Experimental Evaluation of Security Attacks on Self-Driving Car Platforms

Sintesi Tecnica: Valutazione Sperimentale degli Attacchi di Sicurezza sulle Piattaforme di Veicoli Autonomi

1. Il Problema

I veicoli autonomi moderni (AV) basano le loro capacità di percezione e controllo su reti neurali profonde (DNN), esponendo nuovi vettori di attacco che spaziano dalle perturbazioni nello spazio degli input alle manipolazioni del software e alle interruzioni a livello di rete. Sebbene la ricerca esistente abbia analizzato singoli tipi di attacco (es. esempi avversariali digitali o attacchi di rete), esiste un vuoto critico nella comprensione di come diverse classi di attacco si manifestino nel comportamento del sistema su hardware autonomo reale.
La maggior parte degli studi si basa su simulazioni che non catturano le complessità del deployment reale, come i vincoli computazionali, il throttling termico e la dinamica del loop di controllo chiuso. Manca un quadro sistematico per caratterizzare le "impronte digitali" comportamentali uniche di ciascun attacco su piattaforme fisiche.

2. Metodologia

Gli autori hanno condotto una valutazione sperimentale sistematica e on-hardware (sull'hardware reale) utilizzando piattaforme a basso costo (JetRacer con Jetson Nano e Yahboom ROSMaster X3 con Jetson Orin NX).

• Setup Sperimentale:

  • Modello: Una rete CNN basata su ResNet-18, addestrata per un task di regressione (previsione delle coordinate di guida $x, y$) partendo da immagini stradali.
  • Protocollo: Ogni esperimento dura 13 secondi: 5 secondi di baseline (condizione normale) seguiti da 8 secondi di attacco.
  • Ripetibilità: 10 trial per configurazione di attacco, con logging automatizzato completo (timestamp, metriche di prestazione, dati di controllo).
  • Ambiente: Condizioni controllate (illuminazione, percorso strutturato, velocità moderata 1-2 m/s).

• Classi di Attacco Valutate (5 categorie):

  1. FGSM (Fast Gradient Sign Method): Perturbazione avversariale singola step nello spazio dei pixel (input).
  2. PGD (Projected Gradient Descent): Attacco avversariale iterativo nello spazio dei pixel (input), computazionalmente costoso.
  3. MitM (Man-in-the-Middle):
     • Input: Corruzione del flusso video (rumore, blur, sostituzione sintetica) prima dell'inferenza.
     • Output: Manipolazione dei comandi di sterzo dopo l'inferenza ma prima dell'attuazione.
  4. DoS (Denial-of-Service): Ritardi, perdita di frame (drop) o inondazione (flood) delle code di I/O o di rete.
  5. Attacco Fantasma (Phantom): Manipolazione fisica dell'ambiente (proiezione di linee di corsie false sulla strada) che inganna il sensore senza modificare il flusso digitale.

• Framework di "Fingerprinting" (Impronte Digitali):
  Gli attacchi sono stati caratterizzati lungo tre dimensioni chiave:

  1. Deviazione di Controllo: Quanto il veicolo si discosta dalla traiettoria prevista.
  2. Costo Computazionale: Aumento del tempo di elaborazione per frame e utilizzo della CPU/GPU.
  3. Responsività del Sistema: Degradazione del frame rate (FPS) e aumento della latenza end-to-end.

3. Contributi Chiave

1. Framework di Fingerprinting Tridimensionale: Introduzione di un metodo sistematico per mappare l'impatto degli attacchi su controllo, computazione e responsività, permettendo di distinguere le classi di attacco in base al loro profilo comportamentale.
2. Valutazione Rigorosa On-Hardware: Implementazione di un protocollo standardizzato su veicoli fisici reali, fornendo dati che le simulazioni non possono catturare (es. effetti del throttling termico e della latenza reale).
3. Insights per la Difesa: Dimostrazione empirica che le diverse classi di attacco producono firme comportamentali separabili, fornendo la base per sistemi di monitoraggio consapevoli dell'attacco e meccanismi di difesa mirati.

4. Risultati Principali

L'analisi ha rivelato che ogni classe di attacco genera un profilo "impronta digitale" distinto e separabile:

• Attacchi Dominanti sul Controllo (MitM Output & Phantom):
  • Firma: Alta deviazione dello sterzo (fino a 0.72 per MitM Output), ma costo computazionale nominale e nessuna degradazione significativa degli FPS.
  • Distinzione: MitM manipola i comandi software; Phantom inganna il sensore fisico creando feature false plausibili. Entrambi bypassano il carico computazionale ma compromettono direttamente il controllo.
• Firma Multidimensionale (PGD):
  • Firma: Combina alta deviazione dello sterzo con un enorme sovraccarico computazionale (aumento del tempo di elaborazione del 3360%) e un crollo degli FPS (68%).
  • Implicazione: PGD agisce sia come attacco di percezione che come attacco di esaurimento delle risorse (DoS involontario).
• Firma Dominante sulla Responsività (DoS):
  • Firma: Crollo drastico degli FPS (fino al ~75%) e alta latenza, ma minima deviazione dello sterzo (se il sistema non va in timeout). L'attacco colpisce il timing e la pipeline di dati, non direttamente la logica di controllo.
• Attacchi FGSM:
  • Mostrano una deviazione moderata dello sterzo con un sovraccarico computazionale intermedio, distinguendosi da PGD per l'assenza di un crollo degli FPS.

Tabella Riassuntiva delle Impronte (Media su 10 trial):

5. Significato e Implicazioni

• Rilevamento Basato su Firme: Il lavoro dimostra che non è necessario un modello di difesa universale, ma piuttosto un sistema di monitoraggio in grado di riconoscere il "profilo geometrico" dell'attacco (es. alto carico CPU + alto sterzo = PGD; alto sterzo + basso carico = MitM/Phantom).
• Generalizzazione: Il framework funziona sia per attacchi digitali (manipolazione software) che per attacchi ambientali (proiezioni fisiche), offrendo una visione olistica della sicurezza AV.
• Proposte di Mitigazione: Sulla base delle firme identificate, gli autori propongono contromisure specifiche:
  • Per MitM Output: Autenticazione dei comandi e limiti di velocità di sterzo (slew-rate).
  • Per PGD: Watchdog computazionali che abortiscono l'inferenza se il tempo supera una soglia, riducendo la risoluzione.
  • Per DoS: Scheduling prioritario dei thread di controllo e scarto di frame obsoleti.
  • Per Phantom: Rilevamento di anomalie visive e cross-validazione con sensori ausiliari (Lidar/Radar).

Conclusione:
Lo studio fornisce la prima evidenza sperimentale su hardware reale che gli attacchi agli AV lasciano impronte digitali multidimensionali uniche. Questo approccio sposta il paradigma dalla semplice rilevazione binaria ("c'è un attacco?") alla classificazione dell'attacco ("che tipo di attacco è?"), abilitando risposte difensive più mirate ed efficienti in termini di risorse, cruciali per i sistemi embedded con vincoli di tempo e potenza.