Resumen Técnico: Manipulación de Trayectoria Inducida por Vista en la Conducción Autónoma

Declaración del Problema

Los ataques adversarios físicos existentes contra sistemas de conducción autónoma (CA) basados en visión suelen depender de parches sofisticados y dinámicamente cambiantes o de parches estáticos optimizados para la robustez multi-vista. Estos enfoques tratan la variación del ángulo de visión (causada por el movimiento relativo entre el vehículo ego y un objetivo) como un desafío de robustez que debe superarse para mantener la eficacia del ataque. En consecuencia, requieren una optimización multi-vista compleja o una intervención activa (por ejemplo, pantallas dinámicas) para inducir errores de percepción como ocultación de objetos o mala clasificación.

Este artículo identifica una omisión crítica: la propia variación del ángulo de visión puede aprovecharse como un mecanismo de ataque. Los sistemas actuales dependen de la percepción temporal donde las detecciones se asocian, predicen y planifican. Si bien un error de un solo fotograma podría filtrarse, una evolución temporal coherente de errores de percepción puede propagarse a través de la tubería aguas abajo para influir en las decisiones de planificación. Los autores proponen un nuevo paradigma de ataque: "Camuflaje Estático, Ilusión en Movimiento". El objetivo es utilizar un camuflaje adversario físico estático montado en un vehículo para inducir una deriva de características consistente a través de los fotogramas únicamente mediante el movimiento relativo natural. Esto hace que el sistema de CA infiera una trayectoria físicamente plausible pero incorrecta (por ejemplo, un corte falso), provocando frenadas bruscas innecesarias o el abandono de maniobras de adelantamiento.

Metodología

1. Modelo de Amenaza

• Adversario: Puede adjuntar un camuflaje físico estático a un vehículo bajo su control.
• Conocimiento: Acceso de caja blanca al modelo de percepción de la víctima (o transferencia mediante un modelo sustituto). No se asume conocimiento de los módulos aguas abajo de seguimiento, predicción o planificación.
• Mecanismo: El ataque se activa pasivamente por el movimiento relativo normal. A medida que el vehículo víctima se mueve en relación con el vehículo camuflado, el ángulo de visión cambia, haciendo que la apariencia proyectada del camuflaje estático evolucione.
• Objetivo: Inducir un desplazamiento de la caja delimitadora 3D (bbox) temporalmente coherente que se propague a la etapa de planificación, provocando decisiones críticas para la seguridad.

2. Tubería de Ataque

El marco propuesto consta de tres etapas:

• Selección de Escenario:

  • Filtro de Viabilidad de Ataque (AFF): Selecciona secuencias donde el vehículo objetivo es visible, relevante para la trayectoria del ego y no está ya invadiendo.
  • Filtro de Ángulo de Visión (VAF): Selecciona específicamente secuencias con variación suficiente del ángulo de visión entre el primer y el último fotograma. A diferencia de trabajos anteriores, se prefiere una variación mayor para amplificar la evolución de la apariencia dependiente de la vista.

• Renderizado de Camuflaje:

  • Una textura de camuflaje estática ($\delta$) se optimiza y mapea a la región renderizable de la malla del vehículo objetivo.
  • Las oclusiones se manejan utilizando máscaras de segmentación (SAM2), y el renderizado se realiza con PyTorch3D con intrínsecos de cámara.

• Optimización Guiada por Planificación:

  • Búsqueda de Objetivo: El sistema busca una dirección de desplazamiento óptima ($\bar{u}$) y un tamaño de paso ($\bar{s}$) que maximicen los errores de planificación aguas abajo (por ejemplo, causar una colisión o una frenada brusca).
  • Funciones de Pérdida: El camuflaje se optimiza para maximizar el desplazamiento a lo largo de la dirección objetivo mientras se asegura la consistencia temporal.
    • Pérdida de Movimiento ($L_{move}$): Impulsa el centro de la bbox 3D a lo largo de la dirección objetivo.
    • Pérdida de Progreso ($L_{prog}$): Impone un desplazamiento progresivamente creciente ($d_{k+1} - d_k \approx \bar{s}$) para crear una ilusión de movimiento coherente.
    • Pérdida de Fidelidad ($L_{fid}$): Asegura que el objetivo permanezca como un objeto detectado válido (preservando confianza, dimensiones y guiñada).
    • Pérdida de Estilo ($L_{style}$): Incluye Variación Total (TV) y Puntuación de No-Imprimibilidad (NPS) para asegurar que el patrón sea imprimible y de bajo ruido.
  • Robustez: Se aplica la Expectativa sobre Transformación 3D (EoT) durante la optimización, introduciendo perturbaciones aleatorias (guiñada, traslación, profundidad, escala) a la pose del objetivo.

