3D印刷の障害物は、アルゴリズムの90％を簡単にだましました。ライダーとビジョンは「孤独を融合」しました
必ずしも。
少し前まで、世界中の31の自動運転会社が同じ科学研究チームから通知を受け取りました。
L4には大きな欠陥があります。
欠点はマルチセンサーフュージョンスキームに集中しており、3Dプリントされた障害物はLIDARおよびADSシステムの90％以上を欺く可能性があります。
いわゆるマルチセンサーフュージョンは、実際には孤独です。
主流のL4ソリューションはほとんどありません。
このような深刻な自動運転アルゴリズムの抜け穴は、大学の研究者だけでなく、Nvidia、Baidu、IntecTechnologiesの業界リーダーを含む中米合同チームによって発見されました。
コンピュータセキュリティサミットのIEEES＆P2021として最近選択された関連論文。
1障害物を特定するためのL4の失敗率が90％を超えている
問題は統合計画にあります。
自動運転システムでは、周囲の物体をリアルタイムで「知覚」することが、すべての重要な運転決定の最も基本的な前提条件です。知覚モジュールは、周囲の車両、歩行者、トラフィックコーン（アイスクリームコーン）など、道路上の障害物をリアルタイムで検出する役割を果たします。
現在、さまざまな企業によって開発された高レベル（L4）無人車両システムは、一般に、マルチセンサーフュージョン、つまりLiDARやカメラなどのさまざまなセンシングソースのフュージョンの設計を採用して、正確で冗長性の高いものを実現しています。知覚。
この設計では、以前のセキュリティ冗長性の出発点は、各センシングソースが同時に攻撃されないことです。したがって、セキュリティを確保するために攻撃されていないセンサーに依存する、可能なマルチセンサー融合アルゴリズムが常に存在します。
この基本的なセキュリティ設計の前提は通常の状況下で確立されますが、研究チームは、実験室の外で、現実の世界では、このマルチセンサーフュージョンの障害物の認識に抜け穴があることを発見しました。
異なる知覚源を同時に攻撃したり、単一の知覚源を攻撃したりすると、無人車両が障害物を認識できず、直接衝突する可能性があります。
この脆弱性の重大度を評価するために、チームはMSF-ADV攻撃を設計しました。これは、マルチセンサーフュージョンに基づく特定の無人車両認識アルゴリズムで前述の悪意のある3D障害物を自動的に生成できます。
このシステムの特徴は、有効性、堅牢性、隠蔽性であり、実際に実現することができます。
テスト結果は、さまざまな障害物タイプとマルチセンサーフュージョンアルゴリズムで、攻撃が91％以上の成功率を達成することを示しています。
同時に、チームは、システムによって生成された悪意のある3D障害物がドライバーの視点から隠され、実際の状況を完全にシミュレートしていることも発見しました。さらに、攻撃された車両のさまざまな位置と角度に対して、平均して効果的です。 > 95％の成功率。
L4アルゴリズムの失敗率は90％を超えていますが、それでもあえて使用しますか？
2なぜそれは深刻なのですか？
実験室でのL4システムの「拷問」の実際的な重要性は何ですか？
もちろんあります。
研究チームが実験を設計するための基本的な出発点は、それを現実の世界で再現することです。実際、チームは同じことをしました。
LIDARとカメラを取り付けた実際の車両テストでは、表面処理を施した3Dプリントのトラフィックコーンの故障率は99.1％です。
この状況の理由は、人為的に処理された悪意のある障害物と、オブジェクトの表面が特別に処理されているためです。レーダーエコー信号が変化し、システムがそれを認識できません。
いわゆるマルチリダンダントビジョンシステムは、救済策を講じることができませんでした。
また、Baidu Apolloの自動運転のテストでは、100％の認識失敗が発生しました。
この抜け穴によってもたらされる害と隠れた危険は巨大です。まず第一に、物理的な世界での実装と展開が簡単だからです。
攻撃者は、3Dモデリングを使用してそのような障害物を構築し、それらを3Dプリントすることができます。市場には多くのオンライン3D印刷サービスがあり、3D印刷機器を購入する必要はありません。
第二に、それは、トラフィックコーンなど、道路に合法的に現れる障害物を高度に模倣することができます。攻撃者は、オブジェクトにセメントや金属などを充填する可能性があります。重量は簡単に100 kgを超える可能性があり、非常に混乱し、深刻な衝突の結果を引き起こす可能性があります。
さらに、攻撃者は道路障害物の機能を使用して、無人車両のみに対する攻撃を設計することもできます。生成された悪意のある障害物の後ろに釘やガラスの破片を置き、人間のドライバーが通常、トラフィックコーンを認識して、無人で移動できるようにします。車両はトラフィックコーンを無視し、タイヤに穴を開けます。
この場合、悪意のある障害物は通常のトラフィックコーンと同じくらい小さくて軽いため、3D印刷、持ち運び、展開が容易になります。
3多感覚融合は完璧な解決策ではありません
この研究の主な価値は、マルチセンサーフュージョン知覚にもセキュリティの問題があることを全員に認識させることです。
自動運転R＆Dチームは、シングルセンサー攻撃に対する効果的な防御として常にマルチセンサーフュージョンを使用してきましたが、この記事は、センサーの「スタッキング」が自動運転システムへの攻撃に対して基本的に防御できないことを証明しています。
普通車の緊急ブレーキシステムは、この種の攻撃を防ぐことができますか？
リスクを減らすことはできますが、完全に防ぐことはできません。
自動運転システムの存在の重要性は、緊急ブレーキシステムに頼るのではなく、それ自体で可能な限り多くの安全上の危険に対処することです。
自動運転自体の機能を置き換えるために緊急ブレーキシステムを使用しないでください。
したがって、唯一の方法は、自動操縦のサプライヤがシステムレベルで抜け穴を解決する方法を見つけることです。
現在、チームは31の自動運転会社に連絡を取り、そのほとんどが自社製品を再評価することを示しています。
4産学の共同成果
この研究の著者チームには、合計9人の研究者がいます。
その中で、同等の貢献をした4人の最初の著者は、カリフォルニア大学アーバイン校、ミシガン大学、アナーバー、アリゾナ州立大学、およびNvidiaResearchの出身です。彼らは、Ningfei Wang、Yulong Cao、Chaowei Xiao、DaweiYangです。
3人の教授はQiAlfred Chen、Mingyan Liu、BoLiです。
さらに、この業界には2人の研究者がいます。BaiduのDeep Learning Technology and Applied Research and National EngineeringLaboratoryのJinFangと、InceptTechnologyのCTOであるYangRuigangです。