기술 요약: 은밀한 데이터 조작부터 안전 위협까지

1. 문제 제기

협력적 인식 (Collaborative perception) 은 연결 및 자율주행 차량 (CAV) 이 데이터 공유를 통해 센서의 한계 (가림, 거리, 기상 조건) 를 극복할 수 있게 합니다. 그러나 외부 데이터에 대한 이러한 의존성은 데이터 조작 공격에 대한 치명적인 취약점을 초래합니다. 이는 악의적인 차량이 피해자의 인식을 조작하기 위해 조작된 데이터를 주입하는 공격입니다.

본 논문은 기존 연구에서 발견된 두 가지 근본적인 격차를 식별합니다:

1. 은밀성 대 영향력 트레이드오프: 기존 방어 기법 (예: 바운딩 박스 일관성, 전역 특징 거리) 은 물체 위조나 제거와 같은 큰 이상치를 탐지하도록 조정되어 있습니다. 그러나 이러한 변화는 탐지 임계값 이하로 떨어지고 전역 특징 맵에서 희석되기 때문에 작고 국소적인 교란 (예: 물체 자세의 약 1m 이동) 을 탐지하지 못합니다.
2. 종단 간 평가의 부재: 이전 공격들은 자율주행의 시간적 특성을 무시하고 단일 프레임에서 평가되었습니다. 작은 인식 오류는 추적 및 궤적 예측 모듈을 통해 전파되어 시간이 지남에 따라 축적될 수 있으며, 이로 인해 안전에 치명적인 실패 (예: 불필요한 급제동 또는 충돌) 가 발생할 수 있습니다. 이러한 위험은 프레임 단위 분석에서는 포착되지 않습니다.

2. 방법론

저자들은 공격 (PosePert), 상황 인식 전략, 그리고 완화 방안 (PoseGuard) 으로 구성된 포괄적인 프레임워크를 제안합니다.

A. PosePert: 공격 원시 요소

PosePert 은 새로운 물체를 위조하거나 기존 물체를 제거하는 대신, 기존 차량의 인식된 자세 (위치 및 방향) 를 미묘하게 교란하는 실시간 중간 융합 공격입니다. 이는 두 단계로 작동합니다:

1. 물리 정보 기반 초기화 (다중 뷰 레이 캐스팅):

   • 공격자는 목표 차량을 원하는 이동된 위치에 있는 것처럼 가상의 "조작된" 포인트 클라우드를 합성합니다.
   • 이는 목표 위치 주변의 가상 라이다 시점을 사용하여 가림과 지면 반사구를 포함한 현실적인 포인트 커버리지를 생성함으로써 수행됩니다.
   • 합성된 포인트는 피해자의 특징 추출 파이프라인을 거쳐 기본 특징 맵 ($f_{spoof}$) 을 생성합니다.

2. 학습된 교란 네트워크 (PertNet):

   • 융합 과정에서 선량한 차량들의 "투표" 효과를 극복하기 위해, 공격자는 융합 과정을 지배할 수 있도록 위조된 특징을 $\beta$ 인자 (일반적으로 1.5–3.0) 로 스케일링합니다.
   • 경량 합성곱 네트워크는 지역적 맥락 (공격자의 특징, 기하학적 오프셋, 선량한 차량의 위치) 에 조건부로 볼륨당 보정값 ($\delta_{corr}$) 을 예측합니다.
   • 최종 적대적 특징 맵은 다음과 같습니다: $f_{attack} = f_{orig} + \beta \cdot (f_{spoof} - f_{orig}) + \text{clamp}(\delta_{corr})$.
   • 이 접근법은 반복적 최적화 (PGD 등) 를 피하여 프레임당 <50 ms 이내에 실행될 수 있게 합니다.

B. 상황 인식 공격 프레임워크

안전하지 않은 주행 행동을 유도하기 위해, 공격은 관측–예측–계획–실행 루프를 통해 시간적으로 조율됩니다:

• 관측: 공격자는 주변 차량을 추적하고 목표 (예: 인접 차선의 차량) 를 선택합니다.
• 예측: 대리 궤적 예측기를 사용하여 공격자는 장면의 진화를 예측합니다.
• 계획: 공격자는 피해자가 차선 침입을 예측할 가능성을 극대화하기 위해 자세 교란의 시간적 시퀀스 (적대적 궤적) 를 최적화합니다. 제약 조건으로는 은밀성을 위한 프레임당 이동 한계 ($\epsilon_{loc} = 0.5$ m) 가 포함됩니다.
• 실행: 공격자는 PosePert 을 적용하여 현재 프레임의 교란을 실현하고 조작된 데이터를 전송합니다.

