Assessing the Operational Impact of Poisoning Attacks over Augmented 3D Point Cloud Public Datasets for Connected and Autonomous Vehicles

Résumé Technique : Évaluation de l'impact opérationnel des attaques par empoisonnement sur les jeux de données de nuages de points 3D augmentés pour les véhicules connectés et autonomes

Énoncé du problème
L'article traite d'une faille de sécurité critique dans les véhicules connectés et autonomes (CAV) : la vulnérabilité des jeux de données de nuages de points 3D utilisés pour l'entraînement des modèles de perception face aux attaques par empoisonnement. Bien que l'augmentation de données (spécifiquement via les réseaux antagonistes génératifs, ou GAN) soit largement employée pour étendre les jeux de données publics limités et améliorer la robustesse des modèles, il existe une hypothèse prédominante selon laquelle l'augmentation agirait comme un mécanisme de « désinfection », capable de diluer ou de filtrer les données malveillantes. Les auteurs contestent cette hypothèse, en émettant l'hypothèse que dans le contexte des nuages de points 3D — qui encodent une continuité géométrique et structurelle — l'augmentation pourrait involontairement amplifier les échantillons empoisonnés et les portes dérobées (backdoors) plutôt que de les atténuer. Cela est particulièrement préoccupant car les CAV dépendent fortement des jeux de données publics pour leur entraînement, créant ainsi une surface d'attaque significative où des acteurs malveillants pourraient injecter des données empoisonnées qui se propagent à travers les pipelines d'augmentation, menant à des erreurs de classification ou à des déclenchements de portes dérobées dans les systèmes déployés.

Méthodologie
Les auteurs proposent un cadre d'évaluation empirique pour évaluer l'impact opérationnel des attaques par empoisonnement sur les données de nuages de points 3D augmentées. La méthodologie comprend :

1. Modèle de menace : L'étude suppose un adversaire de type « étiquette propre » (clean-label) ayant un contrôle partiel sur les données d'entraînement. L'attaquant injecte des échantillons de nuages de points 3D empoisonnés dans les jeux de données publics à des taux incrémentiels (0 % à 40 %). La stratégie d'empoisonnement consiste à supprimer aléatoirement 50 % des points de certains échantillons sans classement complexe, visant à dégrader les performances du modèle ou à implanter des portes dérobées tout en préservant les étiquettes de classe originales. L'adversaire n'a aucune connaissance de l'architecture du modèle de la victime ou de son processus d'entraînement.
2. Configuration expérimentale :
   • Jeu de données : Le jeu de données ModelNet est utilisé, en sélectionnant spécifiquement deux classes pour une classification binaire.
   • Scénarios : Deux scénarios d'entraînement sont comparés :
     • Baseline (Référence) : Un classificateur entraîné sur le jeu de données original, non augmenté.
     • Augmenté : Un classificateur entraîné sur un jeu de données où l'ensemble d'entraînement est d'abord augmenté à l'aide d'un cadre 3D-GAN. Crucialement, l'empoisonnement est introduit dans les données d'entraînement avant que le GAN ne génère des échantillons synthétiques, permettant ainsi au GAN d'apprendre et de reproduire les caractéristiques empoisonnées.
   • Métriques : La performance est évaluée à l'aide du score F1, du coefficient de corrélation de Matthews (MCC) et du taux de réussite de l'attaque (ASR). L'ASR est défini comme l'augmentation des faux négatifs (manqués de détection de la classe cible) imputable à l'attaque.
3. Quantification de l'impact : Pour dépasser les simples mesures de précision, les auteurs utilisent un modèle d'impact opérationnel basé sur des graphes de dépendance de ressources et de missions. Ce modèle projette l'ASR (en tant que probabilité de défaillance) sur des fonctions opérationnelles spécifiques des CAV (par exemple, détection des véhicules et des piétons, prise de décision) afin de quantifier la probabilité de dégradation du système.

Principales contributions

• Évaluation empirique de la désinfection : L'article fournit une étude de cas ciblée démontrant que l'augmentation de données ne désinfecte pas nécessairement les données de nuages de points 3D. Au contraire, sous certaines conditions, elle peut amplifier la prévalence des échantillons empoisonnés.
• Évaluation de l'impact opérationnel : Les auteurs introduisent une méthode pour quantifier les effets en aval des attaques par empoisonnement sur les processus de décision des CAV, en liant la dégradation du classificateur aux risques opérationnels.
• Reproductibilité : L'implémentation complète, incluant le code, les jeux de données et les outils d'évaluation d'impact, est rendue publique pour faciliter la recherche ultérieure.

Résultats expérimentaux
Les expériences révèlent que l'augmentation de données exacerbe considérablement l'impact des attaques par empoisonnement :

• Dégradation des performances : À mesure que le taux d'empoisonnement augmente, la performance du classificateur se dégrade dans les deux scénarios. Cependant, la dégradation est nettement plus marquée dans le scénario augmenté. À un taux d'empoisonnement de 40 %, le scénario Baseline maintient un MCC de 0,88 et un ASR de 5,8 %, tandis que le scénario Augmenté chute à un MCC de 0,70 et un ASR de 17,6 %.
• Mécanisme d'amplification : Les résultats suggèrent que le processus d'augmentation basé sur le GAN renforce les modes distributionnels exploités par l'attaquant, augmentant efficacement le nombre d'échantillons empoisonnés disponibles pour l'entraînement plutôt que de les filtrer.
• Impact opérationnel : Le modèle de propagation de l'impact montre une corrélation directe entre l'ASR et le risque opérationnel. À un taux d'empoisonnement de 40 %, la probabilité que le processus de « Prise de décision » soit affecté passe de 4 % dans le scénario Baseline à 13 % dans le scénario Augmenté — une augmentation de plus de trois fois du risque de perturbation opérationnelle.

Signification et affirmations
L'article affirme que la dépendance aux jeux de données publics pour l'entraînement des CAV crée une surface d'attaque critique qui n'est pas atténuée, et peut même être aggravée, par les techniques standard d'augmentation de données. Les auteurs soutiennent que leurs conclusions valident le fait que l'empoisonnement peut contourner la « nature désinfectante » des techniques d'augmentation (spécifiquement les GAN) dans le domaine des nuages de points 3D. Par conséquent, l'étude conclut que l'augmentation peut augmenter le nombre d'échantillons empoisonnés et l'impact opérationnel global des attaques, menant à une probabilité plus élevée de défaillances catastrophiques dans les prises de décision de la conduite autonome. Ce travail sert d'avertissement : les hypothèses actuelles concernant la sécurité des jeux de données augmentés dans les systèmes critiques pour la sécurité peuvent être erronées.