Assessing the Operational Impact of Poisoning Attacks over Augmented 3D Point Cloud Public Datasets for Connected and Autonomous Vehicles

तकनीकी सारांश: कनेक्टेड और ऑटोनॉमस वाहनों के संवर्धित 3D पॉइंट क्लाउड सार्वजनिक डेटासेट्स पर पॉइजनिंग हमलों के परिचालन प्रभाव का आकलन

समस्या विवरण
यह शोध पत्र कनेक्टेड और ऑटोनॉमस वाहनों (CAVs) में एक महत्वपूर्ण सुरक्षा अंतराल को संबोधित करता है: धारणा मॉडल (perception models) को प्रशिक्षित करने के लिए उपयोग किए जाने वाले 3D पॉइंट क्लाउड डेटासेट्स की 'पॉइजनिंग हमलों' (poisoning attacks) के प्रति संवेदनशीलता। जबकि डेटा संवर्धन (विशेष रूप से जेनरेटिव एडवरसरियल नेटवर्क या GAN का उपयोग करके) सीमित सार्वजनिक डेटासेट्स का विस्तार करने और मॉडल की मजबूती में सुधार करने के लिए व्यापक रूप से उपयोग किया जाता है, एक प्रचलित धारणा यह है कि संवर्धन एक "शुद्धिकरण" (sanitizing) तंत्र के रूप में कार्य करता है, जो संभावित रूप से दुर्भावनापूर्ण डेटा को कम या फ़िल्टर कर सकता है। लेखक इस धारणा को चुनौती देते हैं, और यह परिकल्पना करते हैं कि 3D पॉइंट क्लाउड के संदर्भ में—जो ज्यामितीय और संरचनात्मक निरंतरता को कूटबद्ध करते हैं—संवर्धन अनजाने में दुर्भावनापूर्ण नमूनों और बैकडोर्स (backdoors) को कम करने के बजाय उन्हें बढ़ा सकता है। यह विशेष रूप से चिंताजनक है क्योंकि CAVs प्रशिक्षण के लिए सार्वजनिक डेटासेट्स पर बहुत अधिक निर्भर करते हैं, जिससे एक महत्वपूर्ण हमला सतह (attack surface) बन जाती है जहाँ दुर्भावनापूर्ण कर्ता पॉइज़न्ड डेटा इंजेक्ट कर सकते हैं जो संवर्धन पाइपलाइनों के माध्यम से प्रसारित होता है, जिससे तैनात प्रणालियों में गलत वर्गीकरण या ट्रिगर बैकडोर्स की स्थिति उत्पन्न हो सकती है।

कार्यप्रणाली (Methodology)
लेखक संवर्धित 3D पॉइंट क्लाउड डेटा पर पॉइजनिंग हमलों के परिचालन प्रभाव का आकलन करने के लिए एक अनुभवजन्य मूल्यांकन ढांचा प्रस्तावित करते हैं। कार्यप्रणाली में शामिल है:

1. थ्रेट मॉडल (Threat Model): अध्ययन एक "क्लीन-लेबल" हमलावर को मानता है जिसका प्रशिक्षण डेटा पर आंशिक नियंत्रण है। हमलावर सार्वजनिक डेटासेट्स में क्रमिक दरों (0% से 40%) पर विशिष्ट नमूनों में से 50% पॉइंट्स को बिना किसी जटिल रैंकिंग के बेतरतीब ढंग से हटाकर पॉइज़न्ड 3D पॉइंट क्लाउड नमूने इंजेक्ट करता है, जिसका उद्देश्य मॉडल के प्रदर्शन को कम करना या मूल क्लास लेबल को सुरक्षित रखते हुए बैकडोर्स स्थापित करना है। हमलावर को पीड़ित के मॉडल आर्किटेक्चर या प्रशिक्षण प्रक्रिया का कोई ज्ञान नहीं है।
2. प्रायोगिक सेटअप:
   • डेटासेट: ModelNet डेटासेट का उपयोग किया गया है, विशेष रूप से बाइनरी क्लासिफिकेशन के लिए दो वर्गों का चयन किया गया है।
   • परिदृश्य (Scenarios): दो प्रशिक्षण परिदृश्यों की तुलना की गई है:
     • बेसलाइन (Baseline): मूल, गैर-संवर्धित डेटासेट पर प्रशिक्षित एक क्लासिफायर।
     • संवर्धित (Augmented): एक क्लासिफायर जिसे ऐसे डेटासेट पर प्रशिक्षित किया गया है जहाँ प्रशिक्षण सेट को पहले 3D-GAN फ्रेमवर्क का उपयोग करके संवर्धित किया गया है। महत्वपूर्ण रूप से, पॉइजनिंग को प्रशिक्षण डेटा में पहले पेश किया जाता है, इससे पहले कि GAN सिंथेटिक नमूने उत्पन्न करे, जिससे GAN पॉइज़न्ड फीचर्स को सीखने और पुनरुत्पादित करने में सक्षम हो जाता है।
   • मेट्रिक्स: प्रदर्शन का मूल्यांकन F1 स्कोर, मैथ्यूज कोरिलेशन कोएफिशिएंट (MCC), और अटैक सक्सेस रेट (ASR) का उपयोग करके किया जाता है। ASR को लक्षित क्लास के मिस डिटेक्शन (फॉल्स नेगेटिव) में वृद्धि के रूप में परिभाषित किया गया है जो हमले के कारण हुआ है।
3. प्रभाव का परिमाणीकरण (Impact Quantification): केवल सटीकता मेट्रिक्स से आगे बढ़ने के लिए, लेखक संसाधन और मिशन डिपेंडेंसी ग्राफ पर आधारित एक परिचालन प्रभाव मॉडल का उपयोग करते हैं। यह मॉडल ASR (विफलता की संभावना के रूप में) को विशिष्ट CAV परिचालन कार्यों (जैसे वाहन और पैदल यात्री का पता लगाना, निर्णय लेना) से मैप करता है ताकि सिस्टम-स्तरीय गिरावट की संभावना को मात्रात्मक रूप से निर्धारित किया जा सके।

