The Spectrum Strikes Back: Infrared POV Attacks on Traffic Sign Classification

Resumen Técnico: El Espectro Contraataca: Ataques de Punto de Vista (POV) de Infrarrojo contra la Clasificación de Señales de Tráfico

Planteamiento del Problema
Los vehículos autónomos dependen en gran medida de la percepción basada en cámaras para tareas críticas como la clasificación de señales de tráfico. Si bien los ataques adversarios físicos contra estos sistemas están bien documentados, los métodos existentes enfrentan compromisos significativos entre efectividad, sigilo y adaptabilidad. Los ataques tradicionales, como pegatinas impresas o parches estáticos, son altamente perceptibles para los humanos. Por el contrario, los ataques basados en luz que operan fuera del espectro visible para el ojo humano (por ejemplo, infrarrojo) ofrecen un alto sigilo, pero suelen estar limitados a perturbaciones estáticas, emisión de luz continua o requieren láseres de alta potencia que carecen de reconfigurabilidad dinámica y capacidades de activación remota. Existe la necesidad de un vector de ataque que combine el sigilo de la luz infrarroja con la naturaleza dinámica y activable remotamente de los ejemplos adversarios modernos, sin depender de láseres peligrosos de alta potencia.

Metodología
Los autores proponen un nuevo ataque adversario físico utilizando una Pantalla de Persistencia de la Visión (POV) de Infrarrojo Cercano. La metodología se estructura en torno a tres etapas principales:

1. Implementación de Hardware: El ataque emplea una pantalla rotativa personalizada equipada con diodos emisores de luz (LED) de infrarrojo cercano (860 nm) comercialmente disponibles. A diferencia de los ataques de infrarrojo anteriores que utilizan láseres, esta configuración utiliza LEDs de baja potencia. La pantalla gira a altas velocidades, explotando el efecto de persistencia de la visión. Cuando el tiempo de exposición de la cámara ($t_{exp}$) es mayor o igual al inverso de la frecuencia de rotación ($1/f_{rot}$), la cámara captura el patrón completo, mientras que el ojo humano percibe las aspas rotatorias como transparentes o invisibles.
2. Simulación Digital y Optimización: Para garantizar altas tasas de éxito de ataque en el mundo real, los autores desarrollaron un flujo de trabajo de simulación digital. Este proceso implica:
   • Capturar una imagen benigna de una señal de tráfico y una secuencia de imágenes de la pantalla POV rotativa.
   • Aplicar una búsqueda basada en rejilla para identificar las posiciones de colocación óptimas en la señal de tráfico.
   • Simular diversas transformaciones ambientales (brillo, escala, perspectiva, destello) y superponer diferentes formas de sectores rotacionales (por ejemplo, círculo completo, dos sectores) sobre la señal.
   • Ejecutar estas imágenes adversarias sintetizadas a través de modelos de Aprendizaje Automático (ML) objetivo para generar mapas de calor que indiquen las ubicaciones de colocación más efectivas para la clasificación errónea.
3. Despliegue en el Mundo Real: Basándose en los resultados de la simulación, la pantalla POV de infrarrojo cercano se monta en la posición óptima identificada en una señal de tráfico. El ataque se activa remotamente mediante la activación de los LEDs infrarrojos mientras la pantalla continúa girando. El ataque está diseñado para ser sigiloso (invisible para los humanos), dinámico (el contenido puede reconfigurarse) y selectivo (se puede encender y apagar sin retirar el dispositivo).