Contribuciones Clave

1. Nuevo Mecanismo de Ataque: El artículo identifica la variación del ángulo de visión como una nueva superficie de ataque. Demuestra que el camuflaje estático puede transformarse en perturbaciones temporales dinámicas a través de la dinámica de conducción natural, eliminando la necesidad de parches adversarios activos o dinámicos.
2. Marco Constrained por Geometría: Se propone un método para generar camuflaje estático que induce movimiento progresivo de la bbox 3D a través de los fotogramas. Este marco asegura que el ataque sea proyectable físicamente y temporalmente coherente.
3. Impacto a Nivel de Sistema: El trabajo demuestra que estas ilusiones de movimiento inducidas se propagan a través de los módulos de seguimiento y predicción para desencadenar comportamientos de conducción realistas y dañinos (abandono de adelantamientos, frenadas bruscas) en tuberías de CA de extremo a extremo.

Resultados Experimentales

El ataque se evaluó en el conjunto de datos nuScenes utilizando 220 escenarios y tres detectores 3D basados en visión (BEVDet, BEVDepth, FastBEV++). Se construyeron dos tuberías aguas abajo (Tubería A y B) para simular seguimiento, predicción y planificación.

• Tasa de Éxito: El ataque logró una Tasa de Éxito de Ataque (ASR) de hasta el 87.5% (medida por eventos de frenado brusco, definidos como desaceleración $\ge 3.0 m/s^2$). En configuraciones de validación cruzada, la ASR osciló entre el 50.0% y el 66.7%.
• Coherencia Temporal: La Tasa de Desplazamiento Progresivo (PDR) alcanzó un promedio del 70.8%, confirmando que los desplazamientos inducidos en la bbox fueron progresivos en el tiempo y no ruido aleatorio.
• Impacto Aguas Abajo:
  • Error de Predicción Promedio (APE): Hasta 3.02 m de desviación en las trayectorias predichas.
  • Distancia Mínima de Trayectoria (MTD): Reducida a ~1.48 m, indicando que la trayectoria predicha se acercó a la trayectoria planificada de la víctima, creando un conflicto de seguridad.
  • Frenado Brusco: Desencadenó una desaceleración de frenado máxima (MBD) de hasta 4.45 $m/s^2$.
• Factores que Influyen en la Eficacia:
  • Variación del Ángulo de Visión: Una mayor variación se correlaciona con un desplazamiento más fuerte.
  • Especificidades del Escenario: El ataque es más efectivo con distancias más cercanas, iluminación más brillante, áreas de proyección más grandes y velocidades relativas más bajas.
  • Transferibilidad: Si bien la transferibilidad entre modelos es limitada (debido a la agregación de características específica del detector), el ataque se transfiere efectivamente entre diferentes tipos de vehículos (SUV, Sedán, Furgoneta).

Significado y Afirmaciones

Los autores afirman que este trabajo destaca una vulnerabilidad previamente pasada por alto en la conducción autónoma: la dependencia de la consistencia temporal hace que los sistemas sean susceptibles a ataques físicos estáticos que explotan condiciones de visión dinámicas.

• Cambio de Paradigma: El artículo argumenta que la variación del ángulo de visión no debe tratarse solo como un obstáculo de robustez, sino reconocerse como un vector de ataque potencial.
• Viabilidad de Despliegue: A diferencia de trabajos anteriores que requieren pantallas dinámicas o intervención activa, este ataque es "pasivo" y "fácil de desplegar", ya que solo requiere un vehículo estacionado con un patrón de camuflaje específico para inducir frenadas bruscas en vehículos autónomos que pasan.
• Implicaciones de Seguridad: Los resultados sugieren que las defensas actuales centradas en la robustez de un solo fotograma o la invariancia multi-vista son insuficientes. Los futuros sistemas de CA seguros deben tener en cuenta los sesgos de percepción coherentes en el espacio-tiempo inducidos por la dinámica de movimiento natural.

El artículo concluye señalando que, si bien la evaluación se limita a modelos específicos y conjuntos de datos simulados, los hallazgos motivan el diseño de sistemas más robustos que puedan razonar sobre la consistencia física y la estabilidad temporal más allá de la percepción simple fotograma a fotograma.