Resumen Técnico: Desde la Fabricación de Datos Sigilosa hasta la Conducción Insegura

1. Declaración del Problema

La percepción colaborativa permite que los Vehículos Conectados y Autónomos (VCA) superen las limitaciones de los sensores (oclusión, alcance, clima) compartiendo datos. Sin embargo, esta dependencia de datos externos introduce una vulnerabilidad crítica ante ataques de fabricación de datos, donde vehículos maliciosos inyectan datos manipulados para alterar la percepción de una víctima.

El artículo identifica dos brechas fundamentales en la investigación existente:

1. Compensación entre Sigilo e Impacto: Las defensas existentes (por ejemplo, consistencia de la caja delimitadora, distancia de características globales) están afinadas para detectar anomalías grandes como la suplantación o eliminación de objetos. No logran detectar pequeñas perturbaciones localizadas (por ejemplo, un desplazamiento de ~1 m en la pose de un objeto) porque estos cambios quedan por debajo de los umbrales de detección y se diluyen en los mapas de características globales.
2. Falta de Evaluación de Extremo a Extremo: Los ataques anteriores se evalúan en cuadros individuales, ignorando la naturaleza temporal de la conducción autónoma. Pequeños errores de percepción pueden propagarse a través de módulos de seguimiento y predicción de trayectorias, acumulándose con el tiempo para causar fallos críticos para la seguridad (por ejemplo, frenado brusco innecesario o colisiones), un riesgo no capturado por el análisis a nivel de cuadro.

2. Metodología

Los autores proponen un marco integral que comprende un ataque (PosePert), una estrategia consciente del escenario y una mitigación (PoseGuard).

A. PosePert: El Primitivo de Ataque

PosePert es un ataque de fusión intermedia en tiempo real que perturba sutilmente la pose percibida (posición y orientación) de un vehículo existente en lugar de suplantar nuevos objetos o eliminar los existentes. Opera en dos etapas:

1. Inicialización Informada por la Física (Proyección de Rayos Multivista):

   • El atacante sintetiza una "nube de puntos falsa" del vehículo objetivo como si estuviera ubicado en la posición desplazada deseada.
   • Esto se realiza utilizando puntos de vista de LiDAR virtuales alrededor de la ubicación objetivo para generar una cobertura de puntos realista, incluidas las oclusiones y los retornos del suelo.
   • Los puntos sintéticos se procesan a través de la tubería de extracción de características de la víctima para crear un mapa de características base ($f_{spoof}$).

2. Red de Perturbación Aprendida (PertNet):

   • Para superar el efecto de "votación" de los vehículos benignos en la fusión, el atacante escala las características suplantadas por un factor $\beta$ (típicamente 1.5–3.0) para dominar el proceso de fusión.
   • Una red convolucional ligera predice correcciones por vóxel ($\delta_{corr}$) condicionadas al contexto local (características del atacante, desplazamientos geométricos y posiciones de vehículos benignos).
   • El mapa de características adversario final es: $f_{attack} = f_{orig} + \beta \cdot (f_{spoof} - f_{orig}) + \text{clamp}(\delta_{corr})$.
   • Este enfoque evita la optimización iterativa (como PGD), permitiendo la ejecución en <50 ms por cuadro.

B. Marco de Ataque Consciente del Escenario

Para inducir comportamientos de conducción inseguros, el ataque se orquesta en el tiempo utilizando un bucle Observar–Predecir–Planificar–Ejecutar:

• Observar: El atacante rastrea los vehículos circundantes y selecciona un objetivo (por ejemplo, un vehículo en un carril adyacente).
• Predecir: Utilizando un predictor de trayectorias sustituto, el atacante pronostica la evolución de la escena.
• Planificar: El atacante optimiza una secuencia temporal de perturbaciones de pose (trayectoria adversaria) para maximizar la probabilidad de que la víctima prediga una intrusión en el carril. Las restricciones incluyen un límite de desplazamiento por cuadro ($\epsilon_{loc} = 0.5$ m) para el sigilo.
• Ejecutar: El atacante aplica PosePert para realizar la perturbación del cuadro actual y transmite los datos manipulados.

