技術的サマリー：自動運転における視点誘発型軌道操作

問題定義

既存の視覚ベースの自動運転（AD）システムに対する物理的敵対的攻撃は、通常、高度で動的に変化するパッチ、または多視点頑健性のために最適化された静的パッチに依存しています。これらのアプローチは、自車と標的との相対運動によって引き起こされる視点変化を、攻撃効果を維持するために克服すべき頑健性の課題として扱っています。その結果、物体の隠蔽や誤分類などの知覚エラーを誘発するために、複雑な多視点最適化や能動的介入（例：動的ディスプレイ）が必要とされます。

本論文は、重要な見落としを特定しています：視点変化そのものを攻撃メカニズムとして利用できるということです。現在のシステムは、検出が関連付け、予測され、計画される時間的知覚に依存しています。単一フレームのエラーはフィルタリングされる可能性がありますが、知覚エラーの時間的整合性のある進化は、下流のパイプラインを通じて伝播し、計画決定に影響を与える可能性があります。著者は新しい攻撃パラダイムを提案します。「静止カモフラージュ、移動錯覚」です。目標は、車両に取り付けられた静的で受動的な敵対的カモフラージュを用いて、自然な相対運動のみを通じてフレーム間で一貫した特徴のドリフトを誘発することです。これにより、AD システムは物理的に妥当だが誤った軌道（例：誤ったカットイン）を推定し、不要な緊急ブレーキや追い越しの中止といった行動をトリガーします。

手法

1. 脅威モデル

• 攻撃者: 自身の管理下にある車両に静的な物理的カモフラージュを取り付けることができる。
• 知識: 被害者の知覚モデルへのホワイトボックスアクセス（または代理モデルを介した転移）。下流の追跡、予測、計画モジュールに関する知識は仮定しない。
• メカニズム: 攻撃は通常の相対運動によって受動的にトリガーされる。被害車両がカモフラージュされた車両に対して移動するにつれて、視点が変化し、静的カモフラージュの投影された外観が進化する。
• 目標: 計画段階に伝播し、安全性上重要な決定を引き起こす、時間的に整合性のある 3D 境界ボックス（bbox）の移動を誘発する。

2. 攻撃パイプライン

提案されたフレームワークは 3 つの段階で構成されます：

• シナリオ選択:

  • 攻撃実現可能性フィルタ（AFF）: 標的車両が可視であり、自車の経路に関連し、かつ既に侵入していないシーケンスを選択する。
  • 視点フィルタ（VAF）: 最初のフレームと最後のフレームの間に十分な視点変化があるシーケンスを特に選択する。先行研究とは異なり、視点依存の外観進化を増幅させるため、より大きな変化が好まれる。

• カモフラージュレンダリング:

  • 静的カモフラージュテクスチャ（$\delta$）を最適化し、標的車両のメッシュのレンダリング可能領域にマッピングする。
  • 遮蔽はセグメンテーションマスク（SAM2）を用いて処理され、レンダリングはカメラ内部パラメータを用いて PyTorch3D で実行される。

• 計画ガイド最適化:

  • ターゲット検索: 下流の計画エラー（例：衝突や緊急ブレーキの発生）を最大化する最適な移動方向（$\bar{u}$）とステップサイズ（$\bar{s}$）を検索する。
  • 損失関数: カモフラージュは、時間的一貫性を確保しながらターゲット方向に沿った移動を最大化するように最適化される。
    • 移動損失（$L_{move}$）: 3D bbox の中心をターゲット方向に沿って駆動する。
    • 進行損失（$L_{prog}$）: 一貫した運動錯覚を作成するために、段階的に増加する移動（$d_{k+1} - d_k \approx \bar{s}$）を強制する。
    • 忠実度損失（$L_{fid}$）: ターゲットが有効な検出物体として維持されることを保証する（信頼度、寸法、ヨー角を保持）。
    • スタイル損失（$L_{style}$）: 印刷可能で低ノイズであることを保証するために、全変動（TV）と非印刷可能性スコア（NPS）を含む。
  • 頑健性: 最適化中に 3D 変換期待値（EoT）を適用し、ターゲット姿勢に対してランダムな摂動（ヨー、並進、深度、スケール）を導入する。

主要な貢献

1. 新しい攻撃メカニズム: 本論文は、視点変化を新たな攻撃面として特定しています。自然な走行ダイナミクスを通じて静的カモフラージュを動的な時間的摂動に変換できることを実証し、能動的または動的な敵対的パッチの必要性を排除しました。
2. 幾何学的制約付きフレームワーク: フレーム間で段階的な 3D bbox 移動を誘発する静的カモフラージュを生成する手法を提案しました。このフレームワークは、攻撃が物理的に投影可能で時間的に整合性があることを保証します。
3. システムレベルへの影響: この作業は、誘発された運動錯覚が追跡および予測モジュールを通じて伝播し、エンドツーエンドの AD パイプラインで現実的で有害な運転行動（追い越しの中止、緊急ブレーキ）をトリガーすることを示しています。

実験結果

この攻撃は、220 のシナリオと 3 つの視覚ベースの 3D 検出器（BEVDet、BEVDepth、FastBEV++）を使用してnuScenesデータセットで評価されました。追跡、予測、計画をシミュレートするために 2 つの下流パイプライン（パイプライン A および B）が構築されました。

• 成功率: 攻撃は、緊急ブレーキ事象（減速 $\ge 3.0 m/s^2$ と定義）によって測定された**攻撃成功率（ASR）で最大 87.5%**を達成しました。交差検証設定では、ASR は 50.0% から 66.7% の範囲でした。
• 時間的一貫性: **段階的移動率（PDR）は平均で70.8%**に達し、誘発された bbox 移動がランダムノイズではなく時間的に段階的であることを確認しました。
• 下流への影響:
  • 平均予測誤差（APE）: 予測軌道で最大 3.02 m の偏差。
  • 最小軌道距離（MTD）: 約 1.48 m に減少し、予測された経路が被害者の計画経路に接近し、安全性の対立を生んでいることを示しています。
  • 緊急ブレーキ: 最大ブレーキ減速度（MBD）を最大 4.45 $m/s^2$ までトリガーしました。
• 有効性に影響を与える要因:
  • 視点変化: より大きな変化は、より強い移動と相関します。
  • シナリオ固有の要素: この攻撃は、距離が近い、照明が明るい、投影面積が大きい、相対速度が低い場合に、より効果的です。
  • 転移性: モデル間の転移性は（検出器固有の特徴集約のため）限定的ですが、この攻撃は異なる車両タイプ（SUV、セダン、バン）間で効果的に転移します。

意義と主張

著者は、この作業が自動運転において以前は見落とされていた脆弱性を浮き彫りにしていると主張しています：時間的一貫性への依存が、動的な視覚条件を利用する静的な物理的攻撃に対してシステムを脆弱にしています。

• パラダイムシフト: 本論文は、視点変化を単なる頑健性の障壁として扱うのではなく、潜在的な攻撃ベクトルとして認識すべきであると論じています。
• 展開の実現可能性: 先行研究で必要とされた動的ディスプレイや能動的介入とは異なり、この攻撃は「受動的」で「展開が容易」です。特定の迷彩パターンを備えた駐車車両のみを必要とし、通過する自動運転車両に緊急ブレーキを誘発するからです。
• セキュリティへの影響: 結果は、単一フレームの頑健性や多視点不変性に焦点を当てた現在の防御では不十分であることを示唆しています。将来の安全な AD システムは、自然な運動ダイナミクスによって誘発される時空間的に整合した知覚バイアスを考慮する必要があります。

本論文は、評価が特定のモデルとシミュレートされたデータセットに限定されていることに言及しつつ、これらの知見が、単純なフレームごとの知覚を超えて物理的一貫性と時間的安定性について推論できる、より頑健なシステムの設計を動機づけるものだと結論付けています。