Contribuciones Clave

• Ataque de Infrarrojo Reconfigurable: La introducción de un ataque adversario físico utilizando una pantalla POV de infrarrojo cercano dinámicamente reconfigurable y activable remotamente. Esto permite la activación selectiva contra objetivos específicos sin alterar permanentemente la apariencia de la señal de tráfico.
• Colocación Impulsada por Simulación: Un marco de simulación digital que identifica las posiciones de colocación óptimas para la pantalla POV, teniendo en cuenta diversas condiciones físicas y arquitecturas de modelos para maximizar la robustez.
• Evaluación Exhaustiva en el Mundo Real: Pruebas físicas integrales involucrando dos señales de tráfico (Pare y límite de velocidad de 30 km/h), 12 modelos de ML diferentes (incluyendo familias ResNet, ConvNeXt, ViT y YOLO), distancias variables (hasta 20 metros) y diversas condiciones de iluminación (luz diurna frente a nocturna).
• Propuestas de Defensa: La evaluación de dos mecanismos de defensa: un filtro de corte de infrarrojo cercano basado en hardware y un algoritmo de detección basado en software que explota artefactos espectrales específicos del sensor (anomalías en la saturación de los píxeles rojos/azules en comparación con el verde).

Resultados
La evaluación demuestra una alta efectividad en múltiples escenarios:

• Tasas de Éxito de Ataque (ASR): El ataque logró ASRs altas en la mayoría de los escenarios de prueba. Para una pantalla POV de 30 cm en una señal de Pare, las ASR alcanzaron hasta el 100% para ResNet-50 en todas las distancias. Para la señal de 30 km/h, las ASR fueron generalmente altas, particularmente a distancias de 10 m en adelante, aunque el rendimiento varió según el modelo y la forma (por ejemplo, ConvNeXt small mostró una ASR más baja a 5 m).
• Transferibilidad: El ataque demostró una fuerte transferibilidad entre diferentes arquitecturas de modelos y conjuntos de datos de entrenamiento (GTSRB, ImageNet, COCO). Incluso los modelos que no fueron entrenados específicamente para las señales objetivo mostraron tasas significativas de clasificación errónea cuando fueron expuestos al ataque.
• Tamaño y Sigilo: Pantallas POV más pequeñas y portátiles (10 cm, 15 cm, 20 cm) también fueron efectivas, particularmente a distancias de 10 m o más, demostrando que dispositivos más pequeños y sigilosos aún pueden comprometer los sistemas de percepción.
• Factores Ambientales: El ataque fue más efectivo durante la noche o en condiciones de poca luz donde los tiempos de exposición de la cámara son más largos, satisfaciendo las restricciones de tiempo requeridas para el efecto POV. En la luz diurna brillante, los cortos tiempos de exposición de las cámaras hacían que el ataque fuera difícil de ejecutar sin velocidades de rotación extremadamente altas.
• Eficacia de la Defensa:
  • Hardware: Agregar un filtro de corte de infrarrojo cercano neutralizó completamente el ataque, restaurando la clasificación correcta con alta confianza.
  • Software: El algoritmo de detección propuesto logró altas tasas de Verdaderos Negativos (hasta el 100% para imágenes benignas) y tasas de Verdaderos Positivos que oscilaron entre ~55% y ~98% dependiendo del tamaño de la pantalla y las condiciones, identificando eficazmente la presencia del ataque basándose en anomalías espectrales.

Significancia y Reivindicaciones
El artículo afirma que las pantallas POV de infrarrojo cercano representan una amenaza realista y flexible para los sistemas de percepción basados en cámaras en vehículos autónomos. La significancia radica en la capacidad del ataque para combinar alto sigilo (invisible para los humanos), adaptabilidad dinámica (activable remotamente y reconfigurable) y despliegue práctico (utilizando componentes de bajo costo y baja potencia).

Los autores enfatizan que, si bien el ataque está limitado a cámaras sensibles al infrarrojo y condiciones de iluminación específicas (amanecer/noche), supera la naturaleza estática de los ataques de infrarrojo anteriores. Además, el documento destaca que el concepto POV no se limita al espectro infrarrojo; un prototipo utilizando LEDs RGB visibles también demostró ser efectivo, lo que sugiere que el mecanismo subyacente representa una amenaza más amplia para los sistemas de percepción, aunque con un menor sigilo humano. El trabajo subraya la necesidad de considerar ataques físicos dinámicos basados en luz en la evaluación de seguridad de los sistemas de percepción de la conducción autónoma.