C. PoseGuard: La Mitigación

Las defensas existentes fallan porque analizan mapas de características globales, diluyendo pequeñas anomalías locales. PoseGuard introduce detección de anomalías localizada a nivel de objeto:

1. Identificación Crítica para la Seguridad: Solo se analizan los objetos cuyas trayectorias predichas amenazan al vehículo ego.
2. Filtrado de Desacuerdos: Se omiten los objetos donde la percepción fusionada y la percepción solo del ego coinciden.
3. Puntuación de Anomalía Localizada: Para objetos críticos y en desacuerdo, el sistema extrae recortes de características locales (regiones de cajas delimitadoras) de todos los agentes y calcula distancias L1 pares. Esto concentra la señal, haciendo detectables las pequeñas perturbaciones de pose.

3. Contribuciones Clave

1. Ataque PosePert: Un nuevo ataque de perturbación de pose de objetos que manipula los resultados de percepción mediante desplazamientos pequeños y sigilosos, evadiendo las defensas más avanzadas diseñadas para anomalías grandes.
2. Marco Consciente del Escenario: El primer marco para modelar la propagación temporal de errores en la percepción colaborativa, demostrando cómo pequeñas perturbaciones por cuadro se acumulan para inducir decisiones de conducción inseguras (por ejemplo, frenado brusco).
3. Defensa PoseGuard: Una defensa a nivel de objeto que mejora significativamente la sensibilidad de detección ante perturbaciones localizadas al centrarse en regiones críticas para la seguridad en lugar de mapas de características globales.
4. Evaluación Integral: Evaluación tanto en simulación (OPV2V) como en conjuntos de datos del mundo real (V2X-Real) a través de múltiples modelos de fusión intermedia (AttFusion, V2VNet, CoBEVT).

4. Resultados Experimentales

Efectividad del Ataque

• Nivel de Percepción: PosePert logra un 75–94% de éxito (IoU > 0.5) al desplazar poses de objetos en diferentes modelos. Es aproximadamente 2× más rápido que las líneas base basadas en PGD.
• Nivel de Escenario: Bajo un límite estricto de desplazamiento de 0.5 m por cuadro, el ataque induce hasta 50 m de desviación de trayectoria (Error de Desplazamiento Final) y reduce la distancia objetivo-víctima a 0.15 m.
• Impacto en la Seguridad: En 25–50% de los escenarios, el ataque hace que la trayectoria predicha de la víctima cruce a su propio carril, desencadenando comportamientos críticos para la seguridad como frenado brusco innecesario.

Resiliencia de la Defensa

• Defensas Existentes: Las defensas más avanzadas (CAD, LUCIA, MADE, ROBOSAC, MATE) fallan en gran medida contra PosePert, detectando <13% de los ataques. Las métricas de distancia de características globales (LUCIA) son casi aleatorias porque la perturbación afecta a <0.04% del mapa de características.
• PoseGuard: Logra una detección del 57–84% (Tasa de Verdaderos Positivos al 5% de Tasa de Falsos Positivos) en ataques de escenario y 82–99% en ataques de percepción. Detecta con éxito pequeños desplazamientos (<0.5 m) que CAD pasa por alto.

Eficiencia

• La tubería completa de ataque (proyección de rayos + extracción de características + PertNet) se ejecuta en ~36 ms, ajustándose dentro del intervalo de cuadros de LiDAR de 50–100 ms.
• PoseGuard añade <5 ms de sobrecarga.

5. Significado y Afirmaciones

El artículo afirma cerrar la brecha entre los ataques teóricos de fabricación de datos y las amenazas reales a la seguridad. Su significado principal radica en demostrar que:

1. El sigilo es alcanzable: Pequeñas perturbaciones de pose consistentes pueden evadir las defensas actuales que dependen de anomalías grandes.
2. La acumulación temporal es crítica: El verdadero peligro de los ataques de percepción colaborativa no son los errores inmediatos a nivel de cuadro, sino la acumulación de estos errores en decisiones de conducción inseguras.
3. La defensa requiere localización: Una defensa efectiva contra ataques sutiles requiere cambiar de la detección global de anomalías al análisis a nivel de objeto, crítico para la seguridad.

Los autores concluyen que, aunque PoseGuard ofrece una mitigación prometedora, existe una compensación entre el sigilo del ataque y el impacto, y que la seguridad de los sistemas de percepción colaborativa requiere una evaluación rigurosa de extremo a extremo más allá de las métricas de percepción de cuadros individuales.