[논문 리뷰] Security Analysis of Camera-LiDAR Fusion Against Black-Box Attacks on Autonomous Vehicles

R. Spencer Hallyburton, Yupei Liu외 3명|arXiv (Cornell University)|2021. 06. 13.

Adversarial Robustness in Machine Learning인용 수 12

한 줄 요약

이 논문은 카메라와 라이다 데이터 간의 의미 일致성을 악용하여 센서 융합 방어를 우회하는 새로운 블랙박스 라이다 스푸핑 기법인 프루스텀 공격을 제안한다. 조작자의 지식이 최소한이면서 물리적으로 구현 가능한 조건에서도 다양한 인식 아키텍처에서 높은 성공률을 기록함으로써, 최신의 카메라-라이다 융합 시스템조차도 이 공격에 매우 취약하다는 점을 입증한다.

ABSTRACT

To enable safe and reliable decision-making, autonomous vehicles (AVs) feed sensor data to perception algorithms to understand the environment. Sensor fusion with multi-frame tracking is becoming increasingly popular for detecting 3D objects. Thus, in this work, we perform an analysis of camera-LiDAR fusion, in the AV context, under LiDAR spoofing attacks. Recently, LiDAR-only perception was shown vulnerable to LiDAR spoofing attacks; however, we demonstrate these attacks are not capable of disrupting camera-LiDAR fusion. We then define a novel, context-aware attack: frustum attack, and show that out of 8 widely used perception algorithms - across 3 architectures of LiDAR-only and 3 architectures of camera-LiDAR fusion - all are significantly vulnerable to the frustum attack. In addition, we demonstrate that the frustum attack is stealthy to existing defenses against LiDAR spoofing as it preserves consistencies between camera and LiDAR semantics. Finally, we show that the frustum attack can be exercised consistently over time to form stealthy longitudinal attack sequences, compromising the tracking module and creating adverse outcomes on end-to-end AV control.

연구 동기 및 목표

• 블랙박스 위협 모델 하에서 자율주행차의 카메라-라이다 융합 인식 시스템에 대한 물리적 라이다 스푸핑 공격의 보안성을 분석하기 위해.
• 기존 방어를 피하기 위해 카메라와 라이다 데이터 간의 의미 일치를 유지하는 새로운 유형의 공격—프루스텀 공격—을 규명하고 시연하기 위해.
• 라이다-단독 및 다수 수준의 융합(의미, 특징, 추적 수준) 아키텍처를 포함한 다양한 인식 아키텍처에서 프루스텀 공격의 효과성을 평가하기 위해.
• 실제 주행 환경에서의 공격 실행 가능성과 임의의 오류 탐지, 부정 오류, 이동 공격을 유도할 능력을 평가하기 위해.
• 기존의 라이다 스푸핑 방어 기법이 의미 일치를 유지하는 컨텍스트 인식 공격, 예를 들어 프루스텀 공격에 대해 효과적인지 조사하기 위해.

제안 방법

• 공격 대상이 되는 물체 뒤의 프루스텀 영역을 타겟으로 삼되, 오직 대략적인 물체 위치 정보만을 사용하는 블랙박스 라이다 스푸핑 공격을 설계하기 위해.
• 정규 분포를 따르는 점들을 사용하여 가짜 라이다 포인트 클라우드를 생성함으로써 카메라 인식과 의미 일치를 유지하고, 융합 기반 감지 기반의 탐지 기법을 회피하기 위해.
• KITTI 데이터셋과 LGSVL 시뮬레이터를 사용하여 7,500만 개 이상의 시나리오를 평가하여, 라이다-단독 및 카메라-라이다 융합 인식 파이프라인을 모두 테스트하기 위해.
• 선도적인 자율주행 시스템에서 나온 세 종류의 라이다-단독 아키텍처와 다섯 종류의 카메라-라이다 융합 모델(연쇄적-의미 수준, 특징 수준, 추적 수준 융합)에 공격을 적용하기 위해.
• 가짜 경고, 부정 오류, 이동 공격 등의 결과를 측정하여 공격 성공률를 평가하고, 기존의 스푸핑 방어 기법에 대한 침투성도 분석하기 위해.
• 실제 주행 환경에서의 실행 가능성을 검증하기 위해 물리 실험을 수행하여 동적 추적 및 상대 운동 조건에서도 공격가능성을 입증하기 위해.

실험 결과

연구 질문

• RQ1 의미 일치를 유지하는 조건에서 블랙박스 라이다 스푸핑 공격가 카메라-라이다 융합 인식 시스템을 성공적으로 공격할 수 있는가?
• RQ2 프루스텀 공격는 다양한 인식 아키텍처에서 가짜 경고, 부정 오류, 이동 공격를 얼마나 효과적으로 유도하는가?
• RQ3 기존의 라이다 스푸핑 방어 기법은 의미 일치를 유지하는 컨텍스트 인식 공격, 예를 들어 프루스텀 공격에 대해 얼마나 효과적인가?
• RQ4 이동 중인 차량이나 각도 변화가 있는 동적 조건에서 프루스텀 공격를 실행하는 데 있어 실제 세계의 실행 가능성과 물리적 제약은 어떠한가?
• RQ5 모델 특화 캘리브레이션 없이도 동일한 공격 설정이 여러 인식 모델과 융합 수준에서 일반화 가능한가?

주요 결과

• 프루스텀 공격는 테스트된 여덟 종류의 인식 알고리즘—세 종류의 라이다-단독 및 다섯 종류의 카메라-라이다 융합 모델—모두에서 높은 성공률를 기록하여 센서 융합 기반 시스템의 체계적 취약성을 입증한다.
• 공격는 가짜 경고, 부정 오류, 이동 공격를 성공적으로 유도하였으며, 특히 이동 공격는 기존의 라이다 스푸핑 공격에서 새로운 결과로 기록된다.
• 공격는 카메라와 라이다 데이터 간의 의미 일치를 유지하기 때문에 기존의 방어 기법에 의해 탐지되지 않으며, 침투성이 높다.
• 공격는 최소한의 공격자 지식으로도 효과적이며, 오직 대략적인 물체 위치 정보만으로도 현재 기술로 정적 또는 저운동 조건에서 물리적으로 실행 가능하다.
• 정확한 차량 형태의 포인트 배치가 아닌 무작위 분포된 점들만으로도 공격가 효과를 발휘하므로, 공격자의 숙련도 요구 수준이 낮아진다.
• 타겟 차량의 뒷부분에 형성되는 그림자 영역은 특히 취약하며, 장기간 지속 가능한 공격로 추적 장애를 유도하고 비정상적인 제어 조치(예: 긴급 브레이킹)를 유도할 수 있다.