[논문 리뷰] Towards Robust LiDAR-based Perception in Autonomous Driving: General Black-box Adversarial Sensor Attack and Countermeasures

Jiachen Sun, Yulong Cao외 2명|arXiv (Cornell University)|2020. 06. 30.

Adversarial Robustness in Machine Learning참고 문헌 54인용 수 82

한 줄 요약

이 논문은 LiDAR 기반 인지 모델에 대한 블랙박스 스푸핑 공격의 일반적인 취약점을 노출하고, 무시된 가림 패턴을 악용하는 방어책 CARLO와 SVF를 제시하여 공격 성공률을 현저하게 감소시킨다.

ABSTRACT

Perception plays a pivotal role in autonomous driving systems, which utilizes onboard sensors like cameras and LiDARs (Light Detection and Ranging) to assess surroundings. Recent studies have demonstrated that LiDAR-based perception is vulnerable to spoofing attacks, in which adversaries spoof a fake vehicle in front of a victim self-driving car by strategically transmitting laser signals to the victim's LiDAR sensor. However, existing attacks suffer from effectiveness and generality limitations. In this work, we perform the first study to explore the general vulnerability of current LiDAR-based perception architectures and discover that the ignored occlusion patterns in LiDAR point clouds make self-driving cars vulnerable to spoofing attacks. We construct the first black-box spoofing attack based on our identified vulnerability, which universally achieves around 80% mean success rates on all target models. We perform the first defense study, proposing CARLO to mitigate LiDAR spoofing attacks. CARLO detects spoofed data by treating ignored occlusion patterns as invariant physical features, which reduces the mean attack success rate to 5.5%. Meanwhile, we take the first step towards exploring a general architecture for robust LiDAR-based perception, and propose SVF that embeds the neglected physical features into end-to-end learning. SVF further reduces the mean attack success rate to around 2.3%.

연구 동기 및 목표

• 현재 LiDAR 기반 3D 객체 탐지 아키텍처(BEV 기반, 보셀 기반, 포인트 기반)의 일반적인 취약점을 식별한다.
• 다양한 모델에서 높은 성공률을 달성하는 블랙박스 적대적 센서 공격을 시연한다.
• LiDAR 스푸핑 공격을 완화하기 위한 모델-독립적 방어책 및 아키텍처 수준의 방어책을 개발한다.
• 성능 저하 없이 엔드 투 엔드 강건성을 향상시키는 순차 뷰 융합(SVF)을 제안한다.

제안 방법

• 모델이 무시하는 LiDAR 포인트 클라우드의 가림 관련 불변성을 분석한다.
• 전방-근접 차량을 속이기 위해 가림 및 희소성 패턴을 이용한 블랙박스 스푸핑 공격을 구성한다.
• KITTI 파생 데이터를 사용해 BEV 기반, 보셀 기반, 포인트-와이즈의 세 가지 모델 설계에서 공격 성공률을 평가한다.
• 무시된 가림 패턴을 불변 특성으로 활용하는 모델-독립적 방어 CARLO를 제안한다.
• 엔드 투 엔드 학습에서 전방 뷰 특성을 더 잘 활용하는 순차 융합 아키텍처 SVF를 개발한다.

실험 결과

연구 질문

• RQ1 현재 LiDAR 기반 인지 모델이 BEV 기반, 보셀 기반, 포인트-와이가 디자인 전반에서 LiDAR 포인트 클라우드의 가림 정보를 학습하는가?
• RQ2 일반적인 블랙박스 스푸핑 공격이 다양한 LiDAR 인지 모델에서 높은 성공률을 달성할 수 있는가?
• RQ3 모델-독립적 방어 및 아키텍처 수준의 설계가 탐지 성능을 유지하면서 스푸핑 성공률을 감소시킬 수 있는가?
• RQ4 순차 뷰 융합이 기존 융합 방식에 비해 LiDAR 스푸핑 공격에 대한 강건성을 향상시키는가?

주요 결과

• 블랙박스 스푸핑 공격은 BEV 기반, 보셀 기반, 포인트-와이즈 모델 전반에서 평균 성공률이 약 80%에 도달한다.
• CARLO 방어는 원래 탐지 성능을 희생하지 않으면서 모든 대상 모델에서 평균 공격 성공률을 5.5%로 감소시킨다.
• SVF는 평균 공격 성공률을 약 2.3%까지 더 낮추고 화이트박스 및 적응형 공격에도 견고하다.
• 이 공격은 두 가지 가림 패턴(상호 가림(inter-occlusion) 및 내부 가림(intra-occlusion))을 활용하여 탐지기를 속이는 최소 포인트 스푸핑 흔적을 만든다.
• 실험은 공격과 방어를 평가하기 위해 약 15,000개의 KITTI 파생 샘플을 사용했다.