MirrorDrift: Actuated Mirror-Based Attacks on LiDAR SLAM

본 논문은 외부 신호 주입 없이 가동식 평면 거울을 이용해 LiDAR 스캔에 유령 포인트를 생성하고 스캔 매칭을 교란하여 최신 보안 LiDAR 시스템에서도 심각한 위치 추정 오차를 유발하는 'MirrorDrift'라는 새로운 물리적 공격 기법을 제안하고 그 유효성을 실증합니다.

핵심

거울로 로봇을 속이다: '미러드리프트 (MirrorDrift)' 공격 설명

이 논문은 자율주행 로봇이나 자동차가 자신의 위치를 파악하는 기술인 **'LiDAR SLAM'**을 거울을 이용해 해킹하는 새로운 방법을 소개합니다. 마치 마술사처럼 거울을 흔들어서 로봇의 눈을 속이는 것이죠.

이 내용을 일반인이 이해하기 쉽게 비유와 일상적인 언어로 풀어보겠습니다.

---

1. 로봇의 눈: LiDAR 는 어떻게 세상을 보나?

자율주행 로봇은 **'LiDAR(라이다)'**라는 장치를 눈처럼 사용합니다. 이 장치는 눈에 보이지 않는 레이저 빛을 쏘고, 벽이나 나무, 다른 물체에 부딪혀 돌아오는 빛을 받아들이죠.

• 비유: 로봇이 어두운 방에서 손전등을 비추며 벽에 닿는 소리를 듣고 방의 모양을 상상하는 것과 비슷합니다.
• 핵심: 로봇은 이 빛이 돌아오는 시간과 방향을 계산해서 3 차원 지도를 만들고, "내가 지금 어디에 있나?"를 계속 업데이트합니다.

2. 기존 해킹 vs 새로운 해킹

지금까지 로봇을 속이려면, 해커가 가짜 레이저 신호를 로봇의 눈으로 쏘아 넣어야 했습니다. 마치 남의 집 현관문에 가짜 열쇠를 꽂아 넣는 것처럼요. 하지만 최신 로봇들은 "이 신호는 진짜가 아니야!"라고 알아차리는 방어막 (방해 신호 차단 기술) 을 갖추고 있어, 이런 가짜 신호 공격은 점점 어려워졌습니다.

이 연구의 핵심:
해커는 더 이상 가짜 신호를 쏘지 않습니다. 대신 거울을 이용합니다.

• 비유: 해커가 로봇 앞에 거울을 세워놓고, 로봇이 쏜 빛이 거울에 반사되게 만드는 것입니다. 로봇은 "아, 저기 저기 벽이 있네!"라고 착각하지만, 사실은 거울에 비친 '유령 (Ghost)' 같은 가상의 벽을 보고 있는 것입니다.
• 특징: 이 방법은 로봇이 쏜 빛을 이용하므로, 최신 로봇의 '가짜 신호 차단 방어막'을 뚫고 들어갈 수 있습니다. 로봇 입장에서는 "내 눈이 내 눈의 빛을 반사했으니, 이건 진짜야"라고 믿게 되죠.

3. '미러드리프트 (MirrorDrift)' 공격의 원리

이 연구팀은 단순히 거울을 세워두는 것만으로는 부족하다고 생각했습니다. 로봇이 지나가면서 거울에 비친 유령 벽이 너무 일관적이면 로봇이 "아, 이건 고정된 장애물이야"라고 적응해 버릴 수 있기 때문입니다.

그래서 그들은 거울을 움직이는 장치를 만들었습니다.

• 비유: 로봇이 지나가는 길가에 거울을 세우고, 해커가 그 거울을 일정한 리듬으로 좌우로 흔들었습니다.
• 효과: 거울이 흔들리면 로봇이 보는 '유령 벽'도 함께 춤을 춥니다. 로봇은 "어? 저 벽이 왜 자꾸 움직이지? 내가 움직이는 게 아니라 벽이 움직이는 건가?"라고 혼란을 겪습니다.
• 결과: 로봇은 자신의 위치를 계산하는 과정에서 계속 실수를 하게 되고, 시간이 지날수록 **진짜 위치와 계산된 위치의 차이 (오차)**가 기하급수적으로 커집니다. 마치 나침반이 고장 난 배가 바다에서 빙글빙글 돌며 길을 잃는 것과 같습니다.

4. 실험 결과: 얼마나 위험한가?

연구팀은 실제 로봇 (휠체어 형태) 과 최신형 고성능 라이다 (Hesai AT128) 를 이용해 실험했습니다. 이 라이다는 가짜 신호를 막아내는 최신 방어 기술을 갖추고 있었지만, 거울 공격 앞에서는 무너졌습니다.

