[论文解读] On Robustness of Lane Detection Models to Physical-World Adversarial Attacks in Autonomous Driving

Takami Sato, Qi Alfred Chen|arXiv (Cornell University)|Jul 6, 2021

Adversarial Robustness in Machine Learning参考文献 46被引用 4

一句话总结

本文首次对自动驾驶领域中先进车道检测模型在真实物理世界对抗攻击下的鲁棒性进行了大规模实证研究。研究揭示了一个关键断层：在传统准确率和F1分数指标下表现最佳的模型，在端到端驾驶场景中往往最为脆弱，凸显了当前评估标准在真实世界安全与可靠性方面存在的不足。

ABSTRACT

After the 2017 TuSimple Lane Detection Challenge, its evaluation based on accuracy and F1 score has become the de facto standard to measure the performance of lane detection methods. In this work, we conduct the first large-scale empirical study to evaluate the robustness of state-of-the-art lane detection methods under physical-world adversarial attacks in autonomous driving. We evaluate 4 major types of lane detection approaches with the conventional evaluation and end-to-end evaluation in autonomous driving scenarios and then discuss the security proprieties of each lane detection model. We demonstrate that the conventional evaluation fails to reflect the robustness in end-to-end autonomous driving scenarios. Our results show that the most robust model on the conventional metrics is the least robust in the end-to-end evaluation. Although the competition dataset and its metrics have played a substantial role in developing performant lane detection methods along with the rapid development of deep neural networks, the conventional evaluation is becoming obsolete and the gap between the metrics and practicality is critical. We hope that our study will help the community make further progress in building a more comprehensive framework to evaluate lane detection models.

研究动机与目标

• 评估车道检测模型在自动驾驶真实物理世界对抗攻击下的鲁棒性。
• 识别传统评估指标（准确率、F1分数）在反映端到端自动驾驶系统实际鲁棒性方面的局限性。
• 开发一种公平的评估方法，通过OpenPilot将车道检测模型与车辆横向控制相结合。
• 评估四种主流车道检测方法对三种类型物理世界对抗攻击的脆弱性。
• 倡导建立更全面的评估框架，以更好地反映真实世界安全与安全需求。

提出的方法

• 将最先进的基于深度神经网络的车道检测模型按类别划分为四类：分割法、逐行分类法、基于锚点的方法和关键点法。
• 通过将车道检测输出与OpenPilot的横向控制模块集成，构建了端到端的评估流程，以模拟真实自动驾驶行为。
• 应用了三种物理世界对抗攻击类型：白盒可微分贴纸（DRP）、黑盒DRP和绘线攻击。
• 采用无梯度优化（基于NES）方法，在隐蔽性约束下生成黑盒物理对抗贴纸。
• 在传统指标（准确率、F1）和端到端驾驶性能（横向偏差）两个维度评估模型表现。
• 设计了受控的实验设置，确保在相同攻击条件下对各模型的鲁棒性进行公平比较。

实验结果

研究问题

• RQ1 传统评估指标（准确率、F1分数）与端到端自动驾驶场景中的鲁棒性之间相关性如何？
• RQ2 在真实驾驶条件下，哪些车道检测模型架构对物理世界对抗攻击最为脆弱？
• RQ3 物理对抗攻击中的隐蔽性约束在多大程度上降低了基于查询的（黑盒）攻击的有效性？
• RQ4 将车道检测输出与真实车辆控制系统（OpenPilot）集成后，如何揭示标准基准中未暴露的隐藏漏洞？
• RQ5 模型级防御或传感器融合防御能否缓解如绘制车道线等简单、可部署攻击带来的风险？

主要发现

• 在传统准确率和F1分数指标下最鲁棒的模型，在端到端评估中表现最差，表明标准基准与真实世界性能之间存在关键断层。
• 白盒DRP攻击在所有模型上均取得高成功率，表明当攻击者拥有完整模型访问权限时，模型具有高度脆弱性。
• 黑盒DRP攻击效果低于预期，可能由于隐蔽性约束（如灰度、扰动区域有限）增加了梯度估计的复杂性。
• 绘线攻击尤其有效且易于部署，LaneATT模型表现出高度脆弱性，可能源于其基于锚点的结构。
• 对如绘制车道线等简单、低成本物理攻击的脆弱性，因部署简便，对真实世界安全构成严重风险。
• 当前传统评估方法正变得过时，因其无法捕捉直接影响自动驾驶安全的关键鲁棒性问题。