Resumen Técnico: Evaluación en Tiempo Real de Sistemas Autónomos bajo Ataques Adversariales

Enunciado del Problema

Aunque las pruebas adversariales se han convertido en un estándar en la simulación para la conducción autónoma, las evaluaciones puramente virtuales no logran capturar las inconsistencias estructurales, las restricciones de supervisión y los efectos de la representación del estado inherentes a los datos del mundo real. Estos factores moldean fundamentalmente la robustez de la política, pero a menudo se abstraen en la simulación. Además, aunque se han analizado las vulnerabilidades de robustez en el aprendizaje por refuerzo, las evaluaciones controladas en conjuntos de datos de trayectorias estructuradas del mundo real siguen siendo limitadas. Los ataques físicos existentes suelen dirigirse a las tuberías de percepción aguas arriba (por ejemplo, cámaras, LiDAR), mientras que este trabajo aborda la vulnerabilidad del propio vector de estado de baja dimensión, asumiendo que la capa de percepción ha sido eludida o comprometida.

Metodología

Marco Experimental

Los autores proponen un marco de aprendizaje de trayectorias fuera de línea y evaluación de robustez adversarial fundamentado en datos de conducción en intersecciones del mundo real. La evaluación se realiza en modo de lazo abierto en un vehículo de prueba Audi Q8 a escala completa equipado con una pila de sensores múltiples (LiDAR, cámaras, GNSS/IMU) y un marco de software basado en Autoware. Las políticas entrenadas realizan inferencia en tiempo real sobre datos del vehículo en vivo, pero no influyen en el control del vehículo, garantizando la seguridad al tiempo que permiten una evaluación realista de la robustez bajo condiciones reales de sensado y sincronización.

Datos y Construcción del Estado

El estudio utiliza el conjunto de datos UrbanIng-V2X, centrándose en el aprendizaje de trayectorias de un solo ego a través de tres escenarios de intersección distintos en Ingolstadt, Alemania.

• Representación del Estado ($s_t$): Se construye un vector estructurado de 97 dimensiones para cada marca de tiempo, compuesto por:
  • Dinámica del ego (4D): Velocidad, aceleración, velocidad de guiñada y rumbo.
  • Geometría relativa al carril (3D): Desplazamiento lateral, error de rumbo y curvatura.
  • Objetos circundantes (80D): Características para los $K=10$ participantes en el tráfico más cercanos (posición, velocidad, dimensiones, clase, distancia).
  • Máscara de validez (10D): Indicadores binarios para la presencia de objetos.
• Objetivo: Una trayectoria futura de 20 pasos ($\tau_t$) que representa $(\Delta x, \Delta y, \Delta \psi, v)$.

Modelos Evaluados

Se comparan tres paradigmas de aprendizaje de trayectorias bajo contratos idénticos de estado y supervisión:

1. BC-MLP: Una red neuronal de perceptrón multicapa (MLP) de alimentación directa (dos capas ocultas, 512 unidades) que realiza Clonación de Comportamiento.
2. BC-Transformer: Un modelo basado en Transformer que utiliza tokenización de objetos (ego, carril y 10 tokens de objetos) con un token de clasificación para la agregación global.
3. IRL-GAIL: Un enfoque de Aprendizaje por Refuerzo Inverso formulado como un juego minimax de Aprendizaje de Imitación Generativo Adversarial (GAIL), donde la red de políticas comparte la arquitectura BC-MLP.

Protocolo de Ataque Adversarial

La robustez en tiempo de inferencia se evalúa aplicando perturbaciones basadas en gradientes al vector de estado estructurado $s_t$ mediante:

• FGSM (Método de Signo de Gradiente Rápido): Perturbación de un solo paso.
• PGD (Descenso de Gradiente Proyectado): Perturbación iterativa de 10 pasos.
• Restricciones: Las perturbaciones están acotadas por un presupuesto $\ell_\infty$ ($\epsilon = 0.05$) aplicado a todas las dimensiones del estado sin normalización por característica.
• Métricas: Se calculan el Error de Desplazamiento Promedio (ADE) y el Error de Desplazamiento Final (FDE) frente a las trayectorias de referencia.