• 결과: 로봇은 원래 가야 할 길에서 최대 6 미터 이상 벗어났습니다.
• 비유: 고속도로를 달리다가 갑자기 차가 6 미터나 옆 차선으로, 혹은 반대 차선으로 밀려난 것과 같습니다. 이는 치명적인 사고로 이어질 수 있는 매우 큰 오차입니다.
• 의미: 최신 기술로 무장한 로봇이라도, 단순한 거울 하나만으로도 위치 파악이 완전히 망가질 수 있음을 증명했습니다.

5. 결론 및 시사점

이 연구는 **"로봇의 안전을 지키려면 단순히 신호를 막는 것만으로는 부족하다"**는 점을 알려줍니다.

• 교훈: 로봇이 거울이나 유리창 같은 반사체 앞에서 어떻게 행동할지, 그리고 해커가 이를 악용할 때 어떻게 대처할지에 대한 새로운 방어 기술이 필요합니다.
• 마무리: 마치 마술사가 거울로 관객을 속이듯, 해커는 거울로 로봇의 '눈'을 속일 수 있습니다. 이제 우리는 로봇이 거울 앞에서 속지 않도록 더 똑똑하게 만들어야 할 시대가 왔습니다.

---

한 줄 요약:

최신 방어 기술을 갖춘 자율주행 로봇도, 해커가 거울을 흔들며 유령 벽을 만들어내면 위치를 완전히 잃고 길을 잃을 수 있다는 충격적인 사실을 발견한 연구입니다.

기술 요약

1. 연구 배경 및 문제 정의 (Problem)

• LiDAR SLAM 의 취약점: 자율 주행 로봇 및 차량의 정밀한 위치 추정 (Localization) 을 위해 널리 사용되는 LiDAR SLAM 은 연속된 프레임 간의 점군 (Point Cloud) 정합 (Scan Matching) 에 의존합니다. 이 과정은 관측된 점군의 기하학적 일관성을 전제로 하므로, 점군이 악의적으로 조작될 경우 위치 추정 오류가 발생합니다.
• 기존 공격 방식의 한계: 기존 물리적 공격 (LiDAR Spoofing) 은 외부 레이저 신호를 주입하여 가짜 점 (Ghost Points) 을 생성하는 방식이었습니다. 그러나 최신 LiDAR 센서들은 무작위 발사 패턴, 신호 인증, 타이밍 은폐 등 외부 광학 간섭을 차단하는 방어 메커니즘을 탑재하고 있어, 이러한 신호 주입 공격은 현대 센서에서 실행이 어렵거나 불가능해졌습니다.
• 핵심 문제: 외부 신호 주입 없이도 LiDAR SLAM 을 교란할 수 있는 새로운 공격 벡터가 필요한데, 거울 (Mirror) 과 같은 반사면에서 발생하는 반사 (Specular Reflection) 현상이 이를 해결할 열쇠가 될 수 있습니다. 기존 연구들은 이를 단순한 환경적 노이즈로 간주했으나, 이를 체계적으로 악용하여 SLAM 을 공격하는 연구는 부재했습니다.

2. 제안 방법: MirrorDrift (Methodology)

저자들은 외부 신호 주입이 필요 없는 MirrorDrift라는 새로운 물리적 공격 프레임워크를 제안합니다.

• 공격 원리:

  • 공격자가 차량 경로 옆에 평면 거울을 설치하고, LiDAR 가 발사한 레이저 펄스가 거울에 반사되어 생성된 **유령 점 (Ghost Points)**을 관측하게 합니다.
  • 이 유령 점들은 실제 물체가 존재하지 않는 위치에 생성되므로, SLAM 의 데이터 연관 (Data Association) 및 정합 과정을 왜곡시켜 위치 추정 오차를 누적시킵니다.
  • 외부 신호를 주입하지 않기 때문에 최신 LiDAR 의 간섭 방지 (Interference Mitigation) 기능을 우회할 수 있습니다.

• 공격 최적화 (Optimization):

  • 거울 배치 및 정렬: 베이지안 최적화 (Bayesian Optimization) 를 통해 SLAM 정합을 가장 크게 교란시키는 거울의 위치 $(x, y)$와 방향 ($\theta$) 을 사전에 계산합니다.
  • 주기적 요 (Yaw) 진동: 거울을 일정 주기로 회전 (요 각도 진동) 시켜 유령 점의 위치를 동적으로 변화시킵니다. 이는 SLAM 이 유령 점을 '내부 점 (Inlier)'으로 잘못 인식하게 하여 지속적인 정합 오류를 유발합니다.
  • 제약 조건: 유령 점의 프레임 간 이동 거리가 SLAM 의 아웃라이어 제거 임계값을 초과하지 않도록 진폭을 제어하여 공격이 성공적으로 수행되도록 합니다.

