Riepilogo Tecnico: Manipolazione della Traiettoria Indotta dalla Prospettiva nella Guida Autonoma

Enunciato del Problema

Gli attuali attacchi avversari fisici sui sistemi di guida autonoma (AD) basati sulla visione si affidano tipicamente a patch sofisticate e dinamicamente variabili o a patch statiche ottimizzate per la robustezza multi-vista. Questi approcci trattano la variazione dell'angolo di visione (causata dal moto relativo tra il veicolo ego e un bersaglio) come una sfida di robustezza da superare per mantenere l'efficacia dell'attacco. Di conseguenza, richiedono un'ottimizzazione complessa multi-vista o un'intervento attivo (ad esempio, display dinamici) per indurre errori di percezione come l'occultamento di oggetti o la misclassificazione.

Questo lavoro identifica una critica omissione: la variazione dell'angolo di visione stessa può essere sfruttata come meccanismo di attacco. I sistemi attuali si basano sulla percezione temporale, dove le rilevazioni sono associate, previste e pianificate. Sebbene un errore su un singolo fotogramma possa essere filtrato, un'evoluzione temporale coerente degli errori di percezione può propagarsi attraverso la pipeline a valle influenzando le decisioni di pianificazione. Gli autori propongono un nuovo paradigma di attacco: "Camuffamento Statico, Illusione in Movimento". L'obiettivo è utilizzare un camuffamento avversario fisico statico e passivo montato su un veicolo per indurre una deriva coerente delle caratteristiche attraverso i fotogrammi esclusivamente tramite il moto relativo naturale. Ciò causa al sistema AD l'inferenza di una traiettoria fisicamente plausibile ma errata (ad esempio, un falso inserimento in corsia), innescando frenate di emergenza non necessarie o l'abbandono di manovre di sorpasso.

Metodologia

1. Modello di Minaccia

• Avversario: Può attaccare un camuffamento fisico statico a un veicolo sotto il proprio controllo.
• Conoscenza: Accesso white-box al modello di percezione della vittima (o trasferimento tramite un modello surrogato). Non si assume alcuna conoscenza dei moduli a valle di tracciamento, previsione o pianificazione.
• Meccanismo: L'attacco è attivato passivamente dal moto relativo normale. Mentre il veicolo vittima si muove rispetto al veicolo camuffato, l'angolo di visione cambia, facendo evolvere l'aspetto proiettato del camuffamento statico.
• Obiettivo: Indurre uno spostamento coerente nel tempo di un box 3D (bbox) che si propaghi alla fase di pianificazione, causando decisioni critiche per la sicurezza.

2. Pipeline di Attacco

Il framework proposto consiste in tre fasi:

• Selezione dello Scenario:

  • Filtro di Fattibilità dell'Attacco (AFF): Seleziona sequenze in cui il veicolo bersaglio è visibile, rilevante per il percorso del veicolo ego e non sta già invadendo lo spazio.
  • Filtro dell'Angolo di Visione (VAF): Seleziona specificamente sequenze con variazione sufficiente dell'angolo di visione tra il primo e l'ultimo fotogramma. A differenza di lavori precedenti, è preferita una variazione maggiore per amplificare l'evoluzione dell'aspetto dipendente dalla vista.

• Rendering del Camuffamento:

  • Una texture di camuffamento statico ($\delta$) viene ottimizzata e mappata sulla regione renderizzabile del mesh del veicolo bersaglio.
  • Le occlusioni sono gestite utilizzando maschere di segmentazione (SAM2) e il rendering è eseguito utilizzando PyTorch3D con le intrinseche della camera.

• Ottimizzazione Guidata dalla Pianificazione:

  • Ricerca del Bersaglio: Il sistema cerca una direzione di spostamento ottimale ($\bar{u}$) e una dimensione del passo ($\bar{s}$) che massimizzino gli errori di pianificazione a valle (ad esempio, causando una collisione o una frenata di emergenza).
  • Funzioni di Perdita: Il camuffamento è ottimizzato per massimizzare lo spostamento lungo la direzione target garantendo al contempo la coerenza temporale.
    • Perdita di Movimento ($L_{move}$): Guida il centro del bbox 3D lungo la direzione target.
    • Perdita di Progresso ($L_{prog}$): Impone uno spostamento progressivamente crescente ($d_{k+1} - d_k \approx \bar{s}$) per creare un'illusione di movimento coerente.
    • Perdita di Fedeltà ($L_{fid}$): Garantisce che il bersaglio rimanga un oggetto rilevato valido (preservando confidenza, dimensioni e yaw).
    • Perdita di Stile ($L_{style}$): Include la Variazione Totale (TV) e il Punteggio di Non Stampabilità (NPS) per garantire che il pattern sia stampabile e a basso rumore.
  • Robustezza: Durante l'ottimizzazione viene applicata l'Aspettativa su Trasformazione 3D (EoT), introducendo perturbazioni casuali (yaw, traslazione, profondità, scala) alla posa del bersaglio.

