Assessing the Operational Impact of Poisoning Attacks over Augmented 3D Point Cloud Public Datasets for Connected and Autonomous Vehicles

Resumen Técnico: Evaluación del Impacto Operativo de los Ataques de Envenenamiento sobre Conjuntos de Datos Públicos de Nubes de Puntos 3D Aumentadas para Vehículos Conectados y Autónomos

Planteamiento del Problema
El artículo aborda una brecha de seguridad crítica en los Vehículos Conectados y Autónomos (CAV): la vulnerabilidad de los conjuntos de datos de nubes de puntos 3D utilizados para el entrenamiento de modelos de percepción ante ataques de envenenamiento. Si bien el aumento de datos (específicamente mediante Redes Generativas Antagónicas, o GAN) se emplea ampliamente para expandir los limitados conjuntos de datos públicos y mejorar la robustez de los modelos, existe la suposición prevalente de que el aumento actúa como un mecanismo de "sanitización", potencialmente diluyendo o filtrando los datos maliciosos. Los autores desafían esta suposición, planteando la hipótesis de que, en el contexto de las nubes de puntos 3D —que codifican continuidad geométrica y estructural—, el aumento puede inadvertidamente amplificar las muestras envenenadas y las puertas traseras (backdoors) en lugar de mitigarlas. Esto es particularmente preocupante porque los CAV dependen en gran medida de conjuntos de datos públicos para su entrenamiento, lo que crea una superficie de ataque significativa donde actores malintencionados podrían inyectar datos envenenados que se propaguen a través de los procesos de aumento, provocando errores de clasificación o puertas traseras activadas en los sistemas desplegados.

Metodología
Los autores proponen un marco de evaluación empírica para evaluar el impacto operativo de los ataques de envenenamiento en datos de nubes de puntos 3D aumentados. La metodología consiste en:

1. Modelo de Amenaza: El estudio asume un adversario de "etiqueta limpia" (clean-label) con control parcial sobre los datos de entrenamiento. El atacante inyecta muestras de nubes de puntos 3D envenenadas en conjuntos de datos públicos a tasas incrementales (0% a 40%). La estrategia de envenenamiento consiste en eliminar aleatoriamente el 50% de los puntos de muestras específicas sin un ranking complejo, con el objetivo de degradar el rendimiento del modelo o incrustar puertas traseras mientras se preservan las etiquetas de clase originales. El adversario no tiene conocimiento de la arquitectura del modelo víctima ni del proceso de entrenamiento.
2. Configuración Experimental:
   • Conjunto de Datos: Se utiliza el conjunto de datos ModelNet, seleccionando específicamente dos clases para la clasificación binaria.
   • Escenarios: Se comparan dos escenarios de entrenamiento:
     • Línea Base (Baseline): Un clasificador entrenado en el conjunto de datos original, no aumentado.
     • Aumentado (Augmented): Un clasificador entrenado en un conjunto de datos donde el conjunto de entrenamiento es primero aumentado utilizando un marco 3D-GAN. Crucialmente, el envenenamiento se introduce dentro de los datos de entrenamiento antes de que la GAN genere muestras sintéticas, permitiendo que la GAN aprenda y reproduzca las características envenenadas.
   • Métricas: El rendimiento se evalúa utilizando la puntuación F1, el Coeficiente de Correlación de Matthews (MCC) y la Tasa de Éxito del Ataque (ASR). La ASR se define como el aumento de los falsos negativos (detecciones omitidas de la clase objetivo) atribuibles al ataque.
3. Cuantificación del Impacto: Para ir más allá de las métricas simples de precisión, los autores emplean un modelo de impacto operativo basado en grafos de dependencia de recursos y misiones. Este modelo mapea la ASR (como una probabilidad de fallo) a funciones operativas específicas de los CAV (por ejemplo, Detección de Vehículos y Peatones, Toma de Decisiones) para cuantificar la probabilidad de degradación del sistema.

Contribuciones Clave

• Evaluación Empírica de la Sanitización: El artículo proporciona un caso de estudio enfocado que demuestra que el aumento de datos no necesariamente sanitiza los datos de nubes de puntos 3D. Por el contrario, bajo condiciones específicas, puede amplificar la prevalencia de muestras envenenadas.
• Evaluación del Impacto Operativo: Los autores introducen un método para cuantificar los efectos derivados de los ataques de envenenamiento en los procesos de toma de decisiones de los CAV, vinculando la degradación del clasificador con los riesgos operativos.
• Reproducibilidad: La implementación completa, incluyendo el código, los conjuntos de datos y las herramientas para la evaluación del impacto, se publica de forma abierta para facilitar la investigación posterior.

Resultados Experimentales
Los experimentos revelan que el aumento de datos exacerba significativamente el impacto de los ataques de envenenamiento:

• Degradación del Rendimiento: A medida que aumenta la tasa de envenenamiento, el rendimiento del clasificador se degrada en ambos escenarios. Sin embargo, la degradación es notablemente peor en el escenario aumentado. Con una tasa de envenenamiento del 40%, el escenario de la Línea Base mantiene un MCC de 0.88 y una ASR del 5.8%, mientras que el escenario Aumentado cae a un MCC de 0.70 y una ASR del 17.6%.
• Mecanismo de Amplificación: Los resultados sugieren que el proceso de aumento basado en GAN refuerza los modos de distribución explotados por el atacante, aumentando efectivamente el número de muestras envenenadas disponibles para el entrenamiento en lugar de filtrarlas.
• Impacto Operativo: El modelo de propagación de impacto muestra una correlación directa entre la ASR y el riesgo operativo. Con una tasa de envenenamiento del 40%, la probabilidad de que el proceso de "Toma de Decisiones" se vea afectado aumenta del 4% en el escenario de la Línea Base al 13% en el escenario Aumentado, lo que representa un aumento de más de tres veces en el riesgo de interrupción operativa.

Significancia y Afirmaciones
El artículo afirma que la dependencia de los conjuntos de datos públicos para el entrenamiento de los CAV crea una superficie de ataque crítica que no es mitigada, y que puede verse agravada, por las técnicas estándar de aumento de datos. Los autores sostienen que sus hallazgos validan que el envenenamiento puede evadir la "naturaleza sanitizante" de las técnicas de aumento (específicamente las GAN) en el dominio de las nubes de puntos 3D. En consecuencia, el estudio concluye que el aumento puede incrementar el número de muestras envenenadas y el impacto operativo general, conduciendo a una mayor probabilidad de fallos catastróficos en la toma de decisiones de la conducción autónoma. El trabajo sirve como una advertencia de que las suposiciones actuales sobre la seguridad de los conjuntos de datos aumentados en sistemas críticos para la seguridad pueden ser erróneas.