• 시뮬레이션 모델:

  • 레이 캐스팅 (Ray Casting) 기반의 가상 센서 모델을 사용하여 거울에 의한 가림 (Occlusion) 과 반사 (Reflection) 를 정밀하게 시뮬레이션합니다.
  • 목적 함수는 다운샘플링된 점군에서 가려진 점 (Occluded) 과 반사된 점 (Reflected) 의 비율을 시간적으로 평균화 (EMA) 한 값을 최대화하는 방향으로 설정됩니다.

3. 주요 기여 (Key Contributions)

1. 신호 주입 없는 물리적 공격: 외부 레이저 주입 없이 오프 - 더 - 쉐일 (Off-the-shelf) 평면 거울과 주기적 진동만으로 LiDAR SLAM 을 교란하는 최초의 물리적 공격을 증명했습니다.
2. MirrorDrift 프레임워크: 거울의 배치, 정렬, 운동을 체계적으로 최적화하여 무작위 배치 대비 평균 자세 오차 (APE) 를 6.1 배 증가시키는 공격 설계 방법을 제시했습니다.
3. 최신 보안 LiDAR 에 대한 첫 번째 성공: 외부 신호 주입을 방어하는 최신 자동차용 LiDAR(Hesai AT-128) 에 대해 실세계 실험을 통해 공격 성공을 입증했습니다. 이는 기존 보안 메커니즘이 반사 기반 공격에는 무력함을 보여줍니다.

4. 실험 결과 (Results)

• 시뮬레이션 결과:

  • KISS-ICP, FAST-LIO2, GLIM 등 3 가지 주요 SLAM 알고리즘을 대상으로 실험했습니다.
  • 최적화된 MirrorDrift 공격 시, 무작위 배치 대비 평균 APE 가 6.1 배, 거울이 없는 상태 대비 25.6 배 증가했습니다.
  • 평균 APE 는 2.29m ~ 3.31m 수준으로 치명적인 수준까지 악화되었습니다.
  • Ablation Study: 오차의 주된 원인이 '가림 (Occlusion)'이 아닌 '반사에 의한 유령 점 (Reflection-induced Ghost Points)'임을 확인했습니다.

• 실세계 실험 (Real-world Experiments):

  • 센서: 외부 신호 주입을 방어하는 최신 LiDAR 인 Hesai AT-128을 사용했습니다.
  • 환경: 전기 휠체어에 센서를 탑재하고 야외 코스에서 실험했습니다.
  • 성과: 3 가지 SLAM 알고리즘 모두에서 심각한 위치 이탈을 관찰했습니다.
    • 최대 APE: 6.03m (KISS-ICP 기준).
    • 최소 APE 도 3.46m 로, 차량이 도로에서 이탈할 수 있는 치명적인 오차입니다.
  • 시뮬레이션 vs 실세계: 실세계에서 더 큰 오차가 발생했는데, 이는 AT-128 의 높은 각도 해상도와 좁은 시야각 (FOV) 이 거울 반사점을 더 많이 포착했기 때문으로 분석되었습니다.

5. 의의 및 결론 (Significance)

• 보안 패러다임의 전환: 기존 LiDAR 보안 연구가 '신호 주입 방어'에 집중했다면, 본 논문은 반사면 (Specular Surfaces) 을 악용한 물리적 공격이 현대 보안 LiDAR 에도 유효함을 처음으로 증명했습니다.
• 안전 위험: 자율 주행 차량이 정밀한 위치 추정을 위해 의존하는 LiDAR SLAM 이 거울 하나만으로도 수 미터 단위의 오차를 일으킬 수 있음을 보여주어, 실제 도로 환경에서의 안전 사고 위험을 경고합니다.
• 대응 방안: 단일 LiDAR 의 취약성을 보완하기 위해 GNSS, 휠 오도메트리 등 다른 센서와의 융합 (Multi-modal Redundancy) 이나, 동적으로 조작되는 거울을 탐지하는 새로운 필터링 기법의 개발이 시급함을 시사합니다.

요약하자면, MirrorDrift 는 외부 신호 주입 없이 거울의 반사 현상과 정밀한 제어를 통해 최신 LiDAR SLAM 시스템을 무력화할 수 있음을 입증한 획기적인 보안 연구입니다.