Beyond the Patch: Exploring Vulnerabilities of Visuomotor Policies via Viewpoint-Consistent 3D Adversarial Object

이 논문은 이동하는 카메라 시점에서 발생하는 원근 왜곡 문제를 해결하기 위해, 가시적 특징을 고려한 3D 적대적 텍스처 최적화 기법을 제안하여 동적 환경에서도 로봇의 시각-운동 정책을 효과적으로 교란할 수 있음을 입증합니다.

핵심

이 논문은 **"로봇의 눈을 속이는 3D 미끼"**에 대한 연구입니다.

기존에 로봇을 속이려면 벽이나 바닥에 **'2D 스티커 (패치)'**를 붙이는 방법이 주로 쓰였는데, 이 논문은 그 방법의 한계를 지적하고, 실제 3D 물체 (예: 병, 상자 등) 에 특수한 무늬를 입혀 로봇을 완전히 혼란스럽게 만드는 새로운 공격 방법을 제안합니다.

이 내용을 일반인이 이해하기 쉽게 비유와 함께 설명해 드릴게요.

---

1. 문제점: "스티커는 로봇이 움직이면 효과가 사라진다"

• 상황: 로봇이 손목에 카메라를 달고 물건을 잡으러 다닙니다. (우리가 손목 시계를 차고 손을 움직이는 것과 비슷하죠.)
• 기존 방법 (2D 패치): 벽에 이상한 무늬가 그려진 스티커를 붙여두면, 로봇이 그쪽으로 가다가 엉뚱한 행동을 합니다.
• 한계: 하지만 로봇이 손목을 움직이며 시야각이 바뀌면, 그 스티커는 찌그러지거나 너무 작아져서 로봇의 눈에는 더 이상 이상한 무늬로 보이지 않습니다. 마치 멀리서 보면 잘 안 보이는 스티커처럼요.
• 결론: 로봇이 움직이는 환경에서는 2D 스티커로는 로봇을 계속 속이기 어렵습니다.

2. 해결책: "로봇이 어디를 보든 속이는 3D 미끼"

이 논문은 **"3D 물체 자체를 속임수 도구로 만들자"**고 제안합니다.

• 아이디어: 벽에 스티커를 붙이는 대신, 로봇이 잡으려는 실제 물체 (예: 소스 병) 에 특수한 무늬를 입힙니다.
• 효과: 로봇이 물체를 다양한 각도에서 보더라도, 그 물체 전체가 로봇의 뇌 (AI) 에게 "이게 목표야!"라고 거짓말을 계속합니다. 로봇은 진짜 목표 (예: 스프 통) 를 무시하고, 이 속임수 물체 (소스 병) 를 향해 계속 손을 뻗게 됩니다.

3. 핵심 기술 1: "먼 곳에서부터 가까이까지, 단계별로 학습하기 (C2F)"

로봇은 멀리서 물체를 볼 때도 있고, 아주 가까이서 볼 때도 있습니다.

• 문제: 멀리서도 잘 보이고 가까이서도 잘 보이는 무늬를 한 번에 만들려고 하면, 서로 충돌해서 둘 다 효과가 떨어집니다.
• 해결책 (C2F 전략):
  1. 먼 거리 (Coarse): 먼저 멀리서 봤을 때 잘 보이는 **큰 그림 (저주파수)**을 먼저 만듭니다. (예: 멀리서도 "여기다!"라고 외치는 큰 글씨)
  2. 가까운 거리 (Fine): 그 위에 가까이서 봤을 때 필요한 **세부적인 무늬 (고주파수)**를 추가합니다. (예: 가까이서 보면 더 선명해지는 미세한 점들)
• 비유: 그림을 그릴 때, 먼저 대략적인 윤곽을 그리고 (Coarse), 그 다음에 세부적인 디테일을 채우는 (Fine) 화가의 작업 방식과 같습니다. 이렇게 하면 로봇이 멀리서 접근하든, 손끝에 닿을 때까지 가까이 가든 속임수가 계속 작동합니다.

4. 핵심 기술 2: "로봇의 시선을 훔치기 (Saliency Guidance)"

• 기술: 로봇의 AI 가 "어떤 부분을 보고 결정을 내리는지"를 분석합니다. (로봇의 시선이 어디에 집중되어 있는지 보는 것)
• 작동 원리: 로봇이 진짜 목표 (스프 통) 를 보지 않고, 속임수 물체 (소스 병) 를 보도록 시선을 강제로 돌립니다.
• 비유: 마술사가 관객의 시선을 다른 손으로 돌리는 것처럼, 로봇의 AI 가 진짜 목표 대신 가짜 목표에 집중하게 만들어 버립니다.