प्रमुख योगदान

• शुद्धिकरण का अनुभवजन्य मूल्यांकन: यह शोध पत्र एक केंद्रित केस स्टडी प्रदान करता है जो प्रदर्शित करता है कि डेटा संवर्धन अनिवार्य रूप से 3D पॉइंट क्लाउड डेटा को शुद्ध नहीं करता है। इसके बजाय, विशिष्ट परिस्थितियों में, यह पॉइज़न्ड नमूनों की व्यापकता को बढ़ा सकता है।
• परिचालन प्रभाव का आकलन: लेखक CAV निर्णय लेने की प्रक्रियाओं पर पॉइजनिंग हमलों के डाउनस्ट्रीम प्रभावों को मापने के लिए एक विधि पेश करते हैं, जो क्लासिफायर की गिरावट को परिचालन जोखिमों से जोड़ती है।
• पुनरुत्पादकता (Reproducibility): प्रभाव मूल्यांकन के लिए पूर्ण कार्यान्वयन, जिसमें कोड, डेटासेट्स और टूल्स शामिल हैं, आगे के अनुसंधान को सुगम बनाने के लिए सार्वजनिक रूप से जारी किया गया है।

प्रायोगिक परिणाम
प्रयोगों से पता चलता है कि डेटा संवर्धन पॉइजनिंग हमलों के प्रभाव को काफी बढ़ा देता है:

• प्रदर्शन में गिरावट: जैसे-जैसे पॉइजनिंग दर बढ़ती है, दोनों परिदृश्यों में क्लासिफायर का प्रदर्शन गिरता है। हालांकि, संवर्धित परिदृश्य में गिरावट स्पष्ट रूप से अधिक खराब है। 40% पॉइजनिंग दर पर, बेसलाइन परिदृश्य 0.88 का MCC और 5.8% का ASR बनाए रखता है, जबकि संवर्धित परिदृश्य में MCC घटकर 0.70 और ASR बढ़कर 17.6% हो जाता है।
• प्रवर्धन तंत्र (Amplification Mechanism): परिणाम बताते हैं कि GAN-आधारित संवर्धन प्रक्रिया उन वितरण मोड (distributional modes) को सुदृढ़ करती है जिनका हमलावर लाभ उठाता है, जिससे प्रभावी रूप से प्रशिक्षण के लिए उपलब्ध पॉइज़न्ड नमूनों की संख्या बढ़ जाती है, न कि उन्हें फ़िल्टर किया जाता है।
• परिचालन प्रभाव: प्रभाव प्रसार मॉडल दिखाता है कि ASR और परिचालन जोखिम के बीच सीधा संबंध है। 40% पॉइजनिंग दर पर, "निर्णय लेने" (Decision Making) की प्रक्रिया के प्रभावित होने की संभावना बेसलाइन परिदृश्य में 4% से बढ़कर संवर्धित परिदृश्य में 13% हो जाती है—जो परिचालन व्यवधान जोखिम में तीन गुना से अधिक की वृद्धि है।

महत्व और दावे
शोध पत्र का दावा है कि CAV प्रशिक्षण के लिए सार्वजनिक डेटासेट्स पर निर्भरता एक महत्वपूर्ण हमला सतह बनाती है जो मानक डेटा संवर्धन तकनीकों द्वारा कम नहीं होती है, बल्कि और भी बदतर हो सकती है। लेखक यह दावा करते हैं कि उनके निष्कर्ष इस बात की पुष्टि करते हैं कि पॉइजनिंग, 3D पॉइंट क्लाउड डोमेन में संवर्धन तकनीकों (विशेष रूप से GANs) की "शुद्धिकरण प्रकृति" को चकमा दे सकती है। फलस्वरूप, अध्ययन यह निष्कर्ष निकालता है कि संवर्धन पॉइज़न्ड नमूनों की संख्या और हमलों के समग्र परिचालन प्रभाव को बढ़ा सकता है, जिससे स्वायत्त ड्राइविंग निर्णय लेने में विनाशकारी विफलताओं की उच्च संभावना पैदा होती है। यह कार्य एक चेतावनी के रूप में कार्य करता है कि सुरक्षा-महत्वपूर्ण प्रणालियों में संवर्धित डेटासेट्स की सुरक्षा के बारे में वर्तमान धारणाएं त्रुटिपूर्ण हो सकती हैं।