Adversarial Robustness Analysis of Cloud-Assisted Autonomous Driving Systems

1. Il Problema

Le veicoli autonomi (AV) stanno sempre più affidandosi a modelli di apprendimento profondo per la percezione e il controllo, richiedendo elevate risorse computazionali. Per ovviare a questo, le architetture Cloud-Assisted (assistite dal cloud) scaricano queste funzioni su server remoti, sfruttando l'Internet of Vehicles (IoV). Tuttavia, questo paradigma introduce nuove vulnerabilità cross-layer:

• Attacchi Adversariali AI: Manipolazioni impercettibili agli input visivi possono ingannare i modelli di percezione (es. YOLO), portando a errori di rilevamento critici.
• Degrado di Rete: Impairments a livello di rete (ritardi, perdita di pacchetti) nel collegamento veicolo-cloud possono destabilizzare il ciclo di controllo in tempo reale.
• Interazione Critica: La combinazione di errori di percezione causati da attacchi AI e latenza di rete può compromettere la sicurezza in modo sinergico, un aspetto poco esplorato in ambienti reali.

2. Metodologia

Gli autori hanno sviluppato un testbed Hardware-in-the-Loop (HIL) per l'IoV che integra percezione, controllo e comunicazione in tempo reale per valutare la robustezza del sistema sotto condizioni avversarie coordinate.

• Architettura del Sistema:

  • Veicolo (Edge): Un robot Duckiebot basato su Jetson che esegue ROS (Robot Operating System). Acquisisce immagini e invia i frame al cloud, ricevendo in cambio comandi di sterzata e velocità.
  • Cloud: Un server workstation (Ubuntu + NVIDIA RTX) che esegue la pipeline di percezione (YOLOv8 per il rilevamento oggetti, U-Net per la segmentazione corsie) e il controllo (PID).
  • Modulo Avversario: Simula due tipi di minacce:
    1. Attacco AI (White-Box): Un attaccante con accesso completo ai parametri del modello YOLOv8. Utilizza FGSM (Fast Gradient Sign Method) e PGD (Projected Gradient Descent) per generare perturbazioni sugli input visivi prima dell'inferenza.
    2. Attacco di Rete: Basato sul framework MITRE ATT&CK, simula un agente esterno che inietta ritardi (latency), jitter e perdita di pacchetti (packet loss) nel canale di comunicazione TCP tra veicolo e cloud.

• Setup Sperimentale:

  • Modello: YOLOv8n addestrato su dataset Duckiebot.
  • Parametri di attacco: Budget di perturbazione $\epsilon \in \{0.01, 0.02, 0.04\}$. PGD configurato con passo $\alpha=0.01$ e 10 iterazioni.
  • Scenari di rete: Ritardi da 100 ms a 250 ms e perdita di pacchetti dallo 0.5% al 5%.

3. Contributi Chiave

1. Sviluppo di un Testbed IoV Integrato: Creazione di una piattaforma hardware-in-the-loop che unisce strati di percezione, controllo e comunicazione per valutare la robustezza avversaria in un contesto cloud-assisted reale.
2. Valutazione di Attacchi White-Box: Implementazione e test di attacchi FGSM e PGD su un rilevatore di oggetti YOLOv8 per quantificare la degradazione delle prestazioni sotto perturbazioni visive.
3. Modellazione di Minacce di Rete: Simulazione di attacchi di rete strutturati secondo il framework MITRE ATT&CK per analizzare l'impatto su stabilità e sincronizzazione del controllo in ciclo chiuso.
4. Analisi Cross-Layer: Valutazione sistematica di come la degradazione della percezione e gli impairments di rete interagiscono, compromettendo la affidabilità decisionale e la sicurezza della guida.

4. Risultati Sperimentali

A. Impatto degli Attacchi Adversariali (Percezione)

• Degrado delle Prestazioni: Gli attacchi riducono drasticamente precisione e recall.
  • Baseline (Pulito): Precisione 0.73, Recall 0.68.
  • FGSM ($\epsilon=0.04$): Precisione scende a 0.38, Recall a 0.46.
  • PGD ($\epsilon=0.04$): Degrado severo. Precisione crolla a 0.22 e Recall a 0.15 (riduzioni del ~70% e ~78% rispetto alla baseline).
• Comportamento: PGD genera falsi positivi e sopprime completamente la rilevazione di oggetti critici (pedoni, veicoli, segnali) anche con perturbazioni impercettibili visivamente. Le matrici di confusione mostrano una perdita di separazione semantica tra le classi.

B. Impatto degli Attacchi di Rete (Controllo)

• Instabilità del Ciclo Chiuso: Ritardi e perdita di pacchetti causano oscillazioni laterali e deviazioni dalla traiettoria.
  • Ritardi (150-250 ms): Corrispondono alla perdita transitoria di 3-4 frame. A 250 ms, il ciclo di controllo si destabilizza, portando a uscite di corsia e giri incompleti.
  • Perdita di Pacchetti (2-5%): Aumenta la probabilità di comandi persi o ritardati.
• Violazione delle Regole: In un tracciato urbano con segnali di stop, ritardi moderati (150 ms) o perdita di pacchetti (2%) portano a violazioni dei segnali di stop, specialmente agli incroci a valle dove gli aggiornamenti di percezione ritardati si accumulano.

C. Sinergia delle Minacce

La combinazione di errori di percezione (dovuti ad attacchi AI) e latenza di rete amplifica l'instabilità. Anche se la percezione fosse accurata, la latenza di rete impedisce l'esecuzione tempestiva dei comandi; se combinata con percezioni errate, il sistema diventa imprevedibile e pericoloso.

5. Significato e Conclusioni

Il lavoro dimostra che le architetture cloud-assisted per la guida autonoma sono vulnerabili non solo a singoli punti di fallimento, ma a minacce cross-layer coordinate.

• Implicazioni di Sicurezza: Piccoli budget di perturbazione ($\epsilon=0.04$) e ritardi di rete modesti (150 ms) sono sufficienti a compromettere la sicurezza operativa, causando violazioni delle regole stradali e perdita di controllo.
• Raccomandazioni: È urgente sviluppare sistemi con resilienza cross-layer, che includano:
  • Modelli di percezione robusti agli attacchi adversariali.
  • Strategie di controllo consapevoli della latenza (latency-aware).
  • Meccanismi di comunicazione adattivi capaci di tollerare interruzioni transitorie.

In sintesi, il paper fornisce una base riproducibile e rigorosa per comprendere come la convergenza di attacchi informatici e AI possa minacciare la sicurezza dei veicoli autonomi di prossima generazione, sottolineando la necessità di approcci di difesa olistici.