5. 실험 결과: "실제 세상에서도 통했다!"

• 시뮬레이션: 컴퓨터 안에서 로봇을 여러 번 움직여 보니, 2D 스티커보다 3D 물체가 훨씬 효과적으로 로봇을 속였습니다.
• 실제 로봇 (Sim-to-Real): 컴퓨터에서 만든 속임수 물체를 실제 로봇 (Fetch 로봇) 에 입혀 실험했습니다. 조명이나 그림자가 바뀌어도, 로봇은 여전히 속아서 가짜 물체를 향해 손을 뻗었습니다.
• 블랙박스 공격: 로봇이 어떤 AI 모델을 쓰는지 모르는 상황에서도 (블랙박스), 이 공격이 다른 로봇에게도 잘 통했습니다.

요약: 이 연구가 왜 중요한가?

이 연구는 **"로봇이 움직이며 세상을 볼 때, 2D 스티커로는 안전을 보장할 수 없다"**는 것을 증명했습니다. 대신 3D 물체 자체를 해킹할 수 있다는 것을 보여주었습니다.

이는 로봇이 우리 생활에 들어오기 전에, **"로봇의 눈을 속일 수 있는 위험 요소가 무엇인지 미리 찾아내고 방어책을 마련해야 한다"**는 경고를 주는 연구입니다. 마치 자물쇠를 뚫는 방법을 연구해서 더 튼튼한 자물쇠를 만드는 것과 같습니다.

기술 요약

1. 문제 정의 (Problem Definition)

• 배경: 비전 기반의 조작 정책 (Visuomotor Policies) 은 로봇이 시각 정보를 통해 물체를 조작할 수 있게 하지만, 신경망 기반이므로 적대적 예제 (Adversarial Examples) 에 취약합니다.
• 기존 접근법의 한계: 기존 연구는 주로 **2D 적대적 패치 (Adversarial Patches)**에 집중했습니다. 그러나 2D 패치는 고정된 카메라 (3rd-person view) 환경에서는 효과적이지만, 로봇의 손목에 장착된 카메라 (Wrist-mounted camera) 와 같이 **동적인 시점 (Dynamic Viewpoint)**이 변하는 환경에서는 성능이 급격히 저하됩니다.
  • 이유: 로봇의 움직임에 따라 시점이 변하면 2D 평면 패치는 심한 원근 왜곡 (Perspective Distortion) 을 겪거나 카메라 시야에서 사라져 적대적 효과가 무효화됩니다.
• 목표: 다양한 시점과 거리 변화에서도 일관된 공격 효과를 가지는 **3D 적대적 객체 (Viewpoint-Consistent 3D Adversarial Object)**를 개발하여 로봇 조작 정책의 취약성을 평가하고, 이를 통해 로봇 시스템의 보안성을 강화하는 것입니다.

2. 제안 방법론 (Methodology)

저자들은 미분 가능한 렌더링 (Differentiable Rendering) 을 활용하여 3D 메쉬 객체의 텍스처를 최적화하는 새로운 공격 프레임워크를 제안했습니다.

A. 핵심 전략

1. Coarse-to-Fine (C2F) 최적화 전략:

   • 카메라와 객체 간의 거리가 변함에 따라 텍스처의 주파수 특성이 달라진다는 점을 활용합니다.
   • Coarse Stage: 먼 거리에서 저주파 (Low-frequency) 특성을 최적화하여 전역적인 텍스처 패턴을 확립합니다.
   • Fine Stage: 가까운 거리에서 고주파 (High-frequency) 세부 사항을 정교하게 최적화합니다.
   • 이를 통해 다양한 거리에서의 공격 일관성을 보장합니다.

2. Saliency-Guided Attack (주도적 주시 유도):

   • 정책 (Policy) 이 시각 입력에서 어떤 영역에 주의를 기울이는지 나타내는 Saliency Map을 생성합니다.
   • 적대적 텍스처를 최적화하여 정책의 주의를 진짜 목표물 ($O_{goal}$) 에서 적대적 객체 ($O_{adv}$) 로 전환시킵니다.

3. Targeted Pose Loss (표적 포지션 손실 함수):

   • 로봇이 움직이는 동안 적대적 객체가 카메라 시야 (FOV) 밖으로 나가지 않도록 유도합니다.
   • Orientation Loss: 로봇 엔드 이펙터가 적대적 객체를 향하도록 방향을 유도합니다.
   • Distance Loss: 엔드 이펙터가 적대적 객체에 물리적으로 접근하도록 거리를 최소화합니다.
   • 이를 통해 로봇이 목표물이 아닌 적대적 객체를 향해 지속적으로 움직이게 만듭니다.