Contribuciones Clave

1. Tubería Fuera de Línea del Mundo Real: Establecimiento de una tubería estructurada de aprendizaje de trayectorias fuera de línea basada en datos de intersecciones del mundo real, avanzando más allá de las pruebas adversariales puramente simuladas.
2. Comparación Controlada de Paradigmas: Una comparación sistemática de BC (MLP), BC (Transformer) e IRL estilo GAIL fuera de línea bajo representaciones de estado y contratos de supervisión idénticos.
3. Evaluación Sistemática de Robustez: Una matriz de evaluación estructurada que varía la familia de modelos, el tipo de ataque (Limpio, FGSM, PGD) y el escenario de intersección (3 cruces), cubriendo condiciones diurnas y nocturnas.
4. Análisis Empírico de Robustez: Demostración de que una precisión nominal de trayectoria comparable puede ocultar perfiles de robustez adversarial sustancialmente diferentes.

Resultados

Rendimiento Nominal

Bajo condiciones limpias (no adversariales), todos los modelos lograron errores de predicción bajos, con valores de ADE y FDE consistentemente por debajo de 0.08 en todas las intersecciones. Esto confirma que las diferencias observadas bajo ataque no se deben a un ajuste insuficiente ni a limitaciones de capacidad arquitectónica, sino a la sensibilidad de los mapeos entrada-salida aprendidos.

Degradación Adversarial

• Ataques FGSM: Causaron una degradación significativa, aumentando el ADE en aproximadamente 1.0–1.5 metros y el FDE en 1.8–2.9 metros. BC-MLP y BC-Transformer mostraron vulnerabilidades comparables, lo que sugiere que una mayor expresividad arquitectónica (mecanismos de atención) no reduce inherentemente la susceptibilidad a ataques de gradiente de un solo paso.
• Ataques PGD: Resultaron en errores sustancialmente mayores. La degradación del FDE frecuentemente superó los 5.0 metros, alcanzando casi 8.0 metros en intersecciones complejas.
  • BC-MLP exhibió la mayor degradación, particularmente en escenarios de alta curvatura, lo que indica sensibilidad a la amplificación iterativa.
  • BC-Transformer mostró mejoras modestas en algunas configuraciones, pero permaneció altamente vulnerable en general.
  • IRL-GAIL no demostró ventajas consistentes de robustez; en varios casos, su degradación fue comparable o peor que la de los modelos basados en BC.

Modos de Fallo

El análisis cualitativo (Fig. 3) reveló que las trayectorias perturbadas adversarialmente a menudo permanecen cinemáticamente suaves pero son semánticamente incorrectas, violando el apego al carril o las reglas de intersección. Los errores tendieron a acumularse a lo largo del horizonte de predicción, lo que llevó a grandes errores de desplazamiento terminal (alto $\Delta$FDE relativo a $\Delta$ADE).

Significado y Afirmaciones

El artículo afirma que la precisión nominal de la predicción de trayectorias no es indicativa de la robustez adversarial. El estudio establece que:

• Los Sesgos Inductivos Arquitectónicos Importan: El diseño de la estructura del estado y las elecciones arquitectónicas influyen críticamente en la estabilidad adversarial, lo que lleva a perfiles de robustez marcadamente diferentes a pesar de un rendimiento limpio similar.
• Los Objetivos de Entrenamiento No Garantizan Robustez: Los objetivos de imitación adversarial (GAIL) y el aumento de la complejidad del modelo no confieren inherentemente robustez en tiempo de inferencia frente a perturbaciones del estado.
• Necesidad de Evaluación Consciente del Escenario: La robustez está determinada conjuntamente por la arquitectura del modelo y la geometría local del estado (por ejemplo, curvatura, tráfico de fusión), lo que hace necesaria una evaluación consciente del escenario en lugar de métricas agregadas únicamente.

El marco propuesto sirve como una referencia escalable y reproducible para estudiar el aprendizaje de trayectorias fuera de línea y la robustez adversarial en entornos de conducción autónoma del mundo real, destacando la brecha entre la precisión en condiciones limpias y el comportamiento relevante para la seguridad bajo ataque.