차량(CAV)의 협업 인식 시스템에서 임계적인 보안 취약점을 식별하고 분석하는 것.
• 조직된 인식 결과에서 객체를 위조하거나 제거할 수 있는 현실적이고 실시간인 데이터 위조 공격을 개발하여, 초기 융합 및 중간 융합 방식을 모두 공격 대상으로 삼는 것.
• 유연하고 저비용의 이상 탐지 메커니즘을 설계하여, 정상적인 CAV가 공유 점유 지도의 교차 차량 검증을 통해 위조된 데이터를 공동으로 탐지할 수 있도록 하는 것.
• 고정밀 시뮬레이션 환경과 실제 테스트베드에서 공격 및 방어 메커니즘을 평가하여 실용적 타당성과 영향력을 입증하는 것.

제안 방법

• 초기 융합 시스템을 대상으로 악성이나 자연스러운 보이지 않는 LiDAR 포인트 클라우드를 재구성하기 위해 블랙박스 레이 캐스팅 기법을 제안하며, 사전에 생성된 적대적 객체와 실시간 음영 인식 기반 포인트 샘플링을 최적화하여 적용한다.
• 중간 융합 시스템의 특징 맵을 대상으로 화이트박스 적대적 공격을 설계하며, 블랙박스 방법으로 초기화하고, 각 LiDAR 주기(100ms)당 한 번의 역전파를 통해 저지연으로 실행한다.
• 지연이 없는 공격 스케줄링 방식을 도입하여, 프레임 i의 공격 계획을 프레임 i−1의 지식을 활용해 생성함으로써 실시간 실행 가능성을 확보하고 눈에 띄는 지연을 유발하지 않는다.
• 공유된 2차원 점유 지도의 일관성을 검증하는 협업 이상 탐지(CAD)를 도입하며, 공간을 자유, 점유, 알 수 없음으로 분류하여 기하학적 일관성 불일치를 탐지한다.
• CAD에서 이중 단계 검증을 구현한다: (1) 교차 차량 일관성 검사(자유/점유 레이블 간 충돌 없음), (2) 점유 지도를 융합하고 인식 결과와 일치 여부를 검증(예: 자유 영역에 바운딩 박스 없음).
• 탐지된 바운딩 박스 내 자유 영역에서 임계값 기반 부피 검사를 통해 이상을 탐지하여, 적응형 공격에 대비한 강건성을 확보한다.

Figure 1 : Taxonomy of cooperative perception systems.

실험 결과

연구 질문

• RQ1 실시간으로 타겟된 데이터 위조 공격은 초기 융합 및 중간 융합 CAV 시스템의 협업 인식 결과를 얼마나 효과적으로 조작할 수 있는가?
• RQ2 실제 환경에서 눈에 띄는 지연이나 비자연스러운 아티팩트 없이 도청성 공격를 실행할 수 있는가?
• RQ3 기존의 이상 탐지 시스템(CARLO, LIFE, MDS 등)은 이러한 새로운 위조 공격을 어느 정도 탐지할 수 있으며, 어디서 실패하는가?
• RQ4 협업 기반의 교차 차량 이상 탐지 메커니즘은 다양한 교통 상황에서 높은 정확도와 낮은 거짓 경고율로 데이터 위조를 탐지할 수 있는가?

주요 결과

• 제안된 공격는 Adv-OPV2V 및 Adv-MCity 데이터셋의 211개 시뮬레이션 교통 시나리오에서 융합 방식이나 모델 설정과 관계없이 86% 이상의 성공률를 기록하였다.
• 세 대의 LiDAR 장착 차량을 활용한 실제 실험을 통해 공격가 실시간으로 실행 가능하며, 실제 주행 환경에서 급정지 및 충돌 위험을 유발하는 것으로 확인되었다.
• CAD는 시뮬레이션 환경에서 모든 공격의 91.5%를 탐지하고, 거짓 경고율이 3% 이하로 낮아, 기존 방어 기법(CARLO, LIFE, MDS)보다 탐지율과 거짓 경고율 제어 면에서 뚜렷한 우수성을 보였다.
• CAD는 적응형 공격(예: 레이의 침투율을 30%로 제한하거나 완전히 금지)에 대해서도 효과적이며, 반면 CARLO와 같은 다른 방어 기법은 탐지율이 최대 14%포인트 감소하는 것으로 나타났다.
• 실제 사례 연구에서 CAD는 잠재적 충돌 또는 급정지 이벤트 발생 1.5초 이상 전에 공격를 탐지하였으며, 더 붐비는 도로에서는 더 많은 정상 관측자가 존재함에 따라 탐지 시간이 증가하는 경향을 보였다.
• 시스템은 적대적 적응에 강건하며, 맹공간 위조나 차선 변경 공격와 같은 다양한 상황에서도 높은 탐지 성능을 유지한다.

Figure 2 : Temporal order of message exchanges.