4. Expectation over Transformation (EOT):

   • 다양한 시점 (거리, 방위각, 극각) 에 대한 변환 분포를 고려하여 손실 함수의 기댓값을 최소화하는 방식으로 텍스처를 최적화합니다.
   • 실제 로봇의 행동 (Rollout) 을 시뮬레이션하여 생성된 변환 분포를 기반으로 학습합니다.

5. Hybrid Rendering:

   • 전체 장면은 일반 시뮬레이터로, 적대적 객체만 미분 가능한 렌더러로 렌더링하여 그래디언트 역전파가 가능하도록 합니다.

3. 주요 기여 (Key Contributions)

• 최초의 체계적 분석: 손목 장착 카메라를 사용하는 동적 시점 환경에서 3D 적대적 공격이 visuomotor 조작 정책에 미치는 영향을 체계적으로 분석한 최초의 연구입니다.
• Viewpoint-Consistent 3D Attack: 2D 패치의 한계를 극복하고, 다양한 시점과 거리 변화에서도 효과적인 3D 텍스처 최적화 방법을 제안했습니다.
• C2F 및 Saliency 전략: 거리 의존적 주파수 특성을 활용한 C2F 최적화와 정책의 주의를 유도하는 Saliency 기반 손실 함수를 도입하여 공격 효율성을 극대화했습니다.
• 실제 환경 검증: 시뮬레이션뿐만 아니라 실제 로봇 (Fetch, RealSense 카메라) 을 사용한 Sim-to-Real 전이 실험을 통해 실세계 적용 가능성을 입증했습니다.

4. 실험 결과 (Experimental Results)

• 2D 패치 vs 3D 객체 비교:
  • 다양한 시점 (Viewing Angles) 에서 3D 객체 공격이 2D 패치보다 훨씬 높은 공격 성공률 (ASR) 과 표적 공격 성공률 (T-ASR) 을 기록했습니다.
  • 특히 60 도 이상의 큰 각도 (Oblique angles) 에서 2D 패치는 효과가 급격히 떨어지는 반면, 3D 객체는 안정적인 공격 성능을 유지했습니다.
• Ablation Study (성분 분석):
  • C2F 전략: 무작위 샘플링이나 Fine-to-Coarse 방식보다 C2F 방식이 공격 성공률과 행동 오차 (Translation/Rotation Error) 모두에서 우월한 성능을 보였습니다.
  • Saliency Guidance: Saliency 손실 함수를 추가하면 정책의 주의를 성공적으로 전환하여 공격 성능이 향상되었습니다.
  • Targeted Loss: 목표물 ($O_{adv}$) 을 향해 로봇을 유도하는 Loss 가 없으면 시야 밖으로 나가는 순간 공격이 실패하지만, 제안된 Loss 는 지속적인 유도 효과를 보여줍니다.
• 일반화 및 견고성 (Generalization & Robustness):
  • Black-box Transferability: ResNet18 으로 학습된 공격이 Inception-v3, VGG16, ResNet34 등 다른 아키텍처의 정책에서도 높은 전이 공격 성공률을 보였습니다.
  • Sim-to-Real: 실제 Fetch 로봇 환경에서 조명 변화, 배경 변화, 노이즈, 부분 가림 (Occlusion), 동적 이동 상황에서도 공격이 유효하게 작동함을 확인했습니다.
  • 다양한 형상: 개 (Dog) 나 오리 (Duck) 등 다양한 기하학적 구조의 객체에서도 공격이 효과적이었습니다.

5. 의의 및 결론 (Significance & Conclusion)

• 보안 위협의 현실화: 이 연구는 로봇의 시각 기반 조작 시스템이 물리적 3D 객체 하나만으로도 쉽게 속아 넘어갈 수 있음을 보여주었습니다. 이는 창고 자동화, 물류 로봇 등 안전이 중요한 분야에서 심각한 위협이 될 수 있음을 시사합니다.
• 방어 체계 강화의 필요성: 기존 2D 패치 중심의 보안 평가로는 부족하며, 3D 시점 불변성을 고려한 새로운 평가 기준과 방어 메커니즘이 필요함을 강조합니다.
• 향후 연구 방향: 제안된 방법은 로봇 시스템의 신뢰성을 높이기 위한 평가 도구 (Evaluation Tool) 로서, 향후 적대적 공격에 강한 견고한 (Robust) visuomotor 정책 개발의 기초를 제공합니다.

이 논문은 로봇 공학과 컴퓨터 비전 보안 분야에서 동적 시점 환경에서의 3D 적대적 공격이라는 새로운 지평을 열었으며, 실제 로봇 시스템의 취약점을 입증하는 중요한 이정표가 되었습니다.