Contributi Chiave

1. Nuovo Meccanismo di Attacco: Il lavoro identifica la variazione dell'angolo di visione come una nuova superficie di attacco. Dimostra che il camuffamento statico può essere trasformato in perturbazioni temporali dinamiche attraverso le dinamiche di guida naturali, eliminando la necessità di patch avversarie attive o dinamiche.
2. Framework Vincolato dalla Geometria: Viene proposto un metodo per generare camuffamento statico che induce un movimento progressivo del bbox 3D attraverso i fotogrammi. Questo framework garantisce che l'attacco sia proiettabile fisicamente e coerente nel tempo.
3. Impatto a Livello di Sistema: Il lavoro dimostra che queste illusioni di movimento indotte si propagano attraverso i moduli di tracciamento e previsione per innescare comportamenti di guida realistici e dannosi (abbandono del sorpasso, frenate di emergenza) nelle pipeline AD end-to-end.

Risultati Sperimentali

L'attacco è stato valutato sul dataset nuScenes utilizzando 220 scenari e tre rilevatori 3D basati sulla visione (BEVDet, BEVDepth, FastBEV++). Sono state costruite due pipeline a valle (Pipeline A e B) per simulare tracciamento, previsione e pianificazione.

• Tasso di Successo: L'attacco ha raggiunto un Tasso di Successo dell'Attacco (ASR) fino all'87,5% (misurato tramite eventi di frenata di emergenza, definiti come decelerazione $\ge 3.0 m/s^2$). In impostazioni di convalida incrociata, l'ASR è variato dal 50,0% al 66,7%.
• Coerenza Temporale: Il Tasso di Spostamento Progressivo (PDR) ha raggiunto una media del 70,8%, confermando che gli spostamenti indotti del bbox erano progressivi nel tempo e non rumore casuale.
• Impatto a Valle:
  • Errore Medio di Previsione (APE): Fino a 3,02 m di deviazione nelle traiettorie previste.
  • Distanza Minima della Traiettoria (MTD): Ridotta a ~1,48 m, indicando che il percorso previsto si avvicinava al percorso pianificato dalla vittima, creando un conflitto di sicurezza.
  • Frenata di Emergenza: Ha innescato una decelerazione massima di frenata (MBD) fino a 4,45 $m/s^2$.
• Fattori che Influenzano l'Efficacia:
  • Variazione dell'Angolo di Visione: Una variazione maggiore si correla con uno spostamento più forte.
  • Specifiche dello Scenario: L'attacco è più efficace con distanze più ravvicinate, illuminazione più brillante, aree di proiezione più ampie e velocità relative più basse.
  • Trasferibilità: Sebbene la trasferibilità tra modelli sia limitata (a causa dell'aggregazione delle caratteristiche specifica del rilevatore), l'attacco si trasferisce efficacemente tra diversi tipi di veicolo (SUV, Berline, Furgoni).

Significato e Affermazioni

Gli autori affermano che questo lavoro evidenzia una vulnerabilità precedentemente trascurata nella guida autonoma: l'affidamento sulla coerenza temporale rende i sistemi suscettibili ad attacchi fisici statici che sfruttano le condizioni dinamiche di visione.

• Cambiamento di Paradigma: Il lavoro sostiene che la variazione dell'angolo di visione non dovrebbe essere trattata solo come un ostacolo alla robustezza, ma riconosciuta come un potenziale vettore di attacco.
• Fattibilità di Distribuzione: A differenza di lavori precedenti che richiedono display dinamici o intervento attivo, questo attacco è "passivo" e "facile da distribuire", poiché richiede solo un veicolo parcheggiato con un pattern di camuffamento specifico per indurre frenate di emergenza nei veicoli autonomi di passaggio.
• Implicazioni per la Sicurezza: I risultati suggeriscono che le attuali difese focalizzate sulla robustezza del singolo fotogramma o sull'invarianza multi-vista sono insufficienti. I futuri sistemi AD sicuri devono tenere conto dei bias di percezione spaziotemporalmente coerenti indotti dalle dinamiche di movimento naturale.

Il lavoro conclude notando che, sebbene la valutazione sia limitata a modelli specifici e dataset simulati, i risultati motivano la progettazione di sistemi più robusti capaci di ragionare sulla coerenza fisica e sulla stabilità temporale oltre la semplice percezione fotogramma per fotogramma.