Assessing the Operational Impact of Poisoning Attacks over Augmented 3D Point Cloud Public Datasets for Connected and Autonomous Vehicles

Sintesi Tecnica: Valutazione dell'impatto operativo degli attacchi di avvelenamento su dataset pubblici di nuvole di punti 3D aumentati per veicoli connessi e autonomi

Definizione del Problema
Il documento affronta una lacuna critica di sicurezza nei Veicoli Connessi e Autonomi (CAV): la vulnerabilità dei dataset di nuvole di punti 3D utilizzati per l'addestramento dei modelli di percezione agli attacchi di avvelenamento (poisoning attacks). Sebbene l'aumento dei dati (specificamente tramite Reti Generative Avversarie, o GAN) sia ampiamente impiegato per espandere i dataset pubblici limitati e migliorare la robustezza dei modelli, esiste l'ipotesi prevalente che l'aumento agisca come un meccanismo di "sanificazione", potenzialmente diluendo o filtrando i dati malevoli. Gli autori mettono in discussione tale ipotesi, ipotizzando che nel contesto delle nuvole di punti 3D — che codificano la continuità geometrica e strutturale — l'aumento possa involontariamente amplificare i campioni avvelenati e i backdoor, anziché mitigarli. Ciò è particolarmente preoccupante perché i CAV si affidano pesantemente a dataset pubblici per l'addestramento, creando una superficie di attacco significativa dove attori malevoli potrebbero iniettare dati avvelenati che si propagano attraverso le pipeline di aumento, portando a errori di classificazione o a backdoor innescate nei sistemi distribuiti.

Metodologia
Gli autori propongono un framework di valutazione empirica per valutare l'impatto operativo degli attacchi di avvelenamento sui dati di nuvole di punti 3D aumentati. La metodologia prevede:

1. Modello di Minaccia: Lo studio assume un avversario "clean-label" con controllo parziale sui dati di addestramento. L'attaccante inietta campioni di nuvole di punti 3D avvelenati in dataset pubblici a tassi incrementali (dallo 0% al 40%). La strategia di avvelenamento consiste nella rimozione casuale del 50% dei punti da campioni specifici senza un ranking complesso, con l'obiettivo di degradare le prestazioni del modello o inserire backdoor pur preservando le etichette di classe originali. L'avversario non ha conoscenza dell'architettura del modello della vittima o del processo di addestramento.
2. Configurazione Sperimentale:
   • Dataset: Viene utilizzato il dataset ModelNet, selezionando specificamente due classi per la classificazione binaria.
   • Scenari: Vengono confrontati due scenari di addestramento:
     • Baseline: Un classificatore addestrato sul dataset originale, non aumentato.
     • Aumentato: Un classificatore addestrato su un dataset in cui il set di addestramento è prima aumentato utilizzando un framework 3D-GAN. Fondamentalmente, l'avvelenamento viene introdotto nel dato di addestramento prima che la GAN generi campioni sintetici, permettendo alla GAN di apprendere e riprodurre le caratteristiche avvelenate.
   • Metriche: Le prestazioni sono valutate utilizzando il punteggio F1, il Coefficiente di Correlazione di Matthews (MCC) e l'Attack Success Rate (ASR). L'ASR è definito come l'aumento dei falsi negativi (mancati rilevamenti della classe target) attribuibile all'attacco.
3. Quantificazione dell'Impatto: Per andare oltre le semplici metriche di accuratezza, gli autori utilizzano un modello di impatto operativo basato su grafi di dipendenza dalle risorse e dalle missioni. Questo modello mappa l'ASR (come probabilità di fallimento) su specifiche funzioni operative dei CAV (ad es., Rilevamento di Veicoli e Pedoni, Processo Decisionale) per quantificare la probabilità di degradazione del sistema.

Contributi Chiave

• Valutazione Empirica della Sanificazione: Il documento fornisce un caso di studio focalizzato dimostrando che l'aumento dei dati non necessariamente sanifica i dati delle nuvole di punti 3D. Al contrario, in condizioni specifiche, può amplificare la prevalenza dei campioni avvelenati.
• Valutazione dell'Impatto Operativo: Gli autori introducono un metodo per quantificare gli effetti a valle degli attacchi di avvelenamento sui processi decisionali dei CAV, collegando il degrado del classificatore ai rischi operativi.
• Riproducibilità: L'implementazione completa, inclusi codice, dataset e strumenti per la valutazione dell'impatto, è rilasciata pubblicamente per facilitare ulteriori ricerche.

Risultati Sperimentali
Gli esperimenti rivelano che l'aumento dei dati esacerba significativamente l'impatto degli attacchi di avvelenamento:

• Degrado delle Prestazioni: All'aumentare del tasso di avvelenamento, le prestazioni del classificatore degradano in entrambi gli scenari. Tuttavia, il degrado è marcatamente peggiore nello scenario aumentato. Con un tasso di avvelenamento del 40%, lo scenario Baseline mantiene un MCC di 0,88 e un ASR del 5,8%, mentre lo scenario Aumentato scende a un MCC di 0,70 e un ASR del 17,6%.
• Meccanismo di Amplificazione: I risultati suggeriscono che il processo di aumento basato su GAN rinforza le mode distributive sfruttate dall'attaccante, aumentando efficacementamente il numero di campioni avvelenati disponibili per l'addestramento invece di filtrarli.
• Impatto Operativo: Il modello di propagazione dell'impatto mostra una correlazione diretta tra l'ASR e il rischio operativo. Con un tasso di avvelenamento del 40%, la probabilità che il processo di "Decision Making" sia influenzato sale dal 4% nello scenario Baseline al 13% nello scenario Aumentato — un aumento di oltre tre volte del rischio di interruzione operativa.

Significatività e Rivendicazioni
Il documento sostiene che l'affidamento a dataset pubblici per l'addestramento dei CAV crea una superficie di attacco critica che non viene mitigata, e può anzi essere peggiorata, dalle tecniche standard di aumento dei dati. Gli autori affermano che i loro risultati validano il fatto che l'avvelenamento può eludere la "natura sanificante" delle tecniche di aumento (specificamente le GAN) nel dominio delle nuvole di punti 3D. Di conseguenza, lo studio conclude che l'aumento può aumentare il numero di campioni avvelenati e l'impatto operativo complessivo degli attacchi, portando a una maggiore probabilità di guasti catastrofici nel processo decisionale della guida autonoma. Il lavoro funge da avvertimento che le attuali assunzioni sulla sicurezza dei dataset aumentati nei sistemi critici per la sicurezza potrebbero essere errate.