技術概要：隠密なデータ捏造から安全上の危険な運転へ

1. 問題定義

協調知覚は、接続型自律走行車（CAV）がデータ共有を通じてセンサーの限界（遮蔽、範囲、天候）を克服することを可能にする。しかし、この外部データへの依存は、悪意のある車両が操作されたデータを注入して被害者の知覚を操作するデータ捏造攻撃に対する重大な脆弱性を生み出している。

本論文は、既存研究における 2 つの根本的なギャップを特定している：

1. 隠密性と影響のトレードオフ： 既存の防御策（例：バウンディングボックスの一貫性、グローバル特徴量距離）は、物体の偽装や除去のような大きな異常を検出するように調整されている。これらは、検出閾値以下に収まり、グローバル特徴量マップで希釈されるため、小さく局所的な摂動（例：物体の姿勢の約 1m のシフト）を検出できない。
2. エンドツーエンド評価の欠如： 先行する攻撃は単一フレームで評価されており、自律走行の時間的性質を無視している。小さな知覚誤差は、追跡や軌道予測モジュールを通じて伝播し、時間とともに蓄積して安全上の致命的な失敗（例：不要な急ブレーキや衝突）を引き起こす可能性がある。このリスクは、フレーム単位の分析では捉えられていない。

2. 手法

著者は、攻撃（PosePert）、シナリオ対応戦略、および緩和策（PoseGuard）からなる包括的なフレームワークを提案する。

A. PosePert：攻撃のプリミティブ

PosePert は、新しい物体を偽装したり既存の物体を除去したりするのではなく、既存の車両の知覚された姿勢（位置と向き）を微妙に摂動させる、リアルタイムの中間融合攻撃である。これは 2 つの段階で動作する：

1. 物理情報に基づく初期化（マルチビュー・レイキャスティング）：

   • 攻撃者は、ターゲット車両が意図したシフト位置に存在するかのように、「偽」の点群を合成する。
   • これは、ターゲット位置周辺の仮想 LiDAR 視点を使用して、遮蔽や地面の反射を含む現実的な点のカバレッジを生成することで行われる。
   • 合成された点は、被害者の特徴抽出パイプラインを通じて処理され、ベース特徴量マップ（$f_{spoof}$）を作成する。

2. 学習済み摂動ネットワーク（PertNet）：

   • 融合における健全な車両の「投票」効果を克服するため、攻撃者は偽装された特徴量を係数 $\beta$（通常 1.5–3.0）でスケーリングし、融合プロセスを支配する。
   • 軽量な畳み込みネットワークは、局所的文脈（攻撃者の特徴量、幾何学的オフセット、健全な車両の位置）に条件付けられたボクセルごとの補正（$\delta_{corr}$）を予測する。
   • 最終的な敵対的特徴量マップは以下の通りである：$f_{attack} = f_{orig} + \beta \cdot (f_{spoof} - f_{orig}) + \text{clamp}(\delta_{corr})$。
   • このアプローチは反復最適化（PGD など）を回避し、フレームあたり 50ms 未満での実行を可能にする。

B. シナリオ対応攻撃フレームワーク

安全上の危険な運転行動を誘発するために、攻撃は観測–予測–計画–実行ループを用いて時間的に調整される：

• 観測： 攻撃者は周囲の車両を追跡し、ターゲット（例：隣接レーンの車両）を選択する。
• 予測： サロゲート軌道予測器を使用して、攻撃者はシーンの進化を予測する。
• 計画： 攻撃者は、被害者がレーン侵入を予測する可能性を最大化するための摂動の時間的シーケンス（敵対的軌道）を最適化する。制約には、隠密性のためのフレームごとのシフト限界（$\epsilon_{loc} = 0.5$ m）が含まれる。
• 実行： 攻撃者は PosePert を適用して現在のフレームの摂動を実現し、操作されたデータを送信する。