C. PoseGuard: 완화 방안

기존 방어 기법들은 작은 국소 이상치를 희석시키는 전역 특징 맵을 분석하기 때문에 실패합니다. PoseGuard 는 객체 수준의 국소 이상 탐지를 도입합니다:

1. 안전 치명적 식별: 자기 차량 (ego vehicle) 의 궤적을 위협하는 것으로 예측된 객체만 분석됩니다.
2. 불일치 필터링: 융합된 인식과 자기 차량만의 인식이 일치하는 객체는 건너뜁니다.
3. 국소 이상 점수화: 중요한 불일치 객체의 경우, 시스템은 모든 에이전트에서 국소 특징 컷 (바운딩 박스 영역) 을 추출하고 쌍별 L1 거리를 계산합니다. 이는 신호를 집중시켜 작은 자세 교란을 탐지 가능하게 만듭니다.

3. 주요 기여

1. PosePert 공격: 큰 이상치를 대상으로 설계된 최첨단 방어를 회피하는 작은 은밀한 이동을 통해 인식 출력을 조작하는 새로운 객체 자세 교란 공격.
2. 상황 인식 프레임워크: 협력적 인식에서의 시간적 오류 전파를 모델링한 최초의 프레임워크로, 작은 프레임별 교란이 어떻게 축적되어 안전하지 않은 주행 결정 (예: 급제동) 을 유도하는지 입증.
3. PoseGuard 방어: 전역 특징 맵이 아닌 안전 치명적 영역에 초점을 맞춤으로써 국소 교란에 대한 탐지 민감도를 크게 향상시킨 객체 수준 방어.
4. 포괄적 평가: 여러 중간 융합 모델 (AttFusion, V2VNet, CoBEVT) 에 대해 시뮬레이션 (OPV2V) 과 실제 세계 (V2X-Real) 데이터셋 모두에서 수행된 평가.

4. 실험 결과

공격 효과성

• 인식 수준: PosePert 은 다양한 모델에서 객체 자세를 이동시키는 데 75–94% 성공률 (IoU > 0.5) 을 달성합니다. 이는 PGD 기반 베이스라인보다 약 2 배 빠릅니다.
• 시나리오 수준: 엄격한 프레임당 0.5m 이동 한계 하에서, 이 공격은 최대 50m 의 궤적 편차 (최종 변위 오차) 를 유발하고 목표 - 피해자 간 거리를 0.15m까지 단축시킵니다.
• 안전 영향: **25–50%**의 시나리오에서 공격은 피해자의 예측 궤적이 자신의 차선으로 침범하게 만들어 불필요한 급제동과 같은 안전 치명적 행동을 유발합니다.

방어 복원력

• 기존 방어: 최첨단 방어 기법 (CAD, LUCIA, MADE, ROBOSAC, MATE) 은 PosePert 에 대해 대부분 실패하며, 공격의 13% 미만만 탐지합니다. 전역 특징 거리 지표 (LUCIA) 는 교란이 특징 맵의 0.04% 미만에만 영향을 미치기 때문에 거의 무작위 수준입니다.
• PoseGuard: 시나리오 공격에서 57–84% 탐지율 (5% 위양성률에서의 참양성률) 을 달성하며, 인식 공격에서는 **82–99%**를 달성합니다. 이는 CAD 가 놓치는 작은 이동 (<0.5m) 을 성공적으로 탐지합니다.

효율성

• 전체 공격 파이프라인 (레이 캐스팅 + 특징 추출 + PertNet) 은 약 36 ms에서 실행되어 50–100 ms 라이다 프레임 간격 내에 적합합니다.
• PoseGuard 는 5 ms 미만의 오버헤드를 추가합니다.

5. 중요성과 주장

본 논문은 이론적 데이터 조작 공격과 현실적 안전 위협 사이의 격차를 해소한다고 주장합니다. 그 주요 중요성은 다음을 입증하는 데 있습니다:

1. 은밀성 달성 가능: 큰 이상치에 의존하는 현재 방어 기법을 회피할 수 있는 작고 일관된 자세 교란이 가능합니다.
2. 시간적 축적의 중요성: 협력적 인식 공격의 진정한 위험은 즉각적인 프레임 단위 오류가 아니라, 이러한 오류들이 안전하지 않은 주행 결정으로 축적된다는 점입니다.
3. 방어는 국소화가 필요함: 미묘한 공격에 대한 효과적인 방제는 전역 이상 탐지에서 객체 수준, 안전 치명적 분석으로의 전환을 요구합니다.

저자들은 PoseGuard 가 유망한 완화 방안을 제공하지만, 공격의 은밀성과 영향력 사이에 트레이드오프가 존재하며, 협력적 인식 시스템의 보안은 단일 프레임 인식 지표를 넘어선 엄격한 종단 간 평가가 필요하다고 결론지었습니다.