ロボットに車の運転を教えていると想像してみてください。これを安全に行うために、ロボットは人間のようにただ道路を「見る」のではなく、脳内に世界の完璧なデジタル設計図を構築します。「HDマップ」と呼ばれるこの設計図は、車が走行しながら、すべての車線、縁石、横断歩道をリアルタイムで描き出します。もしこの設計図が間違っていれば、ロボットは急カーブを直線的な高速道路だと勘違いしたり、行き止まりを開けた道だと誤認したりして、非常に深刻な衝突事故につながる可能性があります。長い間、科学者たちは、ストップサインにステッカーを貼ってロボットに速度制限標識だと思わせるような、「そこに存在しないもの」をロボットに見せて騙す方法について懸念してきました。しかし、厄介な問題があります。たとえ道路の一部を細工したとしても、ロボットが非常に賢いため、道路の反対側を見て「ああ、これはこういう形に見えるはずだ」と判断し、自力で間違いを修正してしまうことがあるのです。

「TwinIR」と題されたこの論文は、まさにその問題に深く切り込んでいます。研究者たちは、もし一つの「トリック」（例えば、たった一つの隠れた光）で自動運転車のマップを騙そうとしても、車は残りの道路をはっきりと捉えているため、そのトリックを無視してしまうことが多いことを発見しました。この問題を解決するために、彼らは「TwinIR」という新しい手法を考案しました。一つのトリックを使うのではなく、二つの不可視の光を連動させて、ロボットの脳を二箇所同時に混乱させるのです。彼らは、特殊な近赤外線（NIR）を使用することで、人間の目には何も見えないものの、車のカメラには明るく混乱を招く眩い光として見えるようにし、ロボットの進路を完全に狂わせることに成功しました。これにより、急カーブを直線に見せかけたり、実際よりもずっと手前でカーブが始まると思い込ませたりすることが可能になります。最も驚くべき点は、通りすがりの人間にとって、その道路は完全に正常に見えるということです。

「境界越え」のグリッチ（不具合）

物語は、自動運転車がどのように考えるかという気づきから始まります。これらの車はカメラを使用して道路のマップを作成します。道路がカーブしている場合、車はそのカーブを見ることで曲がる必要があると判断します。しかし、ここに落とし穴があります。もし道路の片側（例えば左車線）を隠して車を騙そうとしても、車は右車線や中央線を見て、「ああ、ここにはまだカーブがある」と判断し、正しくカーブを描いてしまいます。研究者たちはこれを**「境界越え補償効果（cross-boundary compensation effect）」**と呼んでいます。これは、庭にいるヘビの頭に帽子を被せて隠そうとしても、尻尾が外に出ていて動いているため、庭の持ち主（車）が尻尾を見てヘビの存在を知ってしまうようなものです。

マップをハッキングしようとするこれまでの試みは、単一の「ブラインドスポット（死角）」やステッカーを使用して車を混乱させようとするものでした。この論文の著者たちは、単一のポイントによる攻撃は、車が「補償境界（道路の反対側）」を利用して間違いを修正してしまうため、失敗することが多いと指摘しています。彼らは、マップを本当に壊すためには、単に一箇所を攻撃するだけでは不十分であり、ターゲットとなる場所と、それを修正しようとする部分の両方を同時に攻撃しなければならないと主張しています。

TwinIR：不可視のダブルチーム

これを解決するために、チームはTwinIRを考案しました。これはバスケットボールの「連携によるダブルチーム」を想像してください。一人のプレイヤーがボールを奪おうとするのではなく、二人のプレイヤーが協力して相手を追い詰めるようなものです。TwinIRは、最大で二つの「攻撃ポイント」を使用します。

1. ターゲット： 一つ目のポイントは、ハッカーが変えたい特定の道路部分（例えば、カーブを直線に見せかけたい場合など）を攻撃します。
2. 補償： 二つ目のポイントは、通常、間違いを修正しようとする「ヘルパー」としての役割を果たす道路部分を攻撃します。

魔法の要素は近赤外線（NIR）光です。人間はこの光を見ることができません。つまり、人間の目には見えないのです。しかし、自動運転車のカメラは、この光を非常に鮮明に捉えることができます。研究者たちは、この不可視の光を放つ小さなレーザーを使用します。街を歩く人間にとって、道路は正常に見えます。しかし、車のカメラにとっては、マップを混乱させる明るく眩しい干渉パターンとして映し出されます。

このシステムは二つのステップで機能します。まず、コンピュータを使用して、混乱を最大化するためにこれらの不可解な光をどこに配置すべきかを正確に計算します。「ここに光を置いたら、車はまだカーブが見えるか？」とチェックします。もし答えが「はい」であれば、もう一方の道路側に二つ目の光を追加して、その視界も遮ります。二つ目の光が実際に効果を発揮する場合のみ二つの光を使用し、そうでなければ一つに絞ります。これにより、攻撃を「スパース（疎）」な状態（できるだけ少ない光を使用する状態）に保ち、発見されにくくしています。

研究結果：マップの崩壊

研究者たちは、数千もの現実世界の走行シーンを含む有名なデータセットであるnuSenseを用いて、このテストを行いました。彼らは、三種類の異なる自動運転マップシステム（MapTR、MGMap、DAMap）に対してこの攻撃を試みました。

結果は顕著でした。従来の「単一ポイント」の手法を用いた場合、車のマップ精度はわずかに低下するだけでした。しかし、連動した二つのポイントを用いるTwinIRを使用したところ、以下の結果が得られました。

• 「道路の直線化（Road Straightening）」攻撃（カーブを直線に見せる攻撃）において、マップ精度（mAP）が8.18〜8.96パーセントポイント低下しました。
• 「早期ターン（Early Turn）」攻撃（カーブがもっと手前で来ると思わせる攻撃）において、精度が2.84〜5.62パーセントポイント低下しました。

しかし、本当の危険は単なる「悪いマップ」ではありません。車がそのマップを使って「何をするか」です。研究者たちは、車の計画された経路が、到達不可能になったり、あるいは安全でなくなったりする頻度を測定しました。

• TwinIRを使用した場合、「到達不可能な目標（車が実際には走行できない経路を計画してしまう状態）」の発生率は、単一ポイント攻撃と比較して11〜12パーセントポイント上昇しました。
• 「安全でない計画軌道（衝突につながるような経路）」の発生率は、単一ポイント攻撃よりも3〜8パーセントポイント増加しました。

簡単に言えば、車は単に少し混乱しただけでなく、極めて危険な経路を計画し始めてしまったのです。

実世界でのテスト

これが単なるコンピュータ上のシミュレーションではないことを証明するために、チームは自分たちのセットアップを実際の閉鎖されたテストフィールドに持ち込みました。六つのカメラを搭載した実車をテストコース内で走行させました。そして、茂みや標識の背後に、不可視のレーザーを設置しました。

車が通過するとき：

• 人間にとって： ビデオは正常に見えました。道路は本来あるべき姿のままです。
• 車のカメラにとって： 不可視のレーザーが、巨大で明るい干渉パターンを作り出しました。
• 結果： 車のマップは、研究者が予測した通りに変化しました。あるテストでは、急カーブが直線として描かれました。別のテストでは、カーブが実際よりもずっと手前で来るという判断が下されました。

また、二つ以上のライトを使用した場合にどうなるかもテストしました。三つ、四つ、あるいは五つのライトを使用してみたところ、二つ目のライトを追加すると劇的な効果がありましたが、三つ目、四つ目、五つ目のライトを追加しても攻撃の効果はほとんど向上しませんでした。これにより、二つのライトが「スイートスポット（最適解）」であることが確認されました。つまり、車の自己修正能力を破壊するには十分でありながら、目立ちすぎたり設置が困難になったりしない絶妙な数なのです。

なぜこれが重要なのか

この論文は、自動運転車が壊れているとか、明日にも衝突事故が起きると主張しているわけではありません。むしろ、これらの車が世界をどのように「考えているか」における、特定の弱点を浮き彫りにしています。自動運転システムは、全体像を見ていることに強く依存しており、もしいくつかの不可視のトリックを調整して、彼らが「ダブルチェック」を行うための部分を隠すことができれば、彼らを欺くことができるということを示しています。

著者たちは、将来の自動運転車はより賢くなる必要があると示唆しています。彼らは、マップが他の道路部分によって「補償」されている状況を察知できるようにするか、あるいはこれらの不可視の赤外線によるトリックを無視できるようにする必要があります。それまでは、この「TwinIR」という手法は、非常に小さく、不可視で、かつ調整された僅かな働きかけが、自動運転の安全性に対して驚くほど大きな影響を与え得ることを示しています。