C. PoseGuard：緩和策

既存の防御策は、小さな局所的な異常を薄めるグローバル特徴量マップを分析するため失敗する。PoseGuard はオブジェクトレベルの局所異常検出を導入する：

1. 安全上の致命的な識別： 自車への脅威となる予測軌道を持つ物体のみが分析される。
2. 不一致フィルタリング： 融合知覚と自車単独知覚が一致する物体はスキップされる。
3. 局所異常スコアリング： 重要で不一致のある物体について、システムはすべてのエージェントから局所特徴量クリップ（バウンディングボックス領域）を抽出し、ペアワイズ L1 距離を計算する。これにより信号が集中し、小さな姿勢摂動を検出可能にする。

3. 主要な貢献

1. PosePert 攻撃： 大きくて顕著な異常を対象とした最先端の防御を回避する、小さく隠密なシフトを通じて知覚出力を操作する、新規の物体姿勢摂動攻撃。
2. シナリオ対応フレームワーク： 協調知覚における時間的誤差伝播をモデル化した最初のフレームワークであり、フレームごとの小さな摂動が蓄積して安全上の危険な運転判断（例：急ブレーキ）を誘発する方法を実証する。
3. PoseGuard 防御： グローバル特徴量マップではなく安全上の重要な領域に焦点を当てることで、局所的な摂動に対する検出感度を大幅に向上させるオブジェクトレベルの防御。
4. 包括的評価： 複数の中間融合モデル（AttFusion、V2VNet、CoBEVT）における、シミュレーション（OPV2V）および実世界（V2X-Real）の両方のデータセットでの評価。

4. 実験結果

攻撃の有効性

• 知覚レベル： PosePert は、異なるモデル間で物体姿勢をシフトさせる際に75–94% の成功率（IoU > 0.5）を達成する。PGD ベースのベースラインと比較して約2 倍高速である。
• シナリオレベル： 厳格なフレームあたり 0.5m のシフト限界の下で、この攻撃は最大50m の軌道偏差（最終変位誤差）を誘発し、ターゲットから被害者までの距離を0.15mにまで減少させる。
• 安全への影響： シナリオの**25–50%**において、攻撃は被害者の予測軌道が自レーンに横断させることを引き起こし、不要な急ブレーキなどの安全上の致命的な行動をトリガーする。

防御の耐性

• 既存の防御策： 最先端の防御策（CAD、LUCIA、MADE、ROBOSAC、MATE）は PosePert に対して大半が失敗し、攻撃の13% 未満しか検出しない。摂動が特徴量マップの 0.04% 未満に影響を与えるため、グローバル特徴量距離指標（LUCIA）はほぼランダムである。
• PoseGuard： シナリオ攻撃において57–84% の検出率（偽陽性率 5% における真陽性率）を達成し、知覚攻撃では**82–99%**を達成する。CAD が見逃す小さなシフト（<0.5m）を正常に検出する。

効率性

• 完全な攻撃パイプライン（レイキャスティング + 特徴量抽出 + PertNet）は約 36msで実行され、50–100ms の LiDAR フレーム間隔に適合する。
• PoseGuard は5ms 未満のオーバーヘッドを追加する。

5. 意義と主張

本論文は、理論的なデータ捏造攻撃と現実的な安全脅威との間のギャップを埋めることを主張する。その主な意義は、以下の点を示すことにある：

1. 隠密性は達成可能である： 大きな異常に依存する現在の防御を回避する、小さく一貫した姿勢摂動が可能である。
2. 時間的蓄積が重要である： 協調知覚攻撃の真の危険性は、即時のフレーム単位の誤差ではなく、これらの誤差が安全上の危険な運転判断に蓄積することにある。
3. 防御には局所化が必要である： 微妙な攻撃に対する効果的な防御には、グローバルな異常検出からオブジェクトレベルの安全上の重要な分析への転換が必要である。

著者は、PoseGuard が有望な緩和策を提供する一方で、攻撃の隠密性と影響の間にトレードオフが存在し、協調知覚システムのセキュリティは単一フレームの知覚指標を超えた厳格なエンドツーエンド評価を必要すると結論付けている。