Adversarial Robustness Analysis of Cloud-Assisted Autonomous Driving Systems

Resumen Técnico: Análisis de Robustez Adversarial en Sistemas de Conducción Autónoma Asistidos por la Nube

1. Planteamiento del Problema

Los vehículos autónomos (AV) dependen cada vez más de modelos de aprendizaje profundo para la percepción y el control, lo que genera una alta demanda computacional. Para mitigar esto, se han propuesto arquitecturas asistidas por la nube, donde las tareas intensivas de percepción y toma de decisiones se descargan a servidores remotos a través del Internet de los Vehículos (IoV).

Sin embargo, este paradigma introduce vulnerabilidades de múltiples capas (cross-layer):

• Percepción: Los modelos de detección de objetos son susceptibles a ataques adversarios (perturbaciones imperceptibles) que pueden alterar drásticamente las predicciones.
• Comunicación: La dependencia de la red introduce riesgos de latencia, pérdida de paquetes y desincronización entre el vehículo y la nube.
• Riesgo Combinado: La literatura previa ha estudiado estos problemas de forma aislada, pero existe una brecha crítica en la comprensión de cómo la degradación de la percepción y las fallas de la red interactúan conjuntamente para comprometer la seguridad en un entorno de conducción real en bucle cerrado.

2. Metodología

Los autores desarrollaron un banco de pruebas (testbed) hardware-in-the-loop (HIL) para IoV que integra percepción, control y comunicación en tiempo real.

• Arquitectura del Sistema:

  • Vehículo (Cliente Edge): Un robot Duckiebot con una placa Jetson que ejecuta ROS (Robot Operating System). Captura imágenes y envía comandos de control.
  • Nube (Servidor Central): Una estación de trabajo Ubuntu con GPU NVIDIA RTX A2000. Ejecuta el pipeline de percepción (YOLOv8 para detección de objetos y U-Net para segmentación de carriles) y un controlador PID para generar comandos de velocidad y angular.
  • Módulo de Adversario: Simula dos tipos de amenazas coordinadas:
    1. IA Adversaria (Blanca): Un atacante con acceso total al modelo YOLOv8 que inyecta perturbaciones en las imágenes antes de la inferencia utilizando FGSM (Fast Gradient Sign Method) y PGD (Projected Gradient Descent).
    2. Adversario de Red: Un agente externo que simula ataques de red basados en el marco MITRE ATT&CK, inyectando latencia (retraso) y pérdida de paquetes en el canal de comunicación vehículo-nube.

• Configuración Experimental:

  • Ataques Adversarios: Se aplicaron perturbaciones con presupuestos ($\epsilon$) de 0.01, 0.02 y 0.04. PGD se configuró con un tamaño de paso $\alpha=0.01$ y 10 iteraciones.
  • Condiciones de Red: Se probaron retrasos de 100 ms, 150 ms y 250 ms, y tasas de pérdida de paquetes del 0.5%, 2% y 5%.
  • Entorno: Un circuito urbano estructurado con señales de stop y semáforos para evaluar el cumplimiento de reglas de tráfico.

3. Contribuciones Clave

1. Desarrollo de un Testbed IoV Integrado: Creación de una plataforma reproducible que une percepción, control y comunicación para evaluar la robustez adversarial en sistemas de conducción autónoma asistida por la nube.
2. Evaluación de Ataques Blancos: Implementación y análisis de ataques FGSM y PGD sobre un detector YOLOv8 desplegado en la nube, cuantificando su impacto en la precisión y el recall.
3. Modelado de Amenazas de Red: Simulación de adversarios de red que afectan la estabilidad del control en bucle cerrado, utilizando métricas de retraso y pérdida de paquetes.
4. Análisis de Impacto Cruzado: Caracterización experimental de cómo la degradación de la percepción y las fallas de la red se combinan para amplificar la inestabilidad del sistema, demostrando que los efectos no son meramente aditivos sino sinérgicos.

4. Resultados Principales

• Degradación de la Percepción:

  • En la línea base limpia, la precisión fue de 0.73 y el recall de 0.68.
  • Bajo el ataque FGSM ($\epsilon=0.04$), la precisión cayó a 0.38 y el recall a 0.46.
  • Bajo el ataque PGD ($\epsilon=0.04$), la degradación fue severa: la precisión bajó a 0.22 y el recall a 0.15 (reducciones de ~70% y ~78% respectivamente).
  • Los ataques iterativos (PGD) provocaron falsos positivos y supresión completa de objetos críticos (semáforos, vehículos) incluso con perturbaciones visualmente imperceptibles.

• Inestabilidad del Control y Violaciones de Reglas:

  • Retrasos (150–250 ms): Corresponden a la pérdida transitoria de 3-4 cuadros. Esto causó oscilaciones laterales, desviaciones de carril y, en casos severos (250 ms), el vehículo falló al detenerse en múltiples intersecciones.
  • Pérdida de Paquetes (0.5–5%): Incluso una pérdida del 2% provocó violaciones de las reglas de tráfico en intersecciones aguas abajo debido a la acumulación de actualizaciones de percepción retrasadas.
  • Combinación: La combinación de errores de percepción y latencia de red amplificó la inestabilidad, llevando a un comportamiento de conducción inseguro y a la pérdida de la capacidad de control del bucle cerrado.

5. Significado e Implicaciones

Este trabajo demuestra que la seguridad de los sistemas de conducción autónoma asistidos por la nube no puede garantizarse solo protegiendo el modelo de IA o la red por separado. Existe una vulnerabilidad crítica de múltiples capas donde:

• Pequeñas perturbaciones en la imagen pueden destruir la capacidad de detección.
• La latencia de red, incluso moderada, puede desincronizar la ejecución de comandos, haciendo que un sistema con percepción "correcta" (pero retrasada) falle catastróficamente.

Conclusión: Se requiere una resiliencia de múltiples capas que integre modelos de percepción robustos frente a ataques adversarios, estrategias de control conscientes de la latencia y mecanismos de comunicación adaptativos capaces de tolerar interrupciones transitorias de la red. Este estudio proporciona una base fundamental para diseñar y validar tales sistemas